問80
頻出度★★★
盗難にあった PC からの情報漏えいを防止するための対策として, 最も適切なものはどれか。ここで, PC のログインパスワードは十分な強度があるものとする。
平成25年度 春期 ITパスポート試験 問80
这道题的解析和你的作答记录。
解説
問 80选择对策时要让它与「想保护的资产」和「设想的威胁」相对应
错误ア
BIOS 口令是 PC 通电启动时由 BIOS（固件）要求输入的口令，若不能正确输入就无法启动操作系统或更改 BIOS 设置。它确实能防止手边的 PC 被第三者擅自启动，但它保护的只是「用这台 PC 本身启动」这一条路径，磁盘中的内容仍以明文形式留在那里。窃贼根本不需要启动这台 PC，只要把硬盘拆下来接到另一台 PC 上就能原样读出数据。而且 BIOS 口令有时还能通过拔掉主板电池等物理操作来清除。在设备被物理带走的失窃场景中，它起不到决定性作用，因此称不上最恰当。
错误イ
IDS（Intrusion Detection System，入侵检测系统）是一种监视网络上的通信和服务器上的记录，检测出非法访问或攻击的迹象并通知管理员的机制。它的前提是被监视的网络或系统处于运行状态，而且其职责是「检测并告知」，并不是阻止泄露本身的机制。被盗的 PC 是在脱离了组织网络的地方被分析的，处于 IDS 的监视范围之外，也无法检测出直接读取磁盘的行为。威胁（物理失窃）与对策（检测网络上的非法访问）并不对应。
错误ウ
个人防火墙是安装在 PC 上、监视和控制该 PC 与外部之间通信的软件。它能阻断来自外部的非法访问，也能阻止可疑软件擅自与外部通信，作为保护连接在网络上使用的 PC 的对策是有效的。但它守住的是网络这个入口，而不是记录在存储介质上的数据。对于整台 PC 被拿走、硬盘被拆下来在其他环境中读取这条路径，控制通信的防火墙完全无法介入。因此它不能作为失窃导致信息泄露的对策。
- エ
正解 正确答案是エ「对硬盘进行加密」。在失窃这一威胁下，攻击者已经把 PC 本身拿到了手里，必须按照他可以花时间慢慢查看其中内容这一前提来考虑。题目已经声明「PC 的登录口令具有足够的强度」，所以不必设想登录界面被正面攻破。但登录认证终究是操作系统启动之后才起作用的机制，它保护不了记录在存储介质上的数据本身。攻击者只要把硬盘从 PC 上拆下来、以外接方式连到另一台 PC 上，或者从 U 盘等介质启动另一个操作系统，就能完全绕开这台 PC 的操作系统登录认证，直接读出文件。而如果事先对硬盘做了加密，磁盘上的数据是以没有密钥就毫无意义的密文形式记录的，即使介质被取出、接到其他环境中，也无法读取其内容。也就是说，加密虽然阻止不了设备被夺走这件事本身，却能作为防止设备被夺走之后「信息泄露」的最后一道防线。因此，作为防止失窃 PC 中信息泄露的对策，最恰当的是エ。
ここがポイント
- 选择对策时要让它与「想保护的资产」和「设想的威胁」相对应。失窃、丢失属于攻击者把设备物理地拿到手中的威胁，通过把磁盘拆下来接到别的 PC 上、或用别的操作系统启动等方法，操作系统的登录认证会被绕开。登录口令和 BIOS 口令都是「不让别人操作这台 PC」的对策，并不保护存储介质上的数据本身，因此作为失窃对策是不充分的。
- 硬盘加密（磁盘加密）是把写入存储介质的数据事先加密、没有正确的密钥就读不出内容的机制。它虽然防不了设备被夺走这件事本身，但作为防止被夺走之后信息泄露的对策是有效的，被视为携带外出的 PC 和移动终端的标准配备。与此相对，IDS 是对非法访问的检测与通知，防火墙是对通信的控制，两者都是面向经由网络的威胁的对策，目的不同，要区分开来记住这一点。
用語