Question 1

データを暗号化することによって、主に守られる情報セキュリティの要素はどれか。

Accepted Answer

機密性。暗号化は、鍵を持たない者には内容を読み取れない形にデータを変換する技術です。守っているのは「権限のない者に情報を見せない」という機密性であり、これが暗号化の中心的な役割です。具体的には、通信の途中で盗み見られたときの備え（通信の暗号化）と、パソコンやUSBメモリを紛失したときの備え（保存データの暗号化）という二つの場面で広く使われます。注意したいのは、暗号化しても中身が書き換えられることまでは防げないという点です。書き換えの有無を確かめるにはハッシュ値の照合やデジタル署名が必要で、そちらは完全性を守る技術です。役割を分けて覚えておきましょう。他の選択肢について：・可用性：必要なときに使える状態を保つ特性で、冗長化やバックアップが対応します。・保守性：システムの手入れのしやすさを表す品質特性で、情報セキュリティの要素ではありません。・拡張性：規模の拡大への対応しやすさを表す言葉で、これも情報セキュリティの要素ではありません。

Question 2

共通鍵暗号方式の説明として正しいものはどれか。

Accepted Answer

暗号化と復号に同じ鍵を使う。共通鍵暗号方式は、暗号化するときと復号するときに、まったく同じ鍵を使う方式です。AESが代表例で、身近なところでは無線LANの暗号化やファイルのパスワード保護に使われています。利点は処理が速いことで、大量のデータをまとめて暗号化する用途に向いています。一方で課題が二つあります。一つは、その鍵をどうやって相手へ安全に届けるかという鍵配送の問題です。もう一つは、相手ごとに別の鍵を用意する必要があるため、通信相手が増えると管理すべき鍵の数が急激に増えることです。この課題を解決するために考え出されたのが公開鍵暗号方式で、実際のTLS通信では両者を組み合わせて使っています。他の選択肢について：・別々の鍵を使う：これは公開鍵暗号方式の説明で、公開鍵と秘密鍵という対になった鍵を使います。・鍵を使わず元の値へ戻せない：これはハッシュ関数の説明で、そもそも復号を目的としていません。・第三者機関だけが保管する：鍵を誰が管理するかという運用の話で、方式の定義ではありません。

Question 3

公開鍵暗号方式を用いて、AさんがBさんへ内容を秘密にしたいメッセージを送る。Aさんが暗号化に使う鍵はどれか。

Accepted Answer

Bさんの公開鍵。公開鍵暗号方式では、公開鍵と秘密鍵という対になった二つの鍵を使い、一方で暗号化したものはもう一方でしか元に戻せません。内容を秘密にして送りたい場合は、受信者の公開鍵で暗号化します。対になる秘密鍵は受信者本人しか持っていないため、他の誰にも読めないからです。したがってBさんへ送るなら、Bさんの公開鍵を使います。公開鍵はその名のとおり誰に知られてもかまいませんが、秘密鍵は本人だけが持ち、決して他者へ渡してはいけません。なお、送信者が自分の秘密鍵を使う操作もありますが、それは内容を隠すためではなく、作成者が本人であることを示すデジタル署名のための手順です。「秘密にしたいなら相手の公開鍵、本人だと示したいなら自分の秘密鍵」と整理しておくと迷いません。他の選択肢について：・Bさんの秘密鍵：Bさん本人だけが持つ鍵であり、送信者であるAさんは入手できません。・Aさんの公開鍵：これで暗号化するとAさんの秘密鍵でしか戻せず、Bさんは読めません。・Aさんの秘密鍵：この操作はデジタル署名に当たり、内容を秘密にすることが目的ではありません。

Question 4

Webブラウザのアドレス欄に「https://」と表示されている場合に、実現されていることとして正しいものはどれか。

Accepted Answer

通信が暗号化され盗聴されにくい。HTTPSは、Webの通信であるHTTPをTLSという仕組みで保護したものです。実現されるのは主に二つで、一つはブラウザとサーバの間のやり取りが暗号化されて盗聴されにくくなること、もう一つはサーバ証明書によって接続先が名乗るとおりのサーバかを確認できることです。ここで初心者が誤解しやすいのは、これがあくまで「通信の途中」と「接続先の身元」に関する保証だという点です。そのサイトが載せている内容の正しさや、運営者が誠実かどうかまでを保証するものではありません。実際、フィッシングサイトが正規の手続で証明書を取得し、鍵マークを表示している例もあります。鍵マークがあるから安全、と考えないようにしましょう。他の選択肢について：・掲載内容が正しいと保証される：内容の真偽は通信の保護とはまったく別の問題で、保証されません。・サーバに保存された情報が守られる：守られるのは通信の途中であり、サーバ内のデータの保護は別の対策の話です。・運営者が信頼できると保証される：証明書が確認するのは身元であって、事業者としての信頼性ではありません。

Question 5

無線LANを業務で利用する際の暗号化方式の選び方として正しいものはどれか。

Accepted Answer

WPA2以上を用いWEPは使わない。無線LANは、電波が届く範囲にいる第三者に通信を捕捉されうるため、暗号化の設定が欠かせません。方式にはWEP・WPA・WPA2・WPA3があり、古いWEPは解読の手法が広く知られていて安全とはいえないため、業務ではWPA2以上、可能であればより新しいWPA3を使うことが求められます。あわせて、機器の管理者パスワードを初期設定のまま使わないこと、接続用の鍵（パスフレーズ）を長く推測されにくいものにすることも重要です。暗号化の方式をいくら新しくしても、鍵が単純では意味がありません。なお業務用では、利用者ごとにIDを与えて認証する方式を使うと、退職者の接続を個別に止められます。他の選択肢について：・WEPを短い鍵で使う：解読の手法が確立しており、設定の手軽さと引き換えにできる安全性ではありません。・電波の範囲を狭めるだけ：範囲の制御は補助的な手段にすぎず、暗号化の代わりにはなりません。・接続用の鍵を初期設定のまま使う：初期値は機種ごとに知られていることが多く、実質的に無防備な状態です。

Question 6

電子文書に付されたデジタル署名を検証することで確認できることとして正しいものはどれか。

Accepted Answer

作成者が本人で改ざんもないこと。デジタル署名は、送信者が自分の秘密鍵を使って作り、受け取った側が対応する公開鍵で検証します。検証に成功すれば、その署名を作れるのは秘密鍵を持つ本人しかいないことから、作成者が名乗るとおりの者であること（真正性）が確認でき、同時に、署名を作った時点から内容が一文字も変わっていないこと（完全性）も確認できます。仕組みとしては、文書全体からハッシュ値を求め、その値を秘密鍵で処理したものが署名です。検証する側は受け取った文書から同じようにハッシュ値を計算し、署名から取り出した値と一致するかを見ます。だから改ざんがあれば必ず食い違うのです。他の選択肢について：・内容が秘匿されていること：秘匿は暗号化の役割で、署名を付けても本文そのものは読める状態です。・期限までに届き開封されたこと：配達や開封の事実は、署名の検証で分かることではありません。・作成日時を第三者が証明したこと：それはタイムスタンプが担う役割で、署名だけで時刻が保証されるわけではありません。

Question 7

ハッシュ関数の性質として正しいものはどれか。

Accepted Answer

入力が少し違えば値が大きく変わる。ハッシュ関数は、どんな長さのデータからでも決まった長さの値（ハッシュ値）を計算する関数です。大きな特徴は、入力がほんの少し違うだけで得られる値がまったく別のものになることで、この性質があるからこそ、ファイルのハッシュ値を送信前と受信後で比べるだけで改ざんの有無が分かります。あわせて押さえたい性質が二つあります。一つは、同じ入力からは何度計算しても必ず同じ値が得られること。もう一つは、得られた値から元の入力を求めることが極めて難しいこと（一方向性）です。元に戻すことを目的としていない点が、暗号化との決定的な違いです。他の選択肢について：・得られた値から元の入力に戻せる：一方向性に反しており、復元が容易であれば用をなしません。・値の長さが際限なく長くなる：出力の長さは方式ごとに固定で、入力の長さによりません。・実行するたびに異なる値になる：毎回変わっては照合に使えず、ハッシュ関数の目的を果たせません。

Question 8

電子証明書を発行し、その所有者が確かに実在することを確認する役割を担う機関はどれか。

Accepted Answer

認証局（CA）。認証局（CA）は、公開鍵の持ち主が名乗るとおりの者であることを審査したうえで、その公開鍵と所有者の情報を結び付けた電子証明書を発行する、第三者の立場にある機関です。なぜこうした機関が必要かというと、公開鍵は誰でも自由に配れてしまうため、それだけでは「本当にその人の鍵か」を確かめられないからです。信頼できる第三者が本人であることを確認し、証明書という形で保証することで、初めて安心して使えるようになります。この認証局を頂点とする仕組み全体を公開鍵基盤（PKI）と呼びます。ブラウザがサーバ証明書を検証して鍵マークを表示できるのも、この枠組みが働いているからです。他の選択肢について：・SOC：セキュリティの監視と分析を専門に行う組織を指す言葉で、証明書の発行機関ではありません。・監査法人：財務諸表などの監査を行う法人であり、電子証明書の発行主体ではありません。・ISP：インターネットへの接続を提供する事業者で、証明書の発行を担う機関ではありません。

Question 9

社外へ持ち出すノートパソコンの紛失に備えた対策として、最も効果が期待できるものはどれか。

Accepted Answer

記憶装置全体を暗号化しておく。端末を紛失したときに最も困るのは、第三者に中のデータを読まれてしまうことです。そこで、記憶装置全体を暗号化し、起動時に本人確認を求める設定にしておくことが、最も効果の高い備えになります。ここで「起動時の本人確認だけでよいのでは」と思うかもしれませんが、それだけでは不十分です。記憶装置を取り外して別の機器につなげば、そのまま中身を読み取られてしまうからです。装置全体を暗号化しておけば、取り外されても鍵がなければ読めません。あわせて、紛失時に遠隔からデータを消去できる仕組みを備えておくこと、そもそも持ち出す端末には必要最小限のデータしか置かないことも重要です。他の選択肢について：・連絡先の名札を貼る：返却される可能性は高まりますが、悪意ある拾得者に対しては情報漏えいを防げません。・管理番号の印字：資産の管理には有効ですが、中のデータそのものの保護には結び付きません。・操作履歴の記録：事後の追跡には役立ちますが、紛失後に読み取られることを止める効果はありません。

Question 10

バックアップの運用として正しいものはどれか。

Accepted Answer

離れた場所へ保管し復元を試す。バックアップは、取得しただけでは備えとして不十分です。実際に元へ戻せるかを定期的に試して、初めて意味を持ちます。媒体が壊れていた、取得の設定が途中から失敗していた、といったことは珍しくなく、いざというときに気付いても手遅れだからです。もう一つ大切なのが保管する場所です。元のシステムと同じ部屋に置いていると火災や水害で一緒に失われますし、常時ネットワークにつながっていればランサムウェアに一緒に暗号化されてしまいます。離れた場所に保管する、あるいはネットワークから切り離した媒体に保管することが望まれます。取得の頻度は、失っても許容できるデータ量から逆算して決めます。他の選択肢について：・同じ室内に置く：取り出しは速い反面、災害や広い範囲に及ぶ感染で本体と同時に失われる危険があります。・毎回手作業で担当者が判断：作業の漏れや頻度のばらつきが生じやすく、運用として安定しません。・一度も読み出さずに保管：媒体の劣化や取得の失敗に気付けず、必要なときに復元できない事態を招きます。

基礎-4 暗号化と安全な通信の基礎の一問一答