問75
頻出度★★★
情報セキュリティに関して, 可用性が損なわれた事故の例に該当するものはどれか。
平成25年度 春期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 75
- ア
正解 正确答案是ア「由于停电，系统停止运行。」。信息安全被定义为保护机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）这三个要素。其中可用性，是指在被授权的用户需要时，能够可靠地访问并使用信息或信息系统的这种性质。因此，可用性受到损害的事故，既不是信息被泄露的事故，也不是内容出错的事故，而是指「想用的时候用不了」的事故。停电正属于这种情况。一旦失去电源，服务器和通信设备就会停止工作，业务系统随之停止，在此期间，用户即使拥有正当权限也无法获得服务。虽然数据本身既没有被第三方看到，也没有被改写，但仅就在需要时无法使用这一点而言，可用性已经丧失。另外，保障可用性的具体措施可以举出：通过不间断电源装置（UPS）和自备发电设备确保供电、设备的双重化（冗余化）和集群配置、备份与恢复流程的完善、以及为应对灾害而准备备份站点等。从这些措施都是为了「不停机、快速恢复」这一点也可以确认，停电导致的系统停止属于可用性的问题。
错误イ
由于错误地设置了文件的读取权限，使得没有权限的用户也能访问该文件——这样的事故是机密性受到损害的例子。机密性是指保持只有被授权者才能访问信息的这种性质，而访问权限的设置失误意味着这一控制被突破了。此时系统在正常运行，用户在需要时也能使用该文件，所以可用性并未丧失。相反，这是「连本不该看到的对象都看到了」这种机密性特有的损害。它属于应当通过访问权限最小化、核查设置内容等机密性对策来防范的事故，而不是可用性的例子。
错误ウ
由于非法访问而使与客户的交易数据发生泄露的事故，同样是机密性受到损害的例子。在未经授权的第三方获取到信息的那一刻，只有有限的人才能访问信息这一性质就已经被破坏了。泄露仅仅意味着信息流出到了外部，并不意味着系统停止运行，也不意味着正当用户无法使用数据，因此不属于可用性的毁损。这是需要采取加密、访问控制、强化认证等保护机密性的对策的事故，同时也要一并记住它与イ属于同一类别。
错误エ
由于程序的缺陷而使数据被错误更新的事故，是完整性受到损害的例子。完整性是指信息保持准确、完备，没有被非法篡改也没有错误的这种性质。被改写成错误数值的数据虽然还能读出来，但内容已不可信，所以在准确性这一点上失去了价值。系统本身仍在运行、用户也能访问，因此可用性得到了保持；信息也没有泄露到外部，所以也不是机密性的问题。输入检查、彻底的测试、更新历史的管理等，才是保护完整性的对策。
ここがポイント
- 本题的核心在于，把信息安全三要素的定义与事故的类型联系起来记忆。机密性（Confidentiality）是指只有被授权者才能访问——被突破就成为泄露、非法查看。完整性（Integrity）是指信息准确、未被篡改——被突破就成为数据错误、被篡改。可用性（Availability）是指在需要时能够使用——被突破就成为停止、延迟、无法使用。阅读选项时，按照「是泄露了、是出错了、还是停下了」来归类，就不会犹豫。
- 威胁可用性的原因包括停电、自然灾害、设备故障、拒绝服务攻击（DoS 攻击）等，对策则是通过 UPS 和自备发电确保供电、系统的冗余化、备份与恢复流程、备份站点的确保等，都是为了不停机、尽快恢复的机制。可用率被用作可用性的指标，这一点也值得一并理解。
用語