平成28年度 春期 ITパスポート試験 問58
テクノロジ／セキュリティ情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として，適切なものはどれか。
出典：平成28年度 春期 ITパスポート試験 問58
- アウイルスを検知，除去する機能を電子メールシステムに導入する。
- イサーバへの攻撃を想定した擬似アタック試験を実施し，発見された脆弱性への対策を行う。
- ウ従業員のセキュリティ意識を高めるため，セキュリティ教育を行う。
- エ停電に備えて，サーバルーム向けの自家発電装置を導入する。
正解：ウ
解説
ソーシャルエンジニアリングは，システムの技術的な弱点ではなく，人の心理的な隙や行動のミスを突いて，パスワードや機密情報を聞き出したり盗み見たりする手口です。電話での聞き出しや，肩越しののぞき見などがあります。対策としては，従業員への教育で警戒心や意識を高めることが基本になります。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。ウイルス対策は，ウイルスメールという技術的な脅威への対策で，ソーシャルエンジニアリング対策ではありません。
- イ誤り。擬似アタック試験（ペネトレーションテスト）は，システムの技術的な脆弱性を見つける対策です。
- ウ正しい。人をだまして情報を引き出す手口への対策には，従業員のセキュリティ意識を高める教育が有効です。
- エ誤り。自家発電装置は，停電という設備面の障害への備えで，ソーシャルエンジニアリングとは関係がありません。