平成27年度 春期 ITパスポート試験 問69

正解 ソーシャルエンジニアリングとは、コンピュータやネットワークの技術を使わずに、人間の心理的な隙や不注意につけ込んで、パスワードや機密情報を不正に入手する手口の総称です。具体例としては、上司や取引先になりすまして電話でパスワードを聞き出す、修理業者を装って社内に入り込む、肩越しに画面やキー入力をのぞき見る (ショルダーハッキング)、ごみ箱の書類を漁る (スキャベンジング / トラッシング) などがあります。いずれも狙われるのは機器ではなく「人」であり、対策の中心は教育・意識向上と運用ルールの徹底です。したがって、被害に結びつきやすい状況とは、情報を扱う人のセキュリティ意識が低い状態、すなわちアの「運用担当者のセキュリティ意識が低い。」が正解です。意識が低ければ、身元を確認せずにパスワードを教えてしまう、来訪者を確認せず室内に通してしまうといった行動が起こりやすく、まさにソーシャルエンジニアリングが成立する条件になります。