ITパスポート 2015年 春期 問69

ソーシャルエンジニアリングによる被害に結びつきやすい状況はどれか。【ITパスポート 解説】

正解の理由

• 不審なメールを見分けられない、
• 電話での問い合わせに安易に応じる、
• パスワードを紙に書いて放置する、など 人を狙うソーシャルエンジニアリングに結びつきやすくなります。したがって ア が最も該当します。

解法ステップ

1. 問題文のキーワードを確認：ここでは「ソーシャルエンジニアリング」。初めてなら「人を騙す攻撃」と理解する。
2. 各選択肢が「人を騙すこと」に関係するかを考える。
3. 「人の行動・意識」が弱点になっている選択肢を選ぶ。
4. 人的な弱点を直接示す選択肢が正解となる。

選択肢別の誤答解説

• ア：運用担当者のセキュリティ意識が低い。
  正解。ソーシャルエンジニアリングは人を狙うので、意識が低い（確認をしない、怪しい依頼に応じる等）と被害に直結します。
• イ：サーバ室の天井の防水対策が行われていない。
  誤り。これは物理的な設備管理の問題で、漏水による機器故障や火災リスクには関係しますが、直接「人を騙す」手口とは無関係です。
• ウ：サーバへのアクセス制御が行われていない。
  誤り。アクセス制御（誰がどの資源にアクセスできるかを制限する仕組み）は不正アクセスという技術的リスクに関係します。ソーシャルエンジニアリングは「人から情報を聞き出す」ことが主なので、直接の該当ではありません。ただし、意識が低いと聞き出された情報でアクセス制御を突破されることはあり得ます（間接的関係）。
• エ：通信経路が暗号化されていない。
  誤り。暗号化（通信を第三者に読めないようにする技術）は盗聴対策で、技術的な盗聴リスクに関係します。これもソーシャルエンジニアリングそのものではありません。ただし、暗号化されていない状況は別の攻撃（盗聴）に弱い、という点は覚えておきましょう。

よくある誤解

• 「人を騙す攻撃だから技術的対策は意味がない」
  誤解です。人的対策（教育・確認ルール）と技術的対策（アクセス制御や多要素認証）は両方必要です。どちらか一方だけでは不十分です。
• 「ソーシャルエンジニアリング＝メールだけ」
  電話、対面、SNS、物理的侵入（エレベーターで一緒に入る＝尾行侵入）など様々な手段があります。手口は多彩です。

補足コラム

• フィッシング（メール詐欺）：公式を装ったメールでリンクをクリックさせ、ID/パスワードを入力させる。対策：送信元を確認、リンクは直接入力、疑わしいメールはIT部門に確認。
• 電話でのなりすまし：上司や取引先を名乗り緊急を装って情報を聞き出す。対策：電話での重要な依頼は折り返し確認するルールを設ける。
• 尾行・なりすまし（入り口で社員に扮して入る）：物理的に侵入して情報を盗む。対策：入館証の確認、ゲスト受付の徹底。
• ベイト（餌）型攻撃：USBメモリをばら撒き、誰かが差すのを待つ。対策：不明な媒体は開かない。

• セキュリティ教育を定期的に行う。
• 確認ルール（折り返し確認、二重承認）を運用する。
• 多要素認証（MFA：Multi-Factor Authentication、複数の認証手段を組み合わせる）を導入する。
• 技術対策（アクセス制御、暗号化）も併用する。

FAQ