情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問20: 利用者 PC の HDD が暗号化されていないとき，攻撃者が利用者 PC から HDD を抜き取り，攻撃者が用意した PC に接続して HDD 内の情報を盗む攻

問題本文

利用者 PC の HDD が暗号化されていないとき，攻撃者が利用者 PC から HDD を抜き取り，攻撃者が用意した PC に接続して HDD 内の情報を盗む攻撃によって発生する情報漏えいのリスクの低減策のうち，適切なものはどれか。

選択肢

• ア.HDD にインストールした OS の利用者アカウントに対して，ログインパスワードを設定する。
• イ.HDD に保存したファイルの読取り権限を，ファイルの所有者だけに付与する。
• ウ.利用者 PC 上で HDD パスワードを設定する。
• エ.利用者 PC に BIOS パスワードを設定する。

正解

ウ. 利用者 PC 上で HDD パスワードを設定する。

解説

この攻撃では HDD 自体が別の PC に接続されるため，OS や PC 本体に設定した保護では防げず，HDD 自身に施す保護が必要となる。HDD パスワードはディスク内部に保存され，別 PC に接続してもパスワードがなければアクセスできないため，ウが正解である。

選択肢ごとの解説

• ア.OS のログインパスワードは元の PC で OS を起動した場合の認証にすぎず，HDD を別 PC に接続して直接読み出されると無効である。
• イ.OS のファイル読取り権限は OS が稼働している前提の制御であり，別 PC に接続して直接読み出される場合には機能しない。
• ウ.HDD パスワードは HDD 自体に施錠する仕組みで，別 PC に接続してもパスワードなしではアクセスできないため，正しい。
• エ.BIOS パスワードは元の PC の起動を制限するだけで，HDD を抜き取って別 PC に接続する攻撃には効果がない。