問58
頻出度★★★
情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として, 適切なものはどれか。
平成28年度 春期 ITパスポート試験 問58
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 58
错误ア
在电子邮件系统中引入病毒检测与清除功能，属于针对恶意软件（计算机病毒）的技术性对策。它防范的是由程序发起的攻击，无法应对靠欺骗人来得手的社会工程学。
错误イ
实施模拟攻击测试（渗透测试）并针对发现的漏洞采取对策，是堵住服务器或系统技术性弱点的措施。它与钻人心理空子的社会工程学攻击针对的对象不同。
- ウ
正解 正确答案是ウ。所谓社会工程学，是指并非利用计算机的技术漏洞，而是钻「人的心理或行为空子」来窃取密码或机密信息的攻击手法（例如：冒充上司或管理员打电话套问密码、从背后偷看键盘输入、翻找垃圾箱里的文件等）。这类攻击靠技术防御无法完全阻挡，其瞄准的正是人本身，因此对策也必须针对「人」。如果对员工开展安全教育、提高其安全意识，员工就会养成不轻易回应可疑询问、不口头告知密码等行为习惯，从根本上防范冒充、偷窥之类的攻击。因此，作为针对人的对策，ウ最为恰当。
错误エ
引入自备发电装置是为停电做准备的对策，用于确保系统的可用性（不中断运行）。这属于物理性、环境性的对策，与靠欺骗人来窃取信息的攻击毫无关系。
ここがポイント
- 社会工程学不是靠技术，而是钻人的心理与行为空子来获取机密信息的攻击（冒充、偷窥、翻垃圾箱等），其对策的核心是安全教育等针对人的措施。
- 诀窍是把选项分类为「技术性对策（防病毒、漏洞对策）」「物理与可用性对策（自备发电）」「针对人的对策（教育）」，再选出与攻击对象是人相对应的那一项。
用語