正解：エ
各選択肢の解説
アPCの内蔵ディスクをストレージ暗号化し、盗難時にディスクを読まれないようにする。
誤り。ストレージ暗号化が守るのはディスクそのものです。PCを盗まれても中身は 読まれませんが、ファイルをメールに添付して外へ出した時点で、そのファイルは 暗号化されていない状態になります。守る範囲が「機器の中」に限られます。
イ図面を管理するシステムのデータベースを暗号化し、保存されたデータを守る。
誤り。データベース暗号化は、データベースに保存されたデータや、そのバックアップを 持ち出されたときに読まれないようにする対策です。システムから取り出して 添付したファイルには効きません。これも守る範囲は保存先の中です。
ウ図面フォルダのアクセス権を、業務に必要な設計部員だけに絞って付与する。
誤り。最小特権は、社内で誰がそのファイルを開けるかを絞る対策です。 アクセス権はファイルの置き場所で効くので、メールで社外に出たファイルには 及びません。正当な権限を持つ部員が送る場面では防げません。
エ図面のファイル自体を暗号化し、復号のパスワードは電話など別の経路で伝える。
正解。ファイル暗号化は、暗号化した状態のままファイルが持ち運ばれるので、 誤送信先や途中で手にした第三者は、鍵がなければ中身を読めません。 守る範囲が「ファイルの行き先すべて」に及ぶのが、他の3つとの違いです。
理解を深めるために
暗号化は「どこまで付いていくか」で選ぶ
暗号化には、どの単位で暗号化するかによっていくつかの種類があります。 金庫にたとえると、ストレージ暗号化やデータベース暗号化は金庫そのものに鍵をかける方式、 ファイル暗号化は書類1枚ずつに鍵をかける方式です。金庫から書類を出して郵送すれば、 金庫の鍵は書類を守ってくれません。書類に鍵がかかっていれば、どこへ行っても守られます。
なぜファイルの外へ出ると効かなくなるのか
- ストレージ暗号化: ディスク全体を暗号化する。利用者がログインしている間は、 OSが自動で復号してファイルを渡すので、コピーや添付をすると暗号化されていない状態で外に出る
- データベース暗号化: データベースのデータやバックアップを暗号化する。 システムを通して取り出した内容は復号された状態になる
- 最小特権: そもそも開ける人を絞る。ただし権限を持つ人が外へ送ることは止めない
- ファイル暗号化: ファイルそのものが暗号化されたまま移動する。鍵を持つ相手だけが開ける
なお、復号のパスワードを添付メールに続けて別のメールで送る運用では、メールが盗み見られると パスワードも一緒に知られてしまいます。電話など別の経路で伝えるのはそのためです。
混同しやすいものとの違い
| 対策 | 守る範囲 | 添付して社外に出したファイル |
|---|---|---|
| ファイル暗号化 | ファイルそのもの | 暗号化されたまま |
| ストレージ暗号化 | PCのディスク全体 | 効かない |
| データベース暗号化 | データベースの保存データ | 効かない |
| 最小特権 | 社内で開ける人 | 効かない |
試験では「何を盗まれる場面か」が手がかりになります。機器ごと盗まれるならストレージ暗号化、 ファイルが外に出ていく場面ならファイル暗号化です。