応用情報技術者 2023年 春期 午後 問01

　R社は、全国に支店・営業所をもつ、従業員約150名の旅行代理店である。国内の宿泊と交通手段を旅行パッケージとして、法人と個人の双方に販売している。R社は、旅行パッケージ利用者の個人情報を扱うので、個人情報保護法で定める個人情報取扱事業者である。 　 〔ランサムウェアによるインシデント発生〕 　ある日、R社従業員のSさんが新しい旅行パッケージの検討のために、R社からSさんに支給されているPC（以下、PC-Sという）を用いて業務を行っていたところ、PC-Sに身代金を要求するメッセージが表示された。Sさんは連絡すべき窓口が分からず、数時間後に連絡が取れた上司からの指示によって、R社の情報システム部に連絡した。連絡を受けた情報システム部のTさんは、PCがランサムウェアに感染したと考え、①PC-Sに対して直ちに実施すべき対策を伝えるとともに、PC-Sを情報システム部に提出するようにSさんに指示した。 　Tさんは、セキュリティ対策支援サービスを提供しているZ社に、提出されたPC-S及びR社LANの調査を依頼した。数日後Z社から受け取った調査結果の一部を次に示す。 　・PC-Sから、国内で流行しているランサムウェアが発見された。 　・ランサムウェアが、取引先を装った電子メールの添付ファイルに含まれていて、Sさんが当該ファイルを開いた結果、PC-Sにインストールされた。 　・PC-S内の文書ファイルが暗号化されていて、復号できなかった。 　・PC-Sから、インターネットに向けて不審な通信が行われた痕跡はなかった。 　・PC-Sから、R社LAN上のIPアドレスをスキャンした痕跡はなかった。 　・ランサムウェアによる今回のインシデントは、表1に示すサイバーキルチェーンの攻撃の段階ではaまで完了したと考えられる。

〔セキュリティ管理に関する評価〕 　Tさんは、情報システム部のU部長にZ社からの調査結果を伝え、PC-Sを初期化し、初期セットアップ後にSさんに返却することで、今回のインシデントへの対応を完了すると報告した。U部長は再発防止のために、R社のセキュリティ管理に関する評価をZ社に依頼するよう、Tさんに指示した。Tさんは、Z社にR社のセキュリティ管理の現状を説明し、評価を依頼した。 　R社のセキュリティ管理に関する評価を実施したZ社は、ランサムウェア対策に加えて、特にインシデント対応と社員教育に関連した取組が不十分であると指摘した。Z社が指摘したR社のセキュリティ管理に関する課題の一部を表2に示す。

　U部長は、表2の課題の改善策を検討するようにTさんに指示した。Tさんが検討したセキュリティ管理に関する改善策の候補を表3に示す。 　 ↩設問2(1) ↩設問2(2) ↩設問3(2)

〔インシデント対応に関する改善策の具体化〕 　Tさんは、表3の改善策の候補を基に、インシデント対応に関する改善策の具体化を行った。Tさんが検討した、インシデント対応に関する改善策の具体化案を表4に示す。

　検討したインシデント対応に関する改善策の具体化案をU部長に説明したところ、表4の項番5のセキュリティインシデント事例について、特にマルウェア感染などによって個人情報が窃取された事例を中心に、Z社から支援を受けて調査するように指示を受けた。 　 〔社員教育に関する改善策の具体化〕 　Tさんは、表3の改善策の候補を基に、社員教育に関する改善策の具体化を行った。Tさんが検討した、社員教育に関する改善策の具体化案を表5に示す。

　R社では、標的型攻撃に対応する方法やインシデント発生時の対応手順が明確化されておらず、従業員に周知する活動も不足していた。そこで、標的型攻撃の内容とリスクや標的型攻撃メールへの対応、インシデント発生時の対応手順に関する研修を、新入社員が入社する4月に全従業員に対して定期的に行うことにした。 　また、R社でのインシデント発生を想定した訓練の実施を検討した。図1に示す一連のインシデント対応フローのうち、⑤全従業員を対象に実施すべき対応と、経営者を対象に実施すべき対応を中心に、ランサムウェアによるインシデントへの対応を含めたシナリオを作成することにした。

　Tさんは、今回のインシデントの教訓を生かして、ランサムウェアに感染した際にPC内の重要な文書ファイルの喪失を防ぐために、取り外しできる記録媒体にバックアップを取得する対策を教育内容に含めた。検討した社員教育に関する改善策の具体化案をU部長に説明したところ、⑥バックアップを取得した記録媒体の保管方法について検討し、その内容を教育内容に含めるようにTさんに指示した。