情報処理安全確保支援士 2010年 春期 午後1 問02

解答の論理構成

1. ファイル暗号化方式ではまず「ファイルごとに異なる、乱数から生成された共通鍵」でデータを暗号化し、 その後「暗号化に使われた共通鍵は従業員の公開鍵を使用して暗号化され、暗号化されたファイルとともにハードディスクに保存される。」と説明されています。
   ⟹ ファイル内に付加される a は「暗号化された共通鍵」ゆえ解答群「ア」を選択します。
2. 本文には「従業員がOSにログインしていない状態では、従業員のbにアクセスすることができないので、ファイルが暗号化されたままの状態」とあります。
   公開鍵は誰でも読める情報なので“アクセスできない”ことの理由になりません。
   アクセス制御下に置かれるのは従業員だけが保持する「秘密鍵」です。
   ⟹ b は「秘密鍵」＝解答群「オ」です。
3. 図2（本文）では
   　① a（暗号化された共通鍵）を b（秘密鍵）で復号 →
   　② 得られた鍵でファイル本体を復号
   という2段階が示されています。②で使用するのは「ファイルを復号する共通鍵」です。
   ⟹ c は「ファイルを復号する共通鍵」＝解答群「カ」となります。

誤りやすいポイント

• 公開鍵と秘密鍵の役割を混同し、b に「公開鍵」を当てはめてしまう。公開鍵はアクセス制御対象ではない点に注意が必要です。
• a を「公開鍵の電子署名」と誤解するケース。本文に「暗号化に使われた共通鍵は公開鍵を使用して暗号化」と明示されており、電子署名の話ではありません。
• c を単に「共通鍵」とだけ答えるミス。解答群には類似語が多数あるため「ファイルを復号する共通鍵」と正確に識別する必要があります。

FAQ

解答の論理構成

1. 問題文は次のように述べています。
   「G社のすべてのPCには、dに基づいて評価及び認証されたTPM（Trusted Platform Module）バージョン1.2対応製品が搭載されていることが分かった。そこで、このTPMを用いて、ファイル暗号化方式の鍵ペア及びS/MIME用の鍵ペアを安全に保管することにした。」
   ― ここから「鍵ペアを扱う処理（生成・保管）」がTPMで必ず行える機能であると推測できます。
2. TPM v1.2 の標準機能
   ① ハードウェア乱数生成器（True RNG）
   ② RSA などの公開鍵暗号方式の鍵ペア生成
   ③ 鍵の格納・封印（シーリング）
   ④ プラットフォーム状態の測定・報告
   ― 共通鍵でのファイル暗号や大量データの記憶は想定されていません。
3. 解答群を照合
   ア：暗号化された共通鍵を、ハードディスクに格納する機能
   → ハードディスクに格納するのはOSやアプリの役割で、TPMの必須機能ではありません。
   イ：共通鍵でファイルを暗号化する機能
   → TPMは大容量データの暗号化を行わないため該当しません。
   ウ：従業員の鍵ペアを生成する機能
   → 公開鍵暗号方式の「鍵ペア生成」はTPM標準機能。
   エ：乱数を生成する機能
   → ハードウェアRNGはTPM標準機能。
4. よって必ず実行できる機能は「ウ」「エ」となります。

誤りやすいポイント

• 「鍵を安全に保管できる」と読んで「ア」を選ぶミス：TPMが直接ハードディスクに格納するわけではありません。
• 「ファイル暗号」をTPMがそのまま実行していると誤解し「イ」を選ぶミス：TPMは暗号処理用の鍵を提供するが、ファイル暗号化自体はPC上の暗号化ソフトが行います。
• 「TPM＝セキュアストレージ」というイメージだけで考え、乱数生成機能を見落とすミス。

FAQ

解答の論理構成

1. 前提の把握
   問題文には「G社のすべてのPCには、dに基づいて評価及び認証されたTPM（Trusted Platform Module）バージョン1.2対応製品が搭載されている」とあります。ここで焦点となるのは「TPM」が「評価及び認証」されたという点です。
2. TPM の評価制度
   TPM などセキュリティ IC や暗号モジュールは、国際的に「ISO/IEC15408」に基づく共通評価基準（Common Criteria：ＣＣ）でセキュリティ機能と保証を評価・認証するのが一般的です。
3. 選択肢の照合
   解答群を整理すると
   ・ア：「CC(ISO/IEC15408)」
   ・イ：「JISQ15001」
   ・ウ：「JISQ27001(ISO/IEC27001)」
   ・エ：「PCIDSS」
   TPM のハードウェア・ファームウェアが対象になるのは「機能・保証を評価」する「CC(ISO/IEC15408)」であり、他の選択肢は
   ・「JISQ15001」＝個人情報保護
   ・「JISQ27001(ISO/IEC27001)」＝情報セキュリティマネジメントシステム
   ・「PCIDSS」＝カード情報保護のセキュリティ基準
   で、ハードウェア製品の機能評価・認証とは性質が異なります。
4. 結論
   よって d に入る評価基準は「CC(ISO/IEC15408)」であり、記号では「ア」です。

誤りやすいポイント

• 「ISO/IEC27001」も国際規格なので選びたくなるが、これは組織体制（ISMS）の認証であり、TPM のような製品そのもののセキュリティ機能を評価する規格ではありません。
• 「PCIDSS」はカード業界の運用要件であり、評価・認証スキームというより遵守要件である点を取り違えやすいです。
• 「JISQ15001」は国内の個人情報保護マネジメント規格であり、ハードウェア評価には適用されません。

FAQ

解答の論理構成

• 【問題文】では、テープを「通常の宅配便サービスによって本社に送付する」と明記されています。
  引用：「その週の金曜日に、保管しておいたテープを梱包し、商品配送などで利用している通常の宅配便サービスによって本社に送付する。」
• テープには営業所サーバの「全データのフルバックアップ」が記録されており、多数の機密情報が含まれます。
  引用：「毎週土曜日、バックアップソフトのスケジューラで、1本のテープに全データのフルバックアップを行う。」
• 宅配便は社外の輸送手段です。輸送中に紛失・盗難が発生すると、テープ内の機密情報が第三者の手に渡る恐れがあります。
  この点を踏まえ、L課長は「社外への情報漏えいのリスクが高くなる可能性」を指摘しました。
• したがって解答は「バックアップテープを本社に宅配便で移送する際にテープが盗難に遭う」となります。

誤りやすいポイント

• テープ自体は社内で暗号化されていると早合点し、輸送リスクを軽視してしまう。
• 「宅配便＝信頼できる輸送手段」と思い込み、盗難・紛失の脅威を見落とす。
• リスクの主体を“本社保管時”と誤解し、輸送時を回答に含めない。
• 「漏えい」ではなく「破損」「劣化」など可用性側面のリスクを書いてしまう。

FAQ

解答の論理構成

• 【問題文】ではバックアップテープを
  「1本のテープに全データのフルバックアップ…通常の宅配便サービスによって本社に送付」
  と記載しており、さらに
  「①このバックアップ方式を導入することによって、社外への情報漏えいのリスクが高くなる可能性」
  と指摘されています。
• テープに書き込む時点でファイル暗号化方式による暗号は解除されており、テープ上のデータは平文です。したがって、輸送中にテープが紛失・盗難に遭えば、顧客データ・注文データなどの機微情報がそのまま流出します。
• そこで、(ア)テープに書き込む前に暗号化する、(イ)輸送経路自体の安全性を高める、という二方向の対策が必要となります。
• 具体的な解答例として模範解答に示された
  「テープにデータをバックアップする際、暗号化する。」
  「安全な移送サービスを利用する。」
  が適切となります。

誤りやすいポイント

• 「テープはサーバルームで保管されているから安全」と誤認し、輸送中リスクを見落とす。
• ファイル暗号化方式を採用しているためテープ上も暗号化済みだと早合点する。コピー時に復号される仕様を忘れがち。
• 30字以内の指示を守れず、複数案を長文で列挙して減点される。

FAQ

解答の論理構成

1. TPM 故障の影響
   • マザーボード交換で TPM が入れ替わり、そこに格納されていた鍵ペアが失われたため「暗号化されたデータが全く読めなくなってしまった。」
2. バックアップ時の復号動作
   • 「営業所サーバにファイルがコピーされる際には、ファイル暗号化方式によって暗号化されているものは復号された上でコピーされる。」
   • したがって表中の(a)「表計算ファイル」と(c)「PDFファイル」は、営業所サーバ側では平文で保存されている。
3. メールデータだけは復号されない
   • 注記として「G社が使用しているメールソフトは、すべてのメールをPC上の一つのメールボックスファイルに格納する。」
   • さらに「注文データ又は仕入原価データを含むメールはすべてS/MIMEで暗号化してやり取りすることにした。」
   • バックアップスクリプトはメールボックスファイルをそのままコピーするだけで、S/MIME で暗号化された本文は復号されない。
4. 復旧後に残った“読めないデータ”
   • 復元した時点で、(a)(c)は平文なので鍵が無くても閲覧可能。
   • しかし S/MIME の秘密鍵を失ったままでは、(b)「メールボックスファイル内のメール（MIME形式）」に含まれる暗号本文だけが読めない。
5. よって、下線②で「読めなかったデータ」は表中(b)のみである。

誤りやすいポイント

• ファイル暗号化方式で暗号化したデータは“常に暗号のままコピーされる”と思い込む。実際にはバックアップ時に復号されるため鍵を失っても読める。
• 「TPM が壊れた＝すべての暗号データが読めない」と短絡的に判断し、(a)(c)も選んでしまう。
• S/MIME とファイル暗号化方式を混同し、メール本文の暗号化形態を見落とす。

FAQ

解答の論理構成

1. 【問題文】では、暗号化鍵の保管方法について「このTPMを用いて、ファイル暗号化方式の鍵ペア及びS/MIME用の鍵ペアを安全に保管することにした。」とあり、秘密鍵はTPM内部に格納される設計です。
2. 【問題文】の〔バックアップ方式の検証と改善〕で「PCが故障し、マザーボードの交換修理を行った。」と記載されています。TPMは通常マザーボード上に実装されているため、交換によりTPM自体が別物になります。
3. TPMが変わると、旧TPMに格納されていた「ファイル暗号化方式の鍵ペア及びS/MIME用の鍵ペア」の秘密鍵にアクセスできなくなります。
4. 復号できなくなる対象は、TPMに保存された秘密鍵で暗号化されていたデータです。メール関連では「表中の(b) メールボックスファイル内のメール（MIME形式）」が該当し、さらに「注文データ又は仕入原価データを含むメールはすべてS/MIMEで暗号化」されています。
5. したがって、マザーボード交換＝TPM交換により秘密鍵が失われ、「メールボックスファイル内の暗号化されたメール」を復号できず、サーバから戻しても読めなかった、という結論になります。

誤りやすいポイント

• ファイル暗号化とメール（S/MIME）暗号化の鍵が同一だと誤解し、読めなくなったデータを限定できない。
• 「TPMを用いて鍵ペアを保管」とあるが、公開鍵のみと勘違いし、秘密鍵は別途バックアップ可能と思い込む。
• マザーボード交換＝TPM交換というハードウェア依存性を見落とし、ソフトウェア再インストールで復号可能と誤判断する。

FAQ

解答の論理構成

1. 事故発生の状況
   • 【問題文】「マザーボードの交換修理を行った。すると、暗号化されたデータが全く読めなくなってしまった。」
   • TPMはマザーボード上に搭載されるため、交換するとTPMチップが変わり、従来の鍵ペアにアクセスできなくなる。
2. バックアップデータ復元でも読めなかった理由
   • 【問題文】「②それでもサーバから戻したデータの一部はPCで読めなかった」
   • 暗号文は復元できても復号に必要な鍵ペアが新しいTPMに存在しないため。
3. 原因の特定
   • 【問題文】「TPMの利用方法を改善する必要がある」
   • 鍵ペアをTPM内部でのみ生成・保管していたことが原因。TPMを交換すると鍵を失う。
4. 手順修正の要件整理
   • a) TPMに依存しない形で鍵ペアを作成
   • b) 安全にバックアップしておき、TPM消失時に再投入できるようにする
   • c) その後、TPMのセキュアな保護機能を利用して通常時は安全に保管
5. 以上を満たす具体的修正手順
   • 「ファイル暗号化方式とS/MIMEの鍵ペアをTPM外で作成して安全にバックアップした後、TPMを用いて保管する」という模範解答につながる。

誤りやすいポイント

• TPMを交換しても鍵ペアが自動的に引き継がれると誤解する。
• 暗号化ファイルさえ戻せば読めると考え、鍵ペアのバックアップを軽視する。
• 「TPM外で作成」と「TPM外に保管」の違いを混同し、鍵を生成後すぐTPMに閉じ込めてしまう。

FAQ