問75
頻出度★★★
情報セキュリティの機密性を直接的に高めることになるものはどれか。
平成25年度 秋期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 75
不正解ア
業務終了時に操作ログを取得して漏えいの痕跡がないかを確認するのは、事後に不正を見つけるための「発見的統制」です。監査証跡として重要ですが、確認した時点ではすでに漏えいが起きている可能性があり、漏えいそのものを防いだり、漏えいした内容を読めなくしたりはできません。機密性の維持に間接的に役立つだけで、直接的に高める措置とはいえません。
不正解イ
アクセス時に前回のアクセス日付が適正かどうかを確認するのは、身に覚えのないアクセス、すなわち不正利用の兆候を利用者自身に気づかせるための事後的なチェックです。これも発見的統制であり、不正アクセスを阻止したり情報の内容を保護したりする力はありません。したがって機密性を直接的に高めるものではありません。
不正解ウ
バックアップを取得して破壊や改ざんから復旧できるようにするのは、情報を必要なときに使える状態に保つ「可用性 (Availability)」と、情報が正確で完全な状態を保つ「完全性 (Integrity)」を高める対策です。むしろバックアップ媒体が増える分、管理を誤れば漏えい経路が増えることさえあり、機密性を直接高める措置ではありません。
- エ
正解 正解は エ。情報セキュリティの三要素のうち「機密性 (Confidentiality)」とは、許可された人だけが情報を参照でき、許可されていない人には情報の内容を知られない状態を保つ性質のことです。機密情報のファイルを暗号化しておけば、たとえファイルが外部に流出・漏えいしても、復号鍵を持たない第三者は中身を解読できません。つまり「許可されていない者に内容を知られない」という機密性の定義そのものを、技術的に直接実現している対策です。他の選択肢が「漏えいが起きたかどうかを後から確かめる」「壊れたデータを元に戻す」といった間接的・事後的な対策であるのに対し、暗号化だけが情報の内容そのものを保護し、機密性を直接的に高めます。
ここがポイント
- 情報セキュリティの三要素 — 機密性 (Confidentiality: 許可された者だけがアクセスできる) / 完全性 (Integrity: 情報が正確で改ざんされていない) / 可用性 (Availability: 必要なときに使える)。対策がどの要素に効くかを切り分けて考えるのが定番の出題パターンで、暗号化・アクセス権設定は機密性、デジタル署名・ハッシュは完全性、バックアップ・冗長化は可用性に対応する。
- 「直接的に高める」かどうかの見極め — 暗号化のように情報そのものを保護する予防的統制と、ログ確認やアクセス履歴の点検のように事後に異常を見つける発見的統制を区別する。発見的統制は有効な対策ではあるが、機密性を直接高めるものではない点に注意。
用語