平成27年度春期 データベーススペシャリスト 午前Ⅱ 問21

クラウドリスク整理の着眼点

クラウドサービスの情報セキュリティリスクを考えるときは、用語の印象や表面的な違いだけで判断せず、何を対象に、どの範囲を、どの観点から整理している説明なのかを確認します。

この問題で問われていること

選択肢を比べる際は、個別の対策や事例に飛びつかず、リスクを分類しようとしている対象と評価の軸が一貫しているかを、示されている条件に照らして丁寧に確認してください。

視点

分類を検討するときは、対象となる資産や業務などを捉え、どの範囲を評価している説明なのかを読み取ります。そのうえで、同じ視点から各記述を比較し、対象と評価軸のずれに注目します。

確認ポイント

• 確認対象と評価範囲が示された条件に合っているか
• 分類の視点が途中で別の対象へ変わっていないか
• 記述を同じ評価軸で比較できているか

正解

ア

解説

正答はアです。海外のデータセンタに保管された情報や設備が、その国の法執行機関の命令によって開示・差押えの対象となるリスクは、技術的な脆弱性ではなく、現地の法制度や公的権限に起因します。

理由

アは、データセンタが置かれた国の法執行機関による命令が原因です。保管データの開示やハードウェアの差押えは、現地の法制度や公的権限の適用によって生じるため、法的なリスクに分類されます。

比較

イとウは、それぞれハイパーバイザの脆弱性とデータセンタ内の不具合に起因する技術関連のリスクです。エはリソースを大量消費させる攻撃による経済的損失であり、法制度の適用そのものを原因とするリスクではありません。

選択肢ア（正解）

これは正解だよ。データセンタの設置国にある法執行機関の命令によって、保存データの開示やハードウェアの差押えが行われる事象は、現地の法令や公的権限の適用に起因する。したがって、海外保管に伴う法的なリスクに該当する。

選択肢イ

これは不正解だよ。ハイパーバイザは仮想マシンを管理する基盤ソフトウェアであり、その脆弱性によるサービス運用妨害は、システムの技術的な弱点を悪用した事象である。法執行機関の命令や現地法の適用が原因ではないため、法的なリスクではない。

選択肢ウ

これは不正解だよ。データセンタの他のテナントへ情報が漏えいする事象は、隔離機能やアクセス制御などの不具合に関係する。原因はクラウド基盤の技術的な問題であり、海外の法制度や公的機関の権限によって発生する法的なリスクとは異なる。

選択肢エ

これは不正解だよ。従量課金の環境で通信回線などを大量消費させられ、経済的損失を被る事象は、外部からのリソース消費攻撃と課金方式の組合せによる問題である。海外の法令や行政機関の命令が直接の原因ではないため、法的なリスクには分類されない。

学習のポイント

クラウドのリスクは、法的要因、技術的要因、組織・運用上の要因に分けて、発生原因で判断します。