情報セキュリティ
基本情報技術者試験「データマスキング」の問題
I社では、システムのテストに本番データベースのコピーをそのまま用いており、テスト環境には開発委託先も含め多くの人がアクセスできる。本番の個人情報がテスト環境から漏えいするリスクを下げつつ、現実に近いデータでテストしたい。対策として、最も適切なものはどれか。
アテスト環境のデータベースへ接続できる利用者を、社内の担当者だけに絞り込む。
イ本番をテスト環境へ複製する段階で、個人情報の項目を擬似の値へ差し替える。
ウテスト環境を本番並みのファイアウォールで囲い、外部からの不正な侵入を遮る。
エテストで使ったデータをテスト完了後に速やかに消し、保持期間を短く保つ。
正解
イ．本番をテスト環境へ複製する段階で、個人情報の項目を擬似の値へ差し替える。
根本のリスク源は『テスト環境に本物の個人情報が存在し、多くの人がアクセスできる』ことである。複製時に氏名や番号などを実在しない擬似値へ置換するデータマスキングを施せば、データ形式や分布は現実に近く保ちつつ実在の個人情報そのものをテスト環境へ持ち込まないため、たとえ漏えいしても本物の個人情報は流出しない。
?選択肢ごとの解説
ア ×アクセス利用者の限定は被害範囲をやや狭めるだけで、テスト環境に本物の個人情報が存在する前提は変わらず、許可された者からの漏えいや誤操作は残る。
イ ○根本のリスク源は『テスト環境に本物の個人情報が存在し、多くの人がアクセスできる』ことである。複製時に氏名や番号などを実在しない擬似値へ置換するデータマスキングを施せば、データ形式や分布は現実に近く保ちつつ実在の個人情報そのものをテスト環境へ持ち込まないため、たとえ漏えいしても本物の個人情報は流出しない。
ウ ×ファイアウォールによる境界防御は外部侵入対策で、内部の多数の利用者がアクセスできる状況や本物データの存在というリスク源を解消しない。
エ ×事後の削除は保持期間を短縮するだけで、保持中は本物の個人情報がテスト環境に存在し続け、その間の漏えいは防げない。
情報セキュリティの他の問題
A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…
この問題の「深掘り・誤答の完全解説・試験のコツ・覚え方」はアプリで。
無料ではじめる →基本情報技術者試験の全問を、一問ごとにAIの8-ways解説つきで。SRS暗記カード・全真模試・弱点診断まで。まずは無料で。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0165