ITパスポート 平成27年度 春期 特別措置試験 問69

✓ これが正解ア 運用担当者のセキュリティ意識が低い。

解説

四つの肢は、脅威の三つの分け方にきれいに散らばっています。

設問の手口は、技術ではなく人の隙を突きます。管理者になりすまして電話で聞き出す、肩越しに画面を盗み見る、捨てた書類をあさる、入る人の後ろに続いて中へ入る、といったやり方です。どれも道具を使わずに済むので、機械の側をどれだけ固めても届きません。四つの肢を、人に関わるもの、建物や設備に関わるもの、技術に関わるものへ分けると、人に関わるものは一つだけです。だから守りの最後は、そこで働く人への教育になります。技術で固めるほど、残るのは人の側になります。厚くした分だけ、残った隙のほうが狙われやすくなります。

守る側は、手口の名前を覚えるより、なぜ通用してしまうのかを押さえるほうが役に立ちます。

ほかの選択肢の解説

• イ サーバ室の天井の防水対策が行われていない。：水漏れや災害に備える話で、建物や設備の側に属します。人の隙を突く手口とは、別の系統の備えです。水や熱や地震に対して何を備えるかを聞かれたら、こちらが答えになります。機械そのものではなく、置いてある場所を守る話になります。
• ウ サーバへのアクセス制御が行われていない。：誰に何をさせるかを決める仕掛けが無い、という状態です。これを突くのは技術であって、人をだますことではありません。どの人にどこまで許すかを取り決めたい、と聞かれたら、こちらが答えです。権限は、必要な分だけを渡すのが原則になります。
• エ 通信経路が暗号化されていない。：流れている中身が読まれてしまう状態です。これも技術で突く側の話になります。流れている中身を読まれないためにどうするかを聞かれたら、これです。