問58
頻出度★★★
情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として, 適切なものはどれか。
平成28年度 春期 ITパスポート試験 問58
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 58
不正解ア
電子メールシステムへのウイルス検知・除去機能の導入は、マルウェア(コンピュータウイルス)に対する技術的対策。プログラムによる攻撃を防ぐものであり、人間をだます手口であるソーシャルエンジニアリングの対策にはならない。
不正解イ
擬似アタック試験(ペネトレーションテスト)を実施して発見された脆弱性に対策するのは、サーバやシステムの技術的な弱点をふさぐ対策。人の心理を突く攻撃であるソーシャルエンジニアリングとは対象が異なる。
- ウ
正解 正解はウ。ソーシャルエンジニアリングとは、パスワードや機密情報を、コンピュータの技術的な脆弱性ではなく「人間の心理や行動の隙」を突いて盗み出す攻撃手法(例: 上司や管理者になりすまして電話でパスワードを聞き出す、肩越しにキー入力をのぞき見る、ごみ箱の書類を漁るなど)。技術的な防御では防ぎきれず、狙われるのは人そのものなので、対策も「人」に向ける必要がある。従業員のセキュリティ意識を高める教育を行えば、不審な問い合わせに安易に応じない、パスワードを口頭で教えない、といった行動が身につき、なりすましやのぞき見といった攻撃を根本から防げる。よって人的対策であるウが最も適切。
不正解エ
自家発電装置の導入は停電に備える対策で、システムの可用性(止まらないこと)を確保するもの。物理的・環境的な対策であり、人間をだまして情報を盗む攻撃への対策とは無関係。
ここがポイント
- ソーシャルエンジニアリングは技術ではなく人間の心理・行動の隙を突いて機密情報を得る攻撃(なりすまし・のぞき見・ごみ箱漁りなど)であり、対策の中心はセキュリティ教育など人に向けた施策である。
- 選択肢を「技術的対策(ウイルス対策・脆弱性対策)」「物理・可用性対策(自家発電)」「人的対策(教育)」に分類し、攻撃対象が人であることに対応する対策を選ぶのがコツ。
用語