問64
頻出度★★★
情報セキュリティに関して発生したインシデントのうち, 可用性が損なわれる直接の原因となったものはどれか。
平成23年度 特別試験 ITパスポート試験 問64
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 64
不正解ア
PC がウイルスに感染し、知らないうちに PC 内の情報が流出した事案である。ここで起きているのは、本来その情報にアクセスしてよい者だけが知り得るはずの内容が、外部の第三者に渡ってしまったことであり、侵害されたのは機密性 (Confidentiality) である。情報が流出しても PC やサーバは動き続けており、利用者がその情報や機器を使えなくなったわけではないため、可用性が損なわれた直接の原因とは言えない。ウイルス感染は場合によっては可用性の侵害 (システム停止やファイルの暗号化など) につながることもあるが、この選択肢に書かれている結果はあくまで情報の流出であり、literal に読めば機密性の侵害に分類される。
- イ
正解 正解はイ。情報セキュリティは機密性 (Confidentiality)・完全性 (Integrity)・可用性 (Availability) の三要素を維持することと定義され、頭文字をとって CIA と呼ばれる。このうち可用性とは、認可された利用者が必要とするときに、情報や情報システム・サービスへ中断なくアクセスし利用できる性質のことである。したがって可用性が損なわれたインシデントとは、情報が漏れた事案でも情報が書き換わった事案でもなく、システムやデータが「使えなくなった」事案を指す。イでは、空調設備が故障して室温が上昇し、その結果サーバが停止している。サーバが停止すれば、そこで動いている業務システムやサービスは利用者から見て利用不能となり、必要なときに使えるという性質がまさに失われる。ここで注意したいのは、原因が不正アクセスやウイルスといった人為的な攻撃ではなく、空調故障という設備・環境面の障害である点である。可用性を脅かす要因には、機器の故障、電源障害、災害、空調や電源といったファシリティの障害、操作ミス、そして DoS 攻撃などがあり、必ずしも悪意ある攻撃だけではない。設問が問うているのは「可用性が損なわれる直接の原因」であり、空調故障による温度上昇からサーバ停止という因果が一本の線でつながっているイが、この条件に最もよく当てはまる。なお可用性を確保する対策としては、機器の冗長化やクラスタ構成、無停電電源装置 (UPS) や自家発電設備の設置、空調・電源を含むデータセンタ設備の二重化、バックアップとバックアップサイトの用意などが挙げられる。以上より、可用性が損なわれる直接の原因となったインシデントはイである。
不正解ウ
サーバに不正侵入されて個人情報が盗まれた事案である。不正侵入という攻撃が行われている点で悪質だが、記述されている被害は個人情報が第三者に取得されたことであり、これは知られてはならない情報が知られた状態、すなわち機密性 (Confidentiality) の侵害である。サーバ自体は停止しておらず、正規の利用者がサービスを利用できなくなったとは書かれていないため、可用性の喪失には当たらない。アと同じく、情報が外へ漏れた事案は機密性、使えなくなった事案は可用性という切り分けで判断する。
不正解エ
ファイルの中の取引データの金額を誤って更新した事案である。データそのものは存在し、システムも利用できる状態にあるが、格納されている金額が事実と異なる値になっており、情報が正確かつ完全であるという性質が失われている。これは完全性 (Integrity) の侵害に該当する。完全性は改ざんのような悪意ある行為だけでなく、この選択肢のような入力ミス・操作ミスによっても損なわれる点が重要である。利用者はファイルを開いて処理を続けられるので可用性は保たれており、可用性が損なわれる直接の原因ではない。
ここがポイント
- 情報セキュリティの三要素 (CIA) — 機密性は認可された者だけが情報にアクセスできる性質 (侵害例: 情報漏えい・盗難・盗聴)、完全性は情報が正確かつ完全で改ざんや欠落がない性質 (侵害例: 改ざん・入力ミスによる誤更新)、可用性は必要なときに情報やシステムを利用できる性質 (侵害例: システム停止・機器故障・DoS 攻撃)。インシデント問題では「漏れたのか・狂ったのか・使えなくなったのか」で三要素に振り分けるのが定石。
- 可用性を脅かす要因と対策 — 可用性の喪失は不正アクセスなどの攻撃だけでなく、空調・電源といった設備障害、機器故障、災害、操作ミスなど非意図的な事象によっても起こる。対策は機器やシステムの冗長化・クラスタ構成、UPS や自家発電による電源確保、空調など設備の二重化、バックアップおよびバックアップサイトの確保など。
用語