平成31年度 春期 情報セキュリティマネジメント試験 午前 問22
テクノロジ／セキュリティ利用者PCの内蔵ストレージが暗号化されていないとき，攻撃者が利用者PCから内蔵ストレージを抜き取り，攻撃者が用意したPCに接続して内蔵ストレージ内の情報を盗む攻撃の対策に該当するものはどれか。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問22
- ア内蔵ストレージにインストールしたOSの利用者アカウントに対して，ログインパスワードを設定する。
- イ内蔵ストレージに保存したファイルの読取り権限を，ファイルの所有者だけに付与する。
- ウ利用者PC上でHDDパスワードを設定する。
- エ利用者PCにBIOSパスワードを設定する。
正解：ウ
解説
内蔵ストレージを抜き取られて別のPCに接続され，データを読み取られる攻撃に対しては，OSのログイン認証とは独立してストレージ自体をロックするHDDパスワードの設定が有効です。HDDパスワードはストレージのコントローラ側で認証を行うため，抜き取って別のPCに接続してもデータへのアクセスを防ぐことができます。
選択肢ごとの解説
- ア誤り。OSの利用者アカウントのログインパスワードは，ストレージを抜き取って別のOS環境から直接読み取られる攻撃には効果がありません。
- イ誤り。ファイルの読取り権限の設定はOS上のアクセス制御であり，ストレージを抜き取って別の手段で読み取る攻撃には効果がありません。
- ウ正しい。利用者PC上でHDDパスワードを設定すると，ストレージ自体に認証がかかるため，抜き取って別のPCに接続しても内容を読み取ることができません。
- エ誤り。BIOSパスワードは起動時のPC操作を制限するものであり，ストレージを抜き取って別のPCに接続した場合には効果がありません。