ITパスポート 平成28年度 春期 特別措置試験 問58

✓ これが正解ウ 従業員のセキュリティ意識を高めるため，セキュリティ教育を行う。

解説

人を狙う手口なので、教育という人への対策が必要です。

ソーシャルエンジニアリングは、仕組みの穴ではなく人の隙を突く手口です。管理者になりすまして電話をかける、背後から画面をのぞく、捨てた紙をあさる。盗み見、盗聴、なりすましと並ぶ脅威のうち、どれも高度な技術を使いません。狙われているのが人である以上、打つ手も人に向いていなければ噛み合いません。四つの肢を見ると、三つは何かを導入すると書いてあります。悪いプログラムを見つける機能、攻撃を模した試験とその後の手当て、電気が止まっても回る装置です。それぞれ技術の穴、仕組みの穴、電源の断ちに向けたもので、対策として正しくても相手が違います。残る一つだけが、人の心構えを高めることを述べています。機器を一つも買わない肢が答えになる、という形の問題です。狙われているのが人なら、買う物ではなく人に手を打ちます。

ほかの選択肢の解説

• ア ウイルスを検知，除去する機能を電子メールシステムに導入する。：届いたメールの中から、悪いプログラムを見つけて取り除く機能を入れる手です。技術の穴に向けた正しい対策ですが、だまして聞き出すという手口は、そもそもそこを通りません。相手が違います。だます手口は、そもそもそこを通りません。
• イ サーバへの攻撃を想定した擬似アタック試験を実施し，発見された脆弱性への対策を行う。：攻撃を模した試験を行い、見つかった弱点をふさぐ手です。仕組みの穴を探して埋めるやり方なので、人の隙とは別の場所を見ています。試験の対象が機械である点が、この肢を外す手掛かりになります。試験の相手が人ではなく機械です。
• エ 停電に備えて，サーバルーム向けの自家発電装置を導入する。：電気が止まったときに備えて、自前で発電する装置を置く手です。建物や設備への手当てで、三つの誤答肢の中では最も遠い位置にあります。守っている相手が、人でも仕組みでもありません。守る相手が人でも仕組みでもありません。