標的型攻撃メール訓練・セキュリティ教育とは？

標的型攻撃メール訓練・セキュリティ教育の意味

業務を装った疑似的な攻撃メールを従業員へ送り、開封率や報告率を測って気付きを促す訓練と、その結果を踏まえた継続的な教育。技術対策ですり抜けた攻撃に対する最後の防波堤を厚くする施策で、人の側の管理策として位置づけられる。

標的型攻撃メール訓練・セキュリティ教育の具体例

全社員に人事通知を装ったメールを送り、開封率18％、報告率22％という結果を得る。数値の低い部門に対して短時間の集合研修を追加し、半年後の再訓練で報告率60％まで改善させる。指標を経営会議で定点報告して意識を維持する。

標的型攻撃メール訓練・セキュリティ教育は試験でどう引っ掛けられる？

開封した人を処罰する運用にすると、実際の被害時に報告が遅れて逆効果になる。評価すべきは「開封率の低さ」より「速やかに報告できたか」。訓練は現状把握の手段であり、教育とセットでなければ改善しない。

標的型攻撃メール訓練・セキュリティ教育と関連する用語

• 組織における内部不正防止ガイドライン

標的型攻撃メール訓練・セキュリティ教育が出た過去問

• 社員に対する情報セキュリティ教育の実施に関する記述a～dのうち，適切なものだけを全て挙げたものはどれか。 a 情報セキュリティ違反をした者に対する再教育に当たっ…

  正解：a, b, d

  要点：セキュリティ教育は全従業員対象。事故後にも実施する

  情報セキュリティ教育は全従業員が対象であり、情報システム部門に限定するのは誤りである。新入社員研修に組み込むこと、定期的に実施しつつ事件・事故の発生後にも改めて行うこと、違反者への再教育に再発防止の観点を含めることは、いずれも適切な進め方である。

  出典：平成27年度 秋期 ITパスポート試験 問84（IPA）

• 社内の情報セキュリティ教育に関する記述のうち、適切なものはどれか。

  正解：内容は、社員の担当業務、役割及び責任に応じて変更する。

  要点：セキュリティ教育は役割と責任に応じた内容にする

  情報セキュリティ教育は、受講者の担当業務や役割、責任の重さによって必要な知識が異なるため、内容を対象に合わせて作り分けることが効果的である。管理者には管理責任や統制の視点、一般社員には日常の取り扱いルールといった具合である。また新入社員には着任時から実施し、情報資産に直接触れない社員も含め全員を対象とし、定期的な再教育を行うことが望ましい。

  出典：平成27年度 春期 ITパスポート試験 問63（IPA）

• 情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として、適切なものはどれか。

  正解：従業員のセキュリティ意識を高めるため、セキュリティ教育を行う。

  要点：人の隙を突くソーシャルエンジニアリング対策の要は教育

  ソーシャルエンジニアリングは、技術的な侵入ではなく、人の心理や行動の隙を突いて情報を聞き出す手口である。関係者になりすました電話や、肩越しの盗み見、廃棄物の持ち去りなどが典型例で、機器やソフトでは防ぎきれない。したがって従業員の意識を高める教育が最も有効な対策となる。ウイルス対策、脆弱性診断、自家発電はいずれも技術的・物理的な別の対策である。

  出典：平成28年度 春期 ITパスポート試験 問58（IPA）

• a〜cのうち，PCがウイルスに感染しないようにするための対策として，適切なものだけを全て挙げたものはどれか。 a ソフトウェアに対するセキュリティパッチの適用 …

  正解：a, c

  要点：感染防止は修正プログラムの適用と利用者教育が基本

  ウイルス感染を防ぐには、脆弱性を突かれないよう修正プログラムを速やかに適用することと、不審なメールやファイルを開かないなど利用者の行動を正すための教育が有効である。ストライピングは複数のディスクにデータを分散して書き込み速度を高める技術で、性能向上を狙うものであり、感染防止の効果はない。

  出典：平成30年度 春期 ITパスポート試験 問92（IPA）