ソーシャルエンジニアリングとは？ITパスポート試験 2016年 (平成28年 春期) 問58を解説

問題文

この問題の出題ポイント

• ソーシャルエンジニアリングの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• テクノロジ系分野では、用語の目的・主体・責任範囲の違いが選択肢で問われやすい。
• 関連タグ: ソーシャルエンジニアリング、セキュリティ教育。

選択肢

1. アウイルスを検知,除去する機能を電子メールシステムに導入する。
2. イサーバへの攻撃を想定した擬似アタック試験を実施し,発見された脆弱性への対策を行う。
3. ウ従業員のセキュリティ意識を高めるため,セキュリティ教育を行う。正解
4. エ停電に備えて,サーバルーム向けの自家発電装置を導入する。

解説

なぜ他の選択肢が違うのか

• ア

  誤り. ウイルスを検知・除去する機能を電子メールシステムに導入する対策は,マルウェア対策(ウイルス対策ソフトやメールゲートウェイ)の事例であり,技術的対策に分類される. 人的要因を突くソーシャルエンジニアリングへの対策とは観点が異なり,本問の例として最も適切とはいえない.

• イ

  誤り. サーバへの攻撃を想定した擬似アタック試験(ペネトレーションテスト)は,システムの技術的な脆弱性を洗い出し対策につなげる活動の説明であり,技術的対策に該当する. 人的要因を狙うソーシャルエンジニアリング対策とは異なる分野の取組みであるため,本問の例としては適切ではない.

• ウ（正解）

  正しい. 従業員のセキュリティ意識を高めるためのセキュリティ教育は,なりすまし電話や情報の漏らし要求といった人的要因を狙うソーシャルエンジニアリング攻撃を見抜き,適切に対応する力を養う対策である. 人的・組織的対策の代表例であり,本問の対策事例として最も適切となる.

• エ

  誤り. 停電に備えてサーバルーム向け自家発電装置を導入する対策は,可用性・事業継続性のための物理・設備対策であり,ファシリティマネジメントや事業継続計画(BCP)の領域に該当する. 人的要因を突くソーシャルエンジニアリングへの対策ではないため,本問には合致しない.

解き方の整理

ソーシャルエンジニアリングの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連用語

• ソーシャルエンジニアリングセキュリティ

関連問題

前後の問題

2016年 (平成28年 春期) の関連する問題

2016年 (平成28年 春期)の問題一覧 ITパスポート試験の解説一覧