脅威の分類 — 人による不正と事故

盗み見 は、他人の画面や書類、手元の入力などを本人に気づかれないように目で見て、情報を不正に得る行為である。

背後から画面や手元をのぞく手口は ショルダーハック (ショルダーハッキング) とも呼ばれる。人の目で見るだけで成り立ち、特別な道具はいらない。

たとえATM で暗証番号を押す手元を、後ろに並んだ人がそっと見ているようなもの。

覚え方英語では shoulder surfing。肩 (shoulder) の上から画面を見る姿で思い出す。

この用語の過去問 2 題 盗み見 →

盗聴 は、ネットワークなどの通信経路を流れるデータを途中で 傍受 し、中身を不正に読み取る行為である。

暗号化されていない通信は、傍受されると内容をそのまま読まれるおそれがある。通信を 暗号化 しておけば、傍受されても中身を読み取られにくくなる。

たとえ糸電話の糸に別の糸をつないで、二人の会話をこっそり聞くようなもの。

覚え方「聴」は耳へんの字。やり取りを横から聞き取る姿で覚える。

この用語の過去問 2 題 盗聴 →

なりすまし は、他人や正規の組織を装い、その人として振る舞って情報を得たり不正な操作をしたりすることである。

盗んだ ID とパスワードでログインする方法のほか、電話やメールで身元を偽って相手をだます方法もある。対策の基本は、相手が本当に本人かを確かめる 本人認証 である。

たとえ他人の名札を付けて会議に紛れ込み、その人として発言するようなもの。

覚え方「成り済ます」は、すっかりその人に成りきるという意味の言葉。

この用語の過去問 2 題 なりすまし →

BEC は、経営者や取引先になりすましたメールで担当者をだまし、攻撃者の用意した口座へ送金させる詐欺である。

英語の Business Email Compromise の略で、日本語では ビジネスメール詐欺 と呼ぶ。例えば、振込先が変わったと伝えたり、至急の支払いだと急がせたりして、確かめる余裕を与えない手口が使われる。

たとえ社長の字をまねた偽のメモで、金庫番にお金を出させるようなもの。

覚え方C は Compromise (侵害)。取引のメールのやり取りが攻撃者に悪用される詐欺。

ビジネスメール詐欺 は、BEC の日本語での呼び名で、同じ詐欺を指す。

被害を防ぐには、振込先の変更などの依頼を受けたとき、メールに書かれていない連絡先 (以前から知っている電話番号など) で依頼元に確かめる。社内で送金を複数の人が承認する仕組みも備えになる。

覚え方ビジネス (取引) のメールを使った詐欺、と名前がそのまま手口を表している。

内部不正 は、従業員など組織の内部にいる者が、与えられた権限を悪用して、情報の持ち出しやデータの改ざんなどを故意に行うことである。

正規の権限で操作するため、外部からの攻撃より見つかりにくい。対策には、権限を業務に必要な範囲に絞ること、操作の記録 (ログ) を残して点検することなどがある。退職した人のアカウントをすぐに止めることも持ち出しを防ぐ手立てになる。

たとえ金庫の鍵を預かっている店員が、自分で中身を持ち出すようなもの。

誤操作 は、悪意のない人が操作を間違え、情報の漏えいやデータの消失を招くことである。

情報セキュリティの脅威は例えば人的・物理的・技術的に分けられ、誤操作は人が原因で起こる 人的脅威 に入る。例えば、メールの宛先を取り違える、必要なデータを消してしまうといった形で起こり、送信前の確認や二重チェック、バックアップで備える。

たとえ急いで書いた手紙を、似た名前の別の家に届けてしまうようなもの。

この用語の過去問 1 題 誤操作 →