サンプル問題（2022年12月） 問49
事例
A社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。A社が委託する業務（以下，B業務という）を図1に示す。
【図1 B業務】
・採用予定者から郵送されてくる入社時の誓約書，前職の源泉徴収票などの書類をPDFファイルに変換し，ファイルサーバに格納する。
（省略）
委託先候補のC社は，B業務について，次のようにA社に提案した。
・B業務だけに従事する専任の従業員を割り当てる。
・B業務では，図2の複合機のスキャン機能を使用する。
【図2 複合機のスキャン機能（抜粋）】
・スキャン機能を使用する際は，従業員ごとに付与した利用者IDとパスワードをパネルに入力する。
・スキャンしたデータをPDFファイルに変換する。
・PDFファイルを従業員ごとに異なる鍵で暗号化して，電子メールに添付する。
・スキャンを実行した本人宛てに電子メールを送信する。
・PDFファイルが大きい場合は，PDFファイルを添付する代わりに，自社の社内ネットワーク上に設置したサーバ（以下，Bサーバという）に自動的に保存し，保存先のURLを電子メールの本文に記載して送信する。
A社は，C社と業務委託契約を締結する前に，秘密保持契約を締結して，C社を訪問し，業務委託での情報セキュリティリスクの評価を実施した。その結果，図3の発見があった。
【図3 発見事項】
・複合機のスキャン機能では，電子メールの差出人アドレス，件名，本文及び添付ファイル名を初期設定1)の状態で使用しており，誰がスキャンを実行しても同じである。
・複合機のスキャン機能の初期設定情報はベンダーのWebサイトで公開されており，誰でも閲覧できる。
注1) C社の情報システム部だけが複合機の初期設定を変更可能である。
そこで，A社では，初期設定の状態のままではA社にとって情報セキュリティリスクがあり，対策が必要であると評価した。
対策が必要であるとA社が評価した情報セキュリティリスクはどれか。解答群のうち，最も適切なものを選べ。
正解：イ B業務に従事する従業員が，攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし，攻撃者が用意したWebサイトにアクセスしてマルウェア感染する。その結果，A社の採用予定者の個人情報が漏えいする。
ポイント
複合機を初期設定のまま使うことで生じる、情報セキュリティリスクを見分ける事例です。
考え方と解き方
図3の発見事項を読みます。メールの差出人、件名、本文、添付ファイル名が初期設定のままで誰がスキャンしても同じで、その初期設定が公開されている、という2点が決め手です。図2の暗号化や利用者IDの話に引かれて、初期設定と関係のないリスクを選びやすい所です。
- 図3で、メールの体裁は誰がスキャンしても同じで、しかもその設定は誰でも閲覧できます。攻撃者は、本物と同じ体裁の電子メールを自分で作れます。
- 図2で、従業員は自分宛てに届く複合機のメールを受け取る運用です。体裁が同じ偽メールが届けば、見分けにくく、本文のURLを押してマルウェアに感染する恐れがあります。
- 図2で、利用者IDやPDFの暗号鍵は従業員ごとに別です。メールの体裁の公開と結びつくリスクは、偽メールによる誘導です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 利用者IDとパスワードは従業員ごとに付与され、PDFも従業員ごとに別の鍵で暗号化されます。なりすまして使えるかどうかは、メールの初期設定の公開とは別の話です。
- ウ 盗聴して身代金を要求する攻撃は、メールの体裁が公開されていることとは結びつきません。図3の発見事項から生じるリスクではありません。
- エ 盗聴されたメールのURLを公開する攻撃も、図3の初期設定の公開とは結びつきません。また、保存先の B サーバは C 社の社内ネットワークにあり、URL を公開されても外からは開けません。
覚えておくこと
- 機器の初期設定が公開されているなら、同じ体裁の偽メールを作られるものとして、リスクを考える
- リスクは、見つけた事実（何が公開され、何が同じか）から成り立つ攻撃を選ぶ
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問49