問80
頻出度★★★
盗難にあった PC からの情報漏えいを防止するための対策として, 最も適切なものはどれか。ここで, PC のログインパスワードは十分な強度があるものとする。
平成25年度 春期 ITパスポート試験 問80
この問題の解説と、これまでの解答の記録です。
解説
問 80対策は「守りたい資産」と「想定する脅威」に対応させて選ぶ
不正解ア
BIOSパスワードは、PC の電源投入時に BIOS (ファームウェア) が要求するパスワードで、正しく入力しなければ OS の起動や BIOS 設定の変更ができないようにするものである。手元にある PC を第三者に勝手に起動されるのを防ぐ効果はあるが、保護しているのは「その PC 本体を使って起動する」という経路だけであり、ディスクの中身は平文のまま残っている。盗難犯はその PC を起動する必要などなく、ハードディスクを取り外して別の PC に接続すればデータをそのまま読み出せる。また BIOS パスワードはマザーボードの電池を抜くなど物理的な操作で消去できる場合もある。物理的に機器を持ち去られる盗難のケースでは決め手にならず、最も適切とは言えない。
不正解イ
IDS (Intrusion Detection System、侵入検知システム) は、ネットワーク上の通信やサーバ上の記録を監視し、不正アクセスや攻撃の兆候を検知して管理者に通知する仕組みである。前提として監視対象のネットワークやシステムが稼働していることが必要で、しかも役割は「検知して知らせる」ことであり、漏えいそのものを止める仕組みではない。盗難された PC は組織のネットワークから切り離された手元で解析されるため、IDS の監視範囲の外にあり、ディスクを直接読み出す行為を検知することもできない。脅威 (物理的な盗難) と対策 (ネットワーク上の不正アクセス検知) が対応していない。
不正解ウ
パーソナルファイアウォールは、PC にインストールして、その PC が外部とやり取りする通信を監視・制御するソフトウェアである。外部からの不正アクセスを遮断したり、不審なソフトウェアが勝手に外部と通信するのを止めたりする効果があり、ネットワークにつながった状態で使う PC を守る対策としては有効である。しかし守っているのはネットワークという入口であって、記憶媒体に記録されたデータではない。PC を丸ごと持ち去られ、ディスクを取り外して別の環境で読み出されるという経路には、通信を制御するファイアウォールはまったく関与できない。したがって盗難による情報漏えいの対策にはならない。
- エ
正解 正解はエ「ハードディスクの暗号化」。盗難という脅威では、攻撃者は PC そのものを手にしており、時間をかけて中身を調べられる前提で考える必要がある。設問は「ログインパスワードは十分な強度がある」と断っているので、OS のログイン画面を正面から突破されることは想定しなくてよい。しかし、ログイン認証はあくまで OS が起動した後に働く仕組みであって、記憶媒体に記録されたデータそのものを守るものではない。攻撃者はハードディスクを PC から取り外して別の PC に外付けで接続したり、USB メモリなどから別の OS を起動したりすれば、その PC の OS のログイン認証をまったく経由せずにファイルを直接読み出せてしまう。ここでハードディスクを暗号化しておけば、ディスク上のデータは暗号鍵がなければ意味をなさない暗号文として記録されているため、媒体を取り出して他の環境に接続されても内容を読み取ることができない。つまり暗号化は、機器を奪われることそのものは防げなくても、奪われた後の「情報漏えい」を防ぐ最後の砦として働く。したがって、盗難にあった PC からの情報漏えい防止策として最も適切なのはエである。
ここがポイント
- 対策は「守りたい資産」と「想定する脅威」に対応させて選ぶ。盗難・紛失は、攻撃者が機器を物理的に手にする脅威であり、ディスクを取り外して他の PC につなぐ、別の OS で起動するといった方法で OS のログイン認証は迂回されてしまう。ログインパスワードや BIOS パスワードは「その PC を操作させない」対策であって記憶媒体上のデータ自体は保護しないため、盗難対策としては不十分である。
- ハードディスクの暗号化 (ディスク暗号化) は、記憶媒体に書き込むデータを暗号化しておき、正しい鍵がなければ内容を読み出せないようにする仕組みである。機器を奪われること自体は防げないが、奪われた後の情報漏えいを防ぐ対策として有効で、持ち出す PC やモバイル端末の標準的な備えとされる。これに対し IDS は不正アクセスの検知・通知、ファイアウォールは通信の制御と、いずれもネットワーク経由の脅威に向けた対策であり、目的が異なる点を区別して覚えておく。
用語