人的セキュリティ対策
頻出約 33 分5 用語過去問 9 題
この単元の目標
- 情報セキュリティ啓発と情報セキュリティ訓練の違いを、「知る」と「できる」というねらいの差で説明できる。
- 標的型メール訓練が、練習用のメールを送るところから追加の教育までどう進むかを順に説明できる。
- 監視と内部不正防止ガイドラインが、組織の内部で起きる不正の抑止と発見にどう役立つかを説明できる。
用語総表（5 語）
用語
情報セキュリティ啓発とは、社員一人ひとりに情報漏えいなどのリスクと守るべきルールを知らせ、注意を払う意識を育てる活動である。
人の不注意やルール違反は事故の大きな原因になるため、技術や設備による対策だけでは足りない。啓発は、研修や社内掲示、メールでの注意喚起などを通じて、繰り返し行うのが基本である。新しい手口が出てくるたびに情報を更新し、社員が古い知識のままにならないようにする。
たとえ駅の構内放送で「お荷物の置き忘れにご注意ください」と何度も流すようなもの。聞いた人が自分で気をつけるようになることをねらっている。
覚え方「啓」には「ひらく」という意味がある。相手の目を開かせて気づかせる、と字から思い出す。
出題のポイント
- 出題教育の対象は一部の部署や担当者に限らず、全社員とする。新入社員には入社時の研修から組み込み、内容は各人の業務や役割に合わせて変える。
- 出題社員への教育や攻撃手口の周知は人的セキュリティ対策に分類される。施錠や入退室管理、災害に備えて離れた場所に予備の設備を置くことなど、建物・設備に関わる対策は物理的対策として区別する。
- 出題利用者へのセキュリティ教育は、修正プログラムの適用と並んで、ウイルス感染を防ぐ有効な対策の一つである。
この用語の過去問 1 題 情報セキュリティ啓発 →
情報セキュリティ訓練とは、事故が起きた場面を想定し、社員が正しい対応を実際に行えるよう練習させる活動である。
啓発が「知っている」状態をつくるのに対し、訓練は「その場で動ける」状態をつくる。例えば、不審なメールを受け取ったときの報告手順や、パソコンの異常に気づいたときの連絡先を、実際に手を動かして確かめる。一度で身につくものではないため、定期的に繰り返して結果を振り返る。
たとえ防災の避難訓練に近い。避難経路を紙で知っているだけでなく、実際に歩いてみて初めて迷わず動けるようになる。
覚え方「訓」は教えさとす、「練」は繰り返して鍛える。
出題のポイント
- 出題訓練を含む教育全般は、定期的に行うほか、事故や事件が起きた後にも行う。違反した人への再教育では、同じ失敗を防ぐ手立てまで扱う。
- 混同注意講義を聞いて知るだけの研修は啓発の側に入る。想定した場面で、報告・連絡や攻撃メールに似せた練習用のメールへの対応などを実際に試すと訓練になる。
この用語の過去問 1 題 情報セキュリティ訓練 →
「情報セキュリティ啓発」と「情報セキュリティ訓練」の違い
標的型メール訓練とは、特定の組織を狙う攻撃メールに似せた疑似メールを社員に送り、見抜いて報告できるかを確かめる訓練である。
標的型攻撃は、取引先や業務連絡を装ったメールで特定の組織を狙い、添付ファイルやリンクを開かせて侵入する攻撃である。訓練では本物の攻撃の代わりに無害な疑似メールを使い、開封したか、報告したかを記録する。結果を集計すると、組織のどこを重点的に教育すべきかが分かる。
たとえ本部の調査員が客を装って来店し、店員が決まりどおり対応できるかを確かめる覆面調査に似ている。
覚え方「標的」は弓の的。不特定多数に同じメールを送りつける攻撃に対し、相手を絞って狙うのが標的型。
出題のポイント
- 混同注意訓練で送るメールは組織が計画した無害な疑似メールであり、外部からの本物の攻撃ではない。
- 混同注意疑似メールを開かなかっただけでは十分ではない。怪しいと気づいて担当窓口に報告できたかも評価の対象になる。
監視とは、システムの動きや人の操作を記録・観察し、異常や不正の兆しを早く見つける対策である。
観察の材料になるのは、操作や通信を記録したログや、入退室の記録などである。プログラムの動きを見張り、ファイルを次々に書き換えるなど普段と違う挙動が出たら止める仕組みは振る舞い検知と呼ばれる。見られているという意識が不正を思いとどまらせるため、監視には発見だけでなく抑止の働きもある。
たとえ店の防犯カメラのようなもの。カメラがあるだけで万引きをためらわせ、何か起きたときは録画をさかのぼって確かめられる。
覚え方英語の monitor の語源は「警告する者」。見ていると知らせること自体が警告になる、と結びつける。
出題のポイント
- 出題ログは取得するだけでなく、定期的に点検 (監査) することで不正の早期発見につながる。
- 出題サーバ室のような重要な部屋では、見守る人がいるときだけ作業させるのが不正防止の基本である。入退室の記録も残す。
- 出題振る舞い検知は、プログラムの動きから不審な挙動を見つけて止めるため、まだ知られていない攻撃にも使える。
この用語の過去問 2 題 監視 →
内部不正防止ガイドラインとは、社員や元社員など組織の内部の人による内部不正を防ぐための考え方と対策を、IPA (情報処理推進機構) がまとめた指針である。
内部不正とは、組織の内部の人が情報を持ち出したり、権限を悪用してデータを書き換えたりする行為をいう。ガイドラインは、不正をした人を罰するだけでなく、そもそも不正を起こさせない環境をつくることを重視している。経営者の関わり方から権限の管理、記録の点検、教育まで、組織全体で取り組む対策を示している。
たとえマンションの管理規約に近い。鍵の管理、出入りの記録、共用部の使い方を前もって決めておくことで、トラブルが起きにくい住まいにする。
覚え方発行元の IPA は、IT パスポート試験を実施している機関でもある。
出題のポイント
- 出題基本方針を定めて社内外に示すのは経営者の役目で、内部不正対策の責任は経営者にある。
- 出題管理者の権限は一人に集めず、互いに確認できる形にする。不正が起きたときは、処分の検討とあわせて同じことが起きない手立てをとる。
この用語の過去問 1 題 内部不正防止ガイドライン →
要点
- 情報セキュリティ啓発はリスクとルールを知らせることを、情報セキュリティ訓練は想定した場面で実際に動けるようにすることをねらう。
- 標的型メール訓練は無害な疑似メールを使い、見抜く力と報告の習慣を確かめる訓練の一例である。
- 教育は全社員を対象に、定期的に、また事故の後にも行い、内容は役割に合わせて変える。
- 監視はログなどの記録を点検して不正を見つけるとともに、見られているという意識で不正を抑える。
- 内部不正防止ガイドラインは IPA の指針で、経営者の責任のもと、不正を起こさせない環境づくりを求める。
この分野の過去問をすべて見る →