情報セキュリティの三要素は何で見分ける？
ITパスポート試験 令和2年度10月 問94 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
IoTデバイス群とそれらを管理するIoTサーバで構成されるIoTシステムがある。このシステムの情報セキュリティにおける①～③のインシデントと、それによって損なわれる、機密性、完全性及び可用性との組合せとして、適切なものはどれか。 〔インシデント〕 ① IoTデバイスが、電池切れによって動作しなくなった。 ② IoTデバイスとIoTサーバ間の通信を暗号化していなかったので、情報が漏えいした。 ③ システムの不具合によって、誤ったデータが記録された。
- ア
①：可用性、②：完全性、③：機密性
- イ
①：可用性、②：機密性、③：完全性
- ウ
①：完全性、②：可用性、③：機密性
- エ
①：機密性、②：可用性、③：完全性
会話形式の解説
講師この問題は、事故の原因よりも、結果として何が損なわれたかに注目します。
受験者電池切れで動かない場合は、情報の内容ではなく、使えないことが問題ですね。
講師その通りです。必要なときに利用できる性質を可用性といいます。①で損なわれたのは可用性です。
受験者②には暗号化していなかったとあります。分類するときは、情報が漏れたという結果を見ればよいですか。
講師はい。許可のない者に情報を知られない性質が機密性です。情報が漏れた②では、機密性が損なわれています。
受験者③は不具合が原因でも、誤ったデータが記録されたことに注目するのですね。
講師そうです。情報の正確さが保たれる性質を完全性といいます。③で損なわれたのは完全性です。
受験者①から可用性、機密性、完全性の順です。この並びの選択肢が正解ですね。
講師はい。①を可用性としていても、②を完全性、③を機密性とする選択肢では、後の二つが逆です。
受験者③だけを完全性とする選択肢も、①を機密性、②を可用性としているので違いますね。
講師その通りです。①を完全性、②を可用性、③を機密性とする選択肢も、三つとも対応が違います。「使えない・漏れる・誤る」という結果で見分けましょう。
まとめ
電池切れでIoTデバイスが使えなくなった①は、可用性の問題です。情報が漏えいした②は機密性、誤ったデータが記録された③は完全性の問題です。事故の原因ではなく、結果として何が損なわれたかで判断すると、正解はイです。
解答・解説
正解はイです
この問題のテーマ
IoTシステムで起きたインシデントが、情報セキュリティの三要素のどれを損なうかを問う問題です。
解き方の考え方
「使えなくなる」は可用性、「情報が漏れる」は機密性、「データが誤る」は完全性に対応させます。①は可用性、②は機密性、③は完全性なので、この順に並ぶ選択肢を探します。
選択肢ごとの解説
- ×ア ①：可用性、②：完全性、③：機密性①を可用性とする点は合っています。しかし、②の情報漏えいは機密性を、③の誤ったデータの記録は完全性を損なうため、②と③が入れ替わっています。
- ○イ ①：可用性、②：機密性、③：完全性電池切れでデバイスが動かない①は、必要なときに利用できないため可用性の問題です。情報が漏れた②は機密性、誤ったデータが記録された③は完全性の問題で、三つとも正しく対応しています。
- ×ウ ①：完全性、②：可用性、③：機密性①の動作停止を完全性、②の情報漏えいを可用性、③の誤記録を機密性としています。実際は順に可用性、機密性、完全性なので、いずれも対応が違います。
- ×エ ①：機密性、②：可用性、③：完全性③の誤ったデータの記録を完全性とする点は合っています。一方、①の動作停止は機密性ではなく可用性、②の情報漏えいは可用性ではなく機密性を損ないます。
補足
②には暗号化していなかったという原因も書かれていますが、分類の手掛かりは「情報が漏えいした」という結果です。③はシステムの不具合が原因でも、誤ったデータが記録された点から完全性と判断します。
POINT
- 可用性は、必要なときに機能を利用できる性質です。
- 機密性は、許可のない者に情報を知られない性質です。
- 完全性は、情報の正確さが保たれる性質です。
- インシデントの原因ではなく、結果として何が損なわれたかで判断します。