ITパスポート 2016年 春期 問58

ソーシャルエンジニアリングへの対策の例【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認する：「ソーシャルエンジニアリング＝人を狙う詐欺的手口」だと把握する。
2. 各選択肢が「人」に対して働きかけるものか、「技術」や「設備」対策かを分類する。
3. 人を狙う攻撃には「人への教育・訓練」が直接的対策になることを判断する。
4. その結果、従業員教育を行う選択肢（ウ）が適切と決める。

選択肢別の誤答解説

• ア: ウイルスを検知、除去する機能を電子メールシステムに導入する。
  • ウイルス（悪意あるプログラム）は技術的対策で対処します。メール添付のマルウェア対策には有効ですが、偽装メールや人をだます内容（フィッシングなど）に対しては不十分です。ソーシャルエンジニアリングは「人をだます」ことが本質なので、単にウイルス検知を入れるだけでは不十分です。
• イ: サーバへの攻撃を想定した擬似アタック試験を実施し、発見された脆弱性への対策を行う。
  • 擬似アタック試験（ペネトレーションテスト：penetration test）はサーバやシステムの弱点（脆弱性：vulnerability＝弱点）を見つけるための技術的評価です。これも重要ですが、対象は主に機器やソフトの弱点であり、人的なだまし（ソーシャルエンジニアリング）とは性質が異なります。
• ウ: 従業員のセキュリティ意識を高めるため、セキュリティ教育を行う。
  • 人を狙う攻撃に対して直接的に効く対策です。疑う習慣、報告ルール、疑わしいメールの見分け方などを教えることで被害を減らせます。
• エ: 停電に備えて、サーバルーム向けの自家発電装置を導入する。
  • 停電対策は事業継続や可用性確保のためであり、ソーシャルエンジニアリング対策とは無関係です。

よくある誤解

1. 「ウイルス対策ソフトがあればソーシャルエンジニアリングも防げる」
   • ウイルス対策はマルウェア検出に有効ですが、信じ込ませて情報を入力させるような攻撃（例：正規サイトに似せた偽サイトへ誘導）は防げません。人の行動を変える教育が必要です。
2. 「技術的対策だけで十分」
   • ファイアウォールや診断（ペネトレーションテスト）は重要ですが、人を狙う手口には効果が薄い面があります。技術と教育を組み合わせるのが現実的です。
3. 「教育は一回で終わりでよい」
   • ソーシャルエンジニアリングの手口は変化します。定期的な教育や模擬訓練（例：模擬フィッシング）で習慣化することが必要です。

補足コラム

• フィッシング（phishing：偽のメールやサイトでID・パスワードを騙し取る）
• なりすまし電話（上司や取引先を装い指示を出す）
• USB持ち込み攻撃（落としたUSBを拾わせ、実行させる）

FAQ