問55情報セキュリティマネジメント サンプル問題

53 / 58問

A 社は，SaaS 形式の給与計算サービス（以下，A サービスという）を法人向けに提供する，従業員 100 名の IT 会社である。A 社は，自社でも A サービスを利用している。A 社の従業員は，Web ブラウザで A サービスのログイン画面にアクセスし，A サービスのアカウント（以下，A アカウントという）の利用者 ID 及びパスワードを入力する。ログインに成功すると，自分の給与及び賞与の確認，パスワードの変更などができる。利用者 ID は，個人ごとに付与した不規則な 8 桁の番号である。ログイン時にパスワードを連続して 5 回間違えると A アカウントはロックされる。ロックを解除するためには，A サービスの解除画面で申請する。A 社は，半年に 1 回，標的型攻撃メールへの対応訓練（以下，H 訓練という）を実施しており，表 1 に示す 20XX 年下期の H 訓練計画案が経営会議に提出された。表 1 20XX 年下期の H 訓練計画案（抜粋）項目 内容電子メールの送信日時 次の日時に，H 訓練の電子メールを全従業員宛に送信する。・20XX 年 10 月 1 日 10 時 00 分送信者メールアドレス A サービスを装ったドメインのメールアドレス電子メールの本文 次を含める。・A アカウントはロックされていること・ロックを解除するには，次の URL にアクセスすること・偽解除サイトの URL偽解除サイト ・氏名，所属部門名並びに A アカウントの利用者 ID 及びパスワードを入力させる。・全ての項目の入力が完了すると，H 訓練であることを表示する。結果の報告 経営会議への報告予定日：20XX 年 10 月 31 日注記 偽解除サイトで入力された情報は，保存しない。A 社は，従業員の氏名，所属部門名及び A アカウントの情報を個人情報としている。経営会議では，表 1 の計画案はどのような標的型攻撃メールを想定しているのかという質問があった。設問 表 1 の計画案が想定している標的型攻撃メールはどれか。解答群のうち，最も適切なものを選べ。

1. 1従業員を A サービスに誘導し，A アカウントのロックが解除されるかを試行する標的型攻撃メール×
2. 2従業員を攻撃者が用意した Web サイトに誘導し，A アカウントがロックされない連続失敗回数の上限を発見する標的型攻撃メール×
3. 3従業員を攻撃者が用意した Web サイトに誘導し，従業員の個人情報を不正に取得する標的型攻撃メール○
4. 4複数の従業員を A サービスに同時に誘導し，アクセスを集中させることによって，一定期間，A サービスを利用不可にする標的型攻撃メール×

選択肢をえらぶと、答えと解説が出ます