問63
頻出度★★★
リスク対策のうち, ソーシャルエンジニアリングへの対策に該当するものはどれか。
平成26年度 秋期 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 63
不正解ア
メールサーバでのウイルス検査は、マルウェア (ウイルス) の侵入を機械的に検知・除去する技術的対策であり、対象は不正なプログラムであって人を騙す行為ではない。ソーシャルエンジニアリングは人間の応対の隙を突く手口なので、ウイルス検査では防げない (例えばなりすまし電話は、ウイルスを一切使わずに情報を聞き出す)。
不正解イ
自家発電装置の設置は、停電によってシステムが止まらないようにする可用性確保のための物理的・設備的対策である。守っているのは情報システムの稼働継続であり、人を騙して情報を聞き出す行為とは無関係なので、ソーシャルエンジニアリング対策には当たらない。
- ウ
正解 正解はウ「電話で重要情報を伝達するときの方法を定めて, その手順に従って行う」。ソーシャルエンジニアリングは、システムの脆弱性を技術的に突くのではなく、人間の心理的な隙や不注意につけ込んで機密情報を盗み出す手口である。代表例が、社員や取引先、システム管理者になりすまして電話をかけ、「至急パスワードを教えてほしい」などと相手を急かして口頭で聞き出す行為である。この種の攻撃は、応対する人が「相手が本物かどうか」を確かめる手順を持たないことが原因で成立する。したがって対策も技術ではなく人と運用の側で行う必要があり、電話で重要情報を伝えるときは、相手の本人確認をどう行うか、いったん切って登録済みの番号にかけ直すか、そもそも電話では伝えてよい情報か、といった手順をあらかじめ規程として定め、全員がその手順どおりに応対することが有効である。ウはまさにこの「人の応対手順を定めて遵守する」対策なので、ソーシャルエンジニアリング対策に該当する。
不正解エ
入荷物に危険物が含まれていないかを受取場所で検査するのは、爆発物や有害物の持込みを防ぐ物理的セキュリティ (安全) 対策である。人の心理を突いて情報を詐取する手口への備えではないため、ソーシャルエンジニアリング対策とはいえない。
ここがポイント
- ソーシャルエンジニアリングとは、技術的手段ではなく人間の心理・行動の隙を突いて機密情報を入手する手口。なりすまし電話による聞き出し、肩越しにパスワードをのぞき見るショルダーハッキング、ごみ箱から書類を漁るトラッシング (スキャベンジング) などが代表例である。
- その対策は機器やソフトではなく人的・運用的対策が中心となる。電話応対や情報伝達の手順を規程化して遵守する、本人確認を徹底する、離席時に画面をロックする、書類はシュレッダーで廃棄する、従業員教育を継続する、といった施策が該当する。選択肢が技術的対策か物理的対策か人的対策かを見分けることが解答の鍵になる。
用語