ITパスポート 2024年 問73

IoT機器のセキュリティ対策（ソーシャルエンジニアリング対策）【ITパスポート 解説】

正解の理由

解法ステップ

1. 「ソーシャルエンジニアリング」の意味を確認する。
   • 人をだますことで情報や行動を引き出す攻撃（例：フィッシング、なりすまし、廃棄物漁り）。
2. 各選択肢が「人を騙す／人を経由して情報を得られる行為」を防ぐものかを考える。
   • 通信の暗号化：盗聴対策（技術的攻撃）。
   • ファームウェア更新：脆弱性突きの攻撃対策（技術的攻撃）。
   • マルウェア対策ソフト：感染対策（技術的攻撃）。
   • 記憶装置の物理破壊：廃棄物からの情報漏えい防止（人が入手して利用することを防ぐ）。
3. 「人を経由して情報を得る」代表例（廃棄物漁り）に直接対応する選択肢を選ぶ。
   • これに該当するのが エ。

選択肢別の誤答解説

• ア: IoT機器とサーバとの通信を暗号化することは、盗聴（通信を傍受して内容を知る行為）を防ぎます。これは重要な対策ですが、攻撃者が人をだまして情報を得る「ソーシャルエンジニアリング」への直接的対策ではありません。
• イ: メーカー提供の最新ファームウェアで脆弱性を修正することは、機器の脆弱性を突く攻撃（例：リモート侵入）を防ぎます。これも技術的な防御で、ソーシャルエンジニアリング対策とはカテゴリが異なります。
• ウ: マルウェア対策ソフトの導入は、マルウェア感染を防ぐ技術的対策です。IoT機器ではそもそも導入できない機種もありますし、これも人的操作を騙す攻撃への直接対応ではありません。
• エ: IoT機器を廃棄する際に内蔵記憶装置を物理的に破壊することは、廃棄物から情報が入手されるのを防ぎます。廃棄物漁りなど人が情報源にアクセスする手口に直接対応するため、ソーシャルエンジニアリング対策として最も適切です。

よくある誤解

1. 「暗号化すればソーシャルエンジニアリングも防げる」
   • 誤りです。暗号化は通信の盗聴を防ぎますが、廃棄された機器を直接読む人間行為や、人を騙して情報を聞き出す行為は防げません。
2. 「工場出荷状態に戻せばデータは完全に消える」
   • 誤解です。多くの機器で初期化（リセット）しても完全にデータが復元可能な場合があります。特に特殊なフラッシュメモリでは、上書きが不十分なことがあります。重要情報は確実な消去または物理破壊が必要です。

補足コラム

• 上書き（ソフト消去）：データを複数回上書きする方法。HDDでは有効な場合が多いですが、フラッシュメモリ（多くのIoT機器で使われる）では wear leveling（書き込み分散）により確実性が下がることがあります。
• 暗号化＋鍵破棄（クリプト消去）：あらかじめデータを暗号化しておき、廃棄時に暗号鍵だけ破棄すると事実上読み出せなくする方法。手順が確実なら効率的です。
• 物理破壊：ドリルや破砕機で記憶媒体を壊す方法。最も確実ですが、リサイクルへの配慮や専門業者の利用が必要です。
• 専門業者委託：機密性の高い場合は、証明書（処理証明書）を発行してくれる専門業者に委託するのが安全です。

FAQ