科目Bサンプル問題（2022年4月） 問1
事例
A社は，スマートフォン用のアプリケーションソフトウェアを開発・販売する従業員100名のIT会社である。A社には，営業部，開発部，情報システム部などがある。情報システム部には，従業員からの情報セキュリティに関わる問合せに対応する者（以下，問合せ対応者という）が所属している。
A社は，社内の無線LANだけに接続できるノートPC（以下，NPCという）を従業員に貸与している。A社の従業員は，NPCから社内ネットワーク上の共有ファイルサーバ，メールサーバなどを利用している。A社の従業員は，ファイル共有には，共有ファイルサーバ及びSaaS型のチャットサービスを利用している。
A社は，不審な点がある電子メール（以下，電子メールをメールといい，不審な点があるメールを不審メールという）を受信した場合に備えて，図1の不審メール対応手順を定めている。
【図1 不審メール対応手順】
【メール受信者の手順】
1 メールを受信した場合は，差出人や宛先のメールアドレス，件名，本文などを確認する。
2 少しでも不審メールの可能性がある場合は，添付ファイルを開封したり，本文中のURLをクリックしたりしない。
3 少しでも不審メールの可能性がある場合は，問合せ対応者に連絡する。
【問合せ対応者の手順】
（省略）
ある日，不審メール対応手順が十分であるかどうかを検証することを目的とした，標的型攻撃メールへの対応訓練（以下，A訓練という）を，営業部を対象に実施することがA社の経営会議で検討された。営業部の情報セキュリティリーダであるB主任が，マルウェア感染を想定したA訓練の計画を策定し，計画は経営会議で承認された。
今回のA訓練では，PDFファイルを装ったファイルをメールに添付して，営業部員1人ずつに送信する。このファイルを開くとPCが擬似マルウェアに感染し，全文が文字化けしたテキストが表示される。B主任は，A訓練を実施した後，表1に課題と解決案をまとめて，後日，経営会議で報告した。
| 課題No. | 課題 | 解決案 |
|---|---|---|
| 課題1 | 不審メールだと気付いた営業部員が，注意喚起するために部内の連絡用のメーリングリスト宛てに添付ファイルを付けたまま転送している。 | 不審メール対応手順の【メール受信者の手順】の3を，“少しでも不審メールの可能性がある場合は，問合せ対応者に連絡した上で，a”に修正する。 |
| 課題2 | （省略） | （省略） |
表1中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
正解：オ 問合せ対応者の指示に従い，不審メールを問合せ対応者に転送する。
ポイント
不審メールを受信した従業員がとるべき対応手順の不備を直す事例です。
考え方と解き方
課題1の「課題」の欄で、注意喚起のために添付ファイルを付けたまま部内の連絡用メーリングリストへ転送していることを読み、図1の手順3（問合せ対応者に連絡する）と合わせて、何を足せば被害が広がらないかを考えます。注意喚起の善意が、感染の拡大につながる点で間違えやすくなります。
- 課題1では、不審メールを添付ファイルのまま部内へ転送しており、受け取った人が開封すれば感染が広がるおそれがあります。
- 手順3は問合せ対応者への連絡だけを定めています。対応者の指示に従って不審メールを渡すように改めれば、拡大を防げます。
- したがって、最も適切なのは オ です。
ほかの選択肢
- ア 部の全従業員に添付ファイルを付けたまま転送するのは、課題1の行為そのもので、開封による感染が広がります。
- イ 全従業員宛てに転送すると、さらに広い範囲に広がります。
- ウ 共有ファイルサーバに保存して誰でもアクセスできるようにすると、添付ファイルが開かれるおそれがあります。口頭やチャットでの注意喚起は構いませんが、保存が不適切です。
- エ 問合せ対応者に転送すること自体は合いますが、渡すかどうか、どう渡すかは問合せ対応者が決めることです。指示なく送るのは、手順3（対応者に連絡する）と一貫しません。対応者の指示に従う点が足りません。
覚えておくこと
- 不審メールは、添付ファイルやURLを開かず、部内や全社に転送せず、決められた窓口の指示に従って扱う
- 注意喚起は、被害を広げない方法で、窓口が判断して行う
出典：情報セキュリティマネジメント試験 科目B サンプル問題 問1