平成30年度 春期 ITパスポート試験 公開問題 問67 解説 サイバー攻撃の定義

この問題は、サイバー攻撃という言葉の定義がネットワークを介したデジタルな攻撃を指すという点に注目して解きます。選択肢の中で唯一、ネットワーク経由ではない物理的な手段をとっているものが正解となります。

サイバー攻撃と物理的攻撃の違い

サイバー攻撃とは、コンピュータネットワークを通じて情報システムやネットワークに損害を与えたり、不正な操作を行ったりする行為のことです。これに対し、今回正解となった選択肢アのような行為は、物理的な接触や人間心理の隙を突く手法であり、一般的にソーシャルエンジニアリングと呼ばれます。

ソーシャルエンジニアリングとは、コンピュータを直接攻撃するのではなく、人の心理的な隙や行動のミス（廃棄物をあさる、盗み聞きをする、IDやパスワードを尋ねるなど）を利用して情報を盗み出す手法のことです。ITパスポート試験では、これら物理的な情報漏洩対策と、ファイアウォールやIDSなどのネットワーク防御対策を区別して理解しておくことが重要です。

試験での出題パターン

この問題のように、用語の定義を正しく理解しているかを問う問題は頻出です。特に、以下の分類を整理しておくと迷わなくなります。

ネットワーク経由の攻撃（サイバー攻撃） ・Webサイトの改ざん ・DoS攻撃（サービス停止攻撃） ・バックドア設置による遠隔操作 ・SQLインジェクションやクロスサイトスクリプティングなど

物理的・心理的な手法（ソーシャルエンジニアリング等） ・ゴミ箱をあさる（トラッシング） ・ショルダーハッキング（肩越しに画面を盗み見る） ・フィッシング詐欺（偽サイトへ誘導して情報を入力させる） ・なりすまし電話（パスワードを聞き出す）

試験では、攻撃の分類を問う問題だけでなく、それぞれの対策についても問われます。例えば、ソーシャルエンジニアリングに対しては、文書のシュレッダー処理や離席時の画面ロックといった物理的な対策が必要となり、サイバー攻撃に対しては、セキュリティパッチの適用やウイルス対策ソフトの導入といった論理的な対策が必要となります。両者の性質の違いを意識して学習を進めてください。

• JPCERT/CC：情報セキュリティ早期警戒パートナーシップについて