セキュリティ｜平成28年度 春期 ITパスポート試験（特別措置試験） 問58

• ウイルスを検知，除去する機能を電子メールシステムに導入する。
• サーバへの攻撃を想定した擬似アタック試験を実施し，発見された脆弱性への対策を行う。
• ✓ これが正解従業員のセキュリティ意識を高めるため，セキュリティ教育を行う。
• 停電に備えて，サーバルーム向けの自家発電装置を導入する。

解説

人を狙う手口なので、教育という人への対策が要ります。

ソーシャルエンジニアリングは、仕組みの穴ではなく人の隙を突く手口です。管理者になりすまして電話をかける、背後から画面をのぞく、捨てた紙をあさる。盗み見、盗聴、なりすましと並ぶ脅威のうち、どれも高度な技術を使いません。狙われているのが人である以上、打つ手も人に向いていなければ噛み合いません。四つの肢を見ると、三つは何かを導入すると書いてあります。悪いプログラムを見つける機能、攻撃を模した試験とその後の手当て、電気が止まっても回る装置です。それぞれ技術の穴、仕組みの穴、電源の断ちに向けたもので、対策として正しくても相手が違います。残る一つだけが、人の心構えを高めることを述べています。機器を一つも買わない肢が答えになる、という形の問題です。狙われているのが人なら、買う物ではなく人に手を打ちます。

ほかの選択肢はなぜ違うのか

• 届いた便りの中から、悪いプログラムを見つけて取り除く機能を入れる手です。技術の穴に向けた正しい対策ですが、だまして聞き出すという手口は、そもそもそこを通りません。相手が違います。だます手口は、そもそもそこを通りません。
• 攻撃を模した試験を行い、見つかった弱点をふさぐ手です。仕組みの穴を探して埋めるやり方なので、人の隙とは別の場所を見ています。試験の対象が機械である点が、この肢を外す手掛かりになります。試験の相手が人ではなく機械です。
• 電気が止まったときに備えて、自前で発電する装置を置く手です。建物や設備への手当てで、三つの誤答肢の中では最も遠い位置にあります。守っている相手が、人でも仕組みでもありません。守る相手が人でも仕組みでもありません。

この問題に関係する言葉

• ソーシャルエンジニアリング技術ではなく人の心理や習慣につけ込んで情報を聞き出す手口。急いでいるふりや、権威をよそおう形が典型です。
• なりすまし別の人や組織を装って、相手に信じ込ませる行為です。人をだます手口だけでなく、送信元のドメインや他人の権限を装う技術的なものも含みます。
• 盗聴通信の途中で、内容をひそかに読み取ること。経路を暗号化しておけば、読み取られても中身は分かりません。
• クラッキング

出典：平成28年度 春期 ITパスポート試験（特別措置試験） 問58

この問題を演習で解く

同じ単元をまとめて解くならセキュリティへ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）