正解：ウ
各選択肢の解説
ア不正アクセス
誤り。不正アクセスは、アクセス権をもたない者が他人のIDやシステムの弱点を 使ってシステムに入り込む行為です。この例では本人に与えられた正規の権限で ログインしており、侵入の段階がありません。権限の有無が分かれ目です。
イなりすまし
誤り。なりすましは、他人や別の組織になりかわって振る舞う行為です。 この例では本人が自分のIDのまま操作しており、誰かの名前を借りていません。 誰の名義で行われたかを見ると区別できます。
ウ内部不正
正解。業務のために与えられた正規の権限を、本来の目的から外れた用途に 使っています。操作そのものは通常の業務と同じに見えるため、 アクセスログを見ても異常として検知しにくいのが特徴です。
エソーシャルエンジニアリング
誤り。ソーシャルエンジニアリングは、人の心理や行動の隙を突いて情報を 聞き出す手口です。この例の本人は最初から情報にアクセスできる立場にあり、 誰かをだます必要がありません。だます相手がいるかどうかで分かれます。
理解を深めるために
鍵を壊した人ではなく、鍵を渡されている人
内部不正は、組織の内部者が、業務のために与えられた権限を本来の目的以外に 使う脅威です。外部からの攻撃が「閉まっているドアをこじ開ける」行為だとすれば、 内部不正は「合鍵を正式に渡された人が、その鍵で勝手に持ち出す」行為にあたります。
やっかいなのは、操作の一つひとつが正規の手続きどおりだという点です。 顧客データベースを参照する権限をもつ営業担当者が顧客名簿を表示しても、 システムから見れば日常業務と区別がつきません。
なぜ検知が難しいのか
- 認証に失敗した記録が残らない。正しいIDとパスワードで入っている
- アクセスした範囲も、普段の業務で扱っている範囲に収まっていることが多い
- 持ち出しの手段が私物のUSBメモリや個人あてメールなど、社外から見えない
このため対策は、侵入を防ぐ技術ではなく運用が中心になります。権限を業務に 必要な最小限にとどめる、USBメモリへの書き出しを制限する、大量ダウンロードを 記録して定期的に点検する、といった積み重ねです。
似た脅威との違い
| 脅威 | 行為者の立場 |
|---|---|
| 内部不正 | 正規の権限をもつ内部者。その権限を目的外に使う |
| 不正アクセス | 権限をもたない者。他人のIDや弱点を使って入り込む |
| なりすまし | 他人や他組織になりかわる。自分の名義では行わない |
| ソーシャルエンジニアリング | 権限をもつ人をだまし、情報を話させる |
試験では「業務で与えられた権限」「退職予定者」「持ち出し」といった語が並んだら 内部不正を疑います。外から入られたのか、中の人がやったのかが最初の分かれ道です。