情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 科目B サンプル問題 問55: A 社は，SaaS 形式の給与計算サービス（以下，A サービスという）を法人向けに提供する，従業員 100 名の IT 会社である。A 社は，自社でも A サー
←
情報セキュリティマネジメント試験 科目B サンプル問題
Q 552 / 3
A 社は， 形式の給与計算サービス（以下，A サービスという）を法人向けに提供する，従業員 100 名の IT 会社である。A 社は，自社でも A サービスを利用している。A 社の従業員は，Web ブラウザで A サービスのログイン画面にアクセスし，A サービスのアカウント（以下，A アカウントという）の利用者 ID 及びパスワードを入力する。ログインに成功すると，自分の給与及び賞与の確認，パスワードの変更などができる。利用者 ID は，個人ごとに付与した不規則な 8 桁の番号である。ログイン時にパスワードを連続して 5 回間違えると A アカウントはロックされる。ロックを解除するためには，A サービスの解除画面で申請する。
A 社は，半年に 1 回，標的型攻撃メールへの対応訓練（以下，H 訓練という）を実施しており，表 1 に示す 20XX 年下期の H 訓練計画案が経営会議に提出された。
表1 20XX 年下期の H 訓練計画案（抜粋）
注記 偽解除サイトで入力された情報は，保存しない。A 社は，従業員の氏名，所属部門名及び A アカウントの情報を個人情報としている。
経営会議では，表 1 の計画案はどのような標的型攻撃メールを想定しているのかという質問があった。
設問 表 1 の計画案が想定している標的型攻撃メールはどれか。解答群のうち，最も適切なものを選べ。
| 項目 | 内容 |
|---|---|
| 電子メールの送信日時 | 次の日時に，H 訓練の電子メールを全従業員宛に送信する。<br>・20XX 年 10 月 1 日 10 時 00 分 |
| 送信者メールアドレス | A サービスを装ったドメインのメールアドレス |
| 電子メールの本文 | 次を含める。<br>・A アカウントはロックされていること<br>・ロックを解除するには，次の URL にアクセスすること<br> ・偽解除サイトの URL |
| 偽解除サイト | ・氏名，所属部門名並びに A アカウントの利用者 ID 及びパスワードを入力させる。<br>・全ての項目の入力が完了すると，H 訓練であることを表示する。 |
| 結果の報告 | 経営会議への報告予定日：20XX 年 10 月 31 日 |
この問の正解率:76.32%(114件)
解説
情報セキュリティマネジメント試験 科目B サンプル問題 問55「A 社は，SaaS 形式の給与計算サービス（以下，A サービスという）を法人向け…」の正解と解説です。情報セキュリティマネジメント試験の過去問で、これまでの受験者の正答率は約76%です。
正解
ウ. 従業員を攻撃者が用意した Web サイトに誘導し，従業員の個人情報を不正に取得する標的型攻撃メール
正答率 76.3%（114人中 87人が正解）
問題の解説
この訓練計画は，A サービスを装ったメールで「アカウントがロックされた」と偽り，攻撃者が用意した偽解除サイトへ誘導して氏名・所属・利用者 ID・パスワードを入力させる手口を模している。これらは A 社が個人情報と定めている情報であり，正規サービスではなく攻撃者側のサイトで詐取する点が要点なので，攻撃者の Web サイトへ誘導して従業員の個人情報を不正取得する標的型攻撃メールを想定しているとする選択肢ウが正解である。
選択肢ごとの解説
- ア誘導先は A サービスそのものではなく，A サービスを装った偽解除サイトである。ロック解除の可否を試すのが目的でもないため，計画が想定する攻撃の説明として誤りである。
- イ計画は連続失敗回数の上限（5回）を探る内容を含んでおらず，入力させるのは氏名や ID・パスワードである。ロック条件の発見を狙う攻撃ではないので誤りである。
- ウ正しい。偽サイトで個人情報に当たる氏名・所属・利用者 ID・パスワードを入力させており，攻撃者の Web サイトへ誘導して個人情報を不正取得する標的型攻撃メールを正確に模している。
- エアクセスを集中させて A サービスを利用不可にする内容は計画に含まれず，可用性を狙う DoS 型の攻撃でもないため，想定する攻撃の説明として誤りである。
情報セキュリティマネジメント試験 の iOS アプリ版
アプリ版なら、よりスムーズに動作し、
スワイプで問題遷移ができます。
