問63
頻出度★★★
リスク対策のうち, ソーシャルエンジニアリングへの対策に該当するものはどれか。
平成26年度 秋期 ITパスポート試験 問63
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 63
错误ア
在邮件服务器上进行病毒检查，是以机械方式检测并清除恶意软件（病毒）入侵的技术性对策，其对象是非法程序，而不是欺骗人的行为。社会工程学是利用人员应对中的疏漏的手法，所以病毒检查防不住（例如冒充身份的电话完全不使用病毒就能套出信息）。
错误イ
安装自备发电装置，是为了让系统不会因停电而停止、确保可用性的物理性、设备性对策。它保护的是信息系统的持续运行，与欺骗他人以套取信息的行为无关，因此不属于社会工程学对策。
- ウ
正解 正确答案是 ウ「制定通过电话传达重要信息时的方法，并按照该步骤执行」。社会工程学不是从技术上利用系统的脆弱性，而是利用人心理上的疏忽和不注意来窃取机密信息的手法。典型例子是冒充员工、业务往来方或系统管理员打来电话，用“请紧急把密码告诉我”之类的说法催促对方，从而在口头上套出信息。这类攻击之所以能够得逞，原因在于接听的人没有一套确认“对方是否真是本人”的步骤。因此对策同样不在技术一侧，而必须在人员和运行管理一侧实施：在通过电话传达重要信息时，预先把如何进行本人身份确认、是否先挂断再拨打已登记的号码、这类信息本来是否可以通过电话传达等步骤制定为规程，并让全体人员都按照该步骤应对，这样才有效。ウ 正是这种「制定并遵守人员应对步骤」的对策，所以属于社会工程学对策。
错误エ
在收货地点检查入库物品中是否含有危险物品，是防止爆炸物和有害物品被带入的物理安全（安全防护）对策。它并不是针对利用人的心理骗取信息的手法的防备，因此不能说是社会工程学对策。
ここがポイント
- 社会工程学是指不依靠技术手段，而是利用人的心理和行为上的疏漏来获取机密信息的手法。典型例子包括通过冒充身份的电话套取信息、从背后窥视密码的肩窥（shoulder hacking）、以及从垃圾箱翻找文件的翻垃圾（trashing / scavenging）等。
- 其对策的核心不是设备或软件，而是人员性、运行管理性的对策。把电话应对和信息传达的步骤制定为规程并加以遵守、严格进行本人身份确认、离座时锁定屏幕、文件用碎纸机销毁、持续开展员工培训等措施都属于此类。判断各选项究竟是技术性对策、物理性对策还是人员性对策，是解题的关键。
用語