問76
頻出度★★★
セキュリティ対策の目的①～④のうち, 適切なアクセス権を設定することによって効果があるものだけを全て挙げたものはどれか。 ① DoS攻撃から守る。 ② 情報漏えいを防ぐ。 ③ ショルダハッキングを防ぐ。 ④ 不正利用者による改ざんを防ぐ。
平成26年度 春期 ITパスポート試験 問76
この問題の解説と、これまでの解答の記録です。
解説
問 76
不正解ア
① を含む点が誤り。DoS攻撃 (サービス妨害攻撃) は大量のリクエストや過大なデータを送り付けてサーバやネットワークを過負荷にし、正規利用者がサービスを使えなくする攻撃で、狙われるのは誰でも接続できる公開サービスの入口である。アクセス権は「認証を通った利用者が資源に何をできるか」を決める仕組みなので、権限判定に至る前の通信量そのものは抑えられない。対策はファイアウォールやIPS、通信量の制限、負荷分散などである。また、正しい ④ が抜けているため、効果があるものを全て挙げたことにもならない。
不正解イ
①, ③ はいずれも誤りで、正しい ②, ④ を1つも含んでいない。① はDoS攻撃で前述のとおりアクセス権では防げず、③ ショルダハッキングは入力中のパスワードや画面表示を背後から覗き見る物理的・人的な行為で、システムの権限設定とは無関係に情報が盗まれる。この選択肢は「効果があるものだけを全て挙げたもの」という設問の条件をまったく満たさない。
- ウ
正解 正解はウ「②, ④」。アクセス権 (アクセス制御) とは、ファイル・データベース・システム機能などの資源に対して、利用者やグループごとに「読取 (参照)」「書込 (更新)」「実行」などの操作を許可するか否かを定める仕組みである。したがって効果があるのは、権限の有無で操作を止められる目的だけである。② 情報漏えいの防止は、機密ファイルの読取権限を業務上必要な担当者だけに限定すれば、権限のない利用者はそもそも中身を参照できなくなるので、アクセス権の設定が直接効く典型例である。④ 不正利用者による改ざんの防止も、書込・更新・削除の権限を与えなければデータを書き換えられないため、アクセス権の設定で防げる。多くの利用者に参照だけを許し更新は限られた担当者だけに許す「読取専用」の設定は、この考え方をそのまま実現したものである。逆に ① と ③ は、いずれもアクセス権という論理的な権限設定の外側で起こる事象なので効果がない。よって効果があるものだけを全て挙げた組合せは ②, ④ となる。
不正解エ
④ は正しいが ③ を含む点が誤り。ショルダハッキング (ショルダーサーフィン) への対策は、のぞき見防止フィルタの装着、画面の向きや座席配置の工夫、離席時の画面ロック、入力時に周囲を確認するといった物理的・運用的な対策であって、アクセス権の設定では防げない。また正しい ② が抜けているため、いずれにせよ「効果があるものだけを全て」挙げたことにならない。
ここがポイント
- アクセス権 (アクセス制御) は、利用者やグループごとに資源への読取・書込・実行を許可するかどうかを定める論理的な仕組みである。読取を制限すれば情報漏えい防止、書込・更新を制限すれば改ざん防止に直接効く。
- アクセス権で防げない脅威を切り分けられることが要点。DoS攻撃 (可用性への攻撃) はファイアウォールや負荷分散など通信レベルの対策、ショルダハッキングはのぞき見防止フィルタや画面ロックなど物理的・人的対策で守る。「情報セキュリティの3要素のうちアクセス権が主に守るのは機密性と完全性であり、可用性や人的・物理的脅威は別の対策が必要」と整理して覚えるとよい。
用語