ITパスポート試験 令和6年度 公開問題 問73

【正解】エ

ソーシャルエンジニアリングは、システムの技術的な弱点ではなく、人の心理、行動、管理上の隙などを利用して情報を不正に入手する手口です。廃棄された機器や書類を拾って残存情報を探す行為は、トラッシングやスキャベンジングと呼ばれます。IoT機器の記憶装置を物理的に破壊すれば、廃棄後に内部の設定情報、認証情報、利用履歴などを読み出される危険を抑えられるので、エが適切です。

アの暗号化通信は誤りです。これは、通信経路でデータを盗み見られる盗聴への技術的対策です。通信内容の機密性を守る対策ですが、廃棄物や人の行動を利用するソーシャルエンジニアリングへの対策ではありません。

イのファームウェアの更新は誤りです。これは、機器に存在する脆弱性を修正し、その脆弱性を悪用するサイバー攻撃を防ぐための対策です。

ウのマルウェア対策ソフトの導入は誤りです。これは、不正なプログラムの侵入、実行、感染を検知又は防止するための技術的対策です。

【ポイント】 ソーシャルエンジニアリングには、のぞき見、なりすまし電話、トラッシングなどがあります。 廃棄時は初期化だけでなく、データ消去や記憶媒体の物理的破壊も検討します。 設問では、人や物の管理への対策と、技術的な攻撃への対策を切り分けましょう。