本ユニットでは、情報セキュリティを脅かす「人」に起因する脅威を分類して学びます。盗み見・盗聴・なりすましといった外部からの人的脅威と、内部不正・誤操作のように組織内部から生じる脅威を区別して理解します。情報セキュリティは頻出分野で、脅威の種類と特徴を正しく見分けられることが対策の出発点になります。
画面や書類を本人に無断でのぞき見て情報を不正に得る行為。
盗み見は、他人のパソコン画面や机上の書類、入力中のパスワードなどを本人の許可なくのぞき見て情報を得る、最も素朴な人的脅威です。背後から画面をのぞく行為は「ショルダーハッキング」とも呼ばれます。 特別な技術を使わず物理的に「見る」だけで成立する点が特徴で、通信経路を狙う盗聴との違いになります。試験では、のぞき見防止フィルター(プライバシーフィルター)の貼付や、離席時の画面ロック(クリアスクリーン)が有効な対策として問われます。
たとえ電車で隣の人がスマホに打ち込む暗証番号を、肩越しにこっそり見てしまうようなもの。道具を使わず「見るだけ」で情報を盗み取ります。
記憶フック盗み見といえば肩越しにのぞくショルダーハッキング
通信経路上を流れるデータを本人に無断で傍受し情報を盗む行為。
盗聴は、ネットワークを流れる通信データを途中で傍受し、中身を不正に読み取る脅威です。暗号化されていない無線LANやメールなどでは、通信内容がそのまま読み取られる危険があります。 物理的に「見る」盗み見に対し、盗聴は通信経路上の情報を狙う点が違いです。試験では、通信の暗号化(SSL/TLSやVPN、WPA2などの無線暗号化)が盗聴対策として有効であることが問われます。暗号化すれば傍受されても中身を読まれにくくなります。
たとえ郵便配達の途中で封筒を開けて手紙を読み取るようなもの。やり取りの「通り道」に割り込んで中身を盗み見ます。
記憶フック盗聴といえば通信経路の傍受、対策は暗号化
他人や正規の組織を装って不正にアクセスや行為を行うこと。
なりすましは、他人のIDやパスワードを使ったり、正規の相手や組織を装ったりして、本人になりかわって不正な操作や連絡を行う脅威です。盗んだ認証情報の悪用や、送信元を偽ったメールなどが典型例です。 本ユニットで最も出題頻度が高く、後続のBEC(ビジネスメール詐欺)やフィッシングの前提となる中核概念です。試験では、多要素認証やパスワードの適切な管理が対策として問われます。「本人かどうか」を確かめる本人認証の重要性と結び付けて理解しましょう。
たとえ他人の社員証を勝手に使って会社に入り込み、その人のふりをして手続きを進めるようなもの。「正規の人」を演じて信用を悪用します。
記憶フックなりすましといえば正規の人を装う不正、対策は本人認証
経営者や取引先になりすまし送金等を促す詐欺(ビジネスメール詐欺)。
BEC(Business Email Compromise)は、経営者や取引先になりすましたメールを送り、担当者をだまして偽の口座へ送金させるなどの被害を狙う詐欺です。なりすましを悪用した代表的な応用例にあたります。 「至急、振込先が変わったので新しい口座へ送金してほしい」といった文面で、緊急性や上司の権威を装って判断を急がせるのが手口の特徴です。試験では、メールだけで送金を判断せず電話など別手段で確認する、送信元を確認する、といった対策が問われます。和名は「ビジネスメール詐欺」です。
たとえ社長を装った偽の電話で「今すぐこの口座に振り込め」と経理担当をせかすようなもの。立場と急ぎを利用して冷静な確認をさせません。
記憶フックBECといえばなりすましメールで送金させる詐欺
BECの和名。なりすましメールで偽の送金等を行わせる詐欺。
ビジネスメール詐欺は、英語のBEC(Business Email Compromise)を日本語で表した呼び方で、同じ脅威を指します。経営者や取引先になりすましたメールで、担当者に偽の口座への送金などをさせる詐欺です。 略語のBECと和名のビジネスメール詐欺は同一概念なので、どちらの表記でも同じものだと判断できることが大切です。試験では、送金指示を受けたら電話など別ルートで真偽を確認する「ダブルチェック」が有効な対策として出題されます。
たとえ「振り込め詐欺」をビジネス版にしたようなもの。会社の取引メールを装い、担当者に偽の送金をさせる狙いは同じです。
記憶フックビジネスメール詐欺といえばBECの和名で同じもの
組織内部の者が権限等を悪用して故意に行う不正行為。
内部不正は、社員や元社員など組織の内部にいる者が、与えられた権限や知識を悪用して、機密情報の持ち出しやデータの改ざんなどを故意に行う脅威です。脅威の起点が外部から内部へ移る点がポイントです。 正規のアクセス権を持つ者による行為のため、外部からの攻撃より気づきにくいのが特徴です。試験では、アクセス権限を必要最小限にする、操作ログを記録・監視する、退職者のアカウントを速やかに削除するといった対策が問われます。悪意のない誤操作との違いは「故意かどうか」です。
たとえ店の合鍵を持つ従業員が、こっそり商品を持ち出すようなもの。正規の鍵を持つ「内側の人」だからこそ防ぎにくい不正です。
記憶フック内部不正といえば内部の者が故意に権限を悪用
悪意なく操作を誤って情報漏えい等を招く人的な事故。
誤操作は、悪意はないのに操作を間違えてしまうことで情報漏えいやデータ消失を引き起こす、人による事故です。メールの宛先間違い、添付ファイルの取り違え、誤ったデータの削除などが典型例です。 故意の内部不正と対になる「悪意なき脅威」で、両者の違いは「わざとか・うっかりか」です。脅威分類を締めくくる概念として押さえましょう。試験では、送信前の宛先確認や操作の二重チェック、こまめなバックアップが対策として問われます。人は誰でも間違えるという前提での備えが重要です。
たとえ急いでいてメールを別の人に送ってしまうようなもの。悪気はまったくないのに、うっかりの一手で情報が外に漏れてしまいます。
記憶フック誤操作といえば悪意なきうっかりの事故、対策はダブルチェック
関連の過去問演習は今後のアップデートで追加予定です。