解説

• 正しい。PC内に秘密鍵が格納されていると、IB専用PCがマルウェア感染した場合、その秘密鍵が利用され不正送金が行われてしまう恐れがあります。一方、外部記憶媒体であるICカードの場合、マルウェアによって秘密鍵が利用されてしまうリスクは低減されます。なお、C銀行から発行されるICカードは耐タンパ性を有しており、万が一、紛失・盗難に遭っても秘密鍵の漏えいを防ぐことが可能です。
• デジタル証明書をICカードに格納したとしても更新は必要です。
• 図1のIBサービスについての説明(b)で「デジタル証明書は，…口座ごとに発行される」とあります。また発行されるICカードは1枚です。ICカードは利用者ごとに用意されるものではなく、口座ごとに用意されるものので、格納されるデジタル証明書の数は常に1つになります。
• 図1のIBサービスについての説明(a)で「利用者は，ログインするとき，利用者ID及びパスワードに加えて，デジタル証明書を利用する」とあります。デジタル証明書を格納したICカードを利用しても、ID及びパスワードが不要になるわけではありません。
• PC内のハードディスクにデジタル証明書を格納する方法でも、複数人で共用できるので誤りです。

解説

• IB専用PCの管理方法は関係ありません。
• 正しい。Nさんは、L課長に承認を受けた「振込依頼書」をもとに「振込承認依頼」を入力しています。もし、Mさんが「振込承認依頼」を不正に修正した場合には「振込依頼書」の内容と異なる振込みが行われることになります。
  IBサービスでは履歴照会メニューから、振込内容、承認依頼及び承認を実行した利用者IDを確認できるので、「振込依頼書」との突合せを行えば、不正を検知することができます。
• "急ぐ"修正の場合には不正のリスクが残ります。
• トークンの管理方法は問題ありません。
• ここで問題になっているのは、"振込承認依頼"の正確性ではなく、Mさんの不正承認についてです。

解説

1. 正しい。メールを介してマルウェアに感染することはよくあります。IBサービスでメールが使用される場面は、振込操作のお知らせだけですが、このメールは各担当者のPCに送られるため、IB専用PCにおけるメール利用を禁止してしまっても問題ありません。したがって有効な対策となります。
2. マルウェアの感染とは特段関係のない事項です。
3. 直接インターネット上のサービスに接続すると外部から直接攻撃を受ける危険性が高まるため不適切です。一方、社内ネットワークを介してであればファイアウォールやプロキシなどで一定のセキュリティの下にインターネットに接続できます。
4. 正しい。最小権限の原則に基づけば、必要なフォルダにのみアクセスを許可し、不要なフォルダへのアクセスは禁止すべきです。
   図2の3.の説明には、「件数が多い場合には，共有フォルダ上の"振込依頼データ"をIBサービスにアップロードし…」と記載されているので、これだけはIB専用PCで許可し、その他のフォルダへのアクセスは禁止すべきです。
5. 正しい。マルウェアの種類によっては、USBメモリから感染するタイプもあるため不要であれば物理的に塞ぐことが有効な対策となります。
6. IBサービスはインターネットを使ったサービスなので、これではIBサービスが利用できなくなり本末転倒です。

解説

1. 正しい。IBサービスへのログイン時には、利用者ID及びパスワード、暗証番号が必要になります。これらを推測困難なものにすることで、経理担当者以外の不正ログインを防ぎます。
3. 誤り。パスワードや暗証番号を複雑なものにしても、フィッシングサイトにそれを入力してしまえば結果は同じです。
5. 正しい。経理担当者が、別の経理担当者になりすましてログインすることを防ぐためには、パスワードを推測困難なものにしておく必要があります。

1. 誤り。トークンはログイン時には関係ありません。
4. 正しい。振込のお知らせメールを確認することで、自身に覚えがないにもかかわらず振込の承認を実行した利用者IDになっていることに気付けるので、他人の不正承認を検知できます。
6. 正しい。トークンを各自のロッカーに施錠保管するのは、別の経理担当者や、経理担当者以外の者による不正承認を防ぐためです。また、振込操作を知らせるメールを全員に送るのも、自分のトークンが知らぬ間に使われた事実に気付けるようにするための措置です。

2. 誤り。振込のお知らせメールには、振込の承認を実行した利用者ID、日時等が記載されているのみであり、振込金額・振込先口座は記載されていません。よって、お知らせメールから操作ミスを見つけることはできません。
4. 正しい。振込操作を知らせるメールを経理担当者全員に送ると、相互牽制が働くため不正な振込の承認への対策になります。
5. 誤り。振込のお知らせメールを3人に送信しても、メール内にIBサービス利用者の情報は含まれないため、IBサービスへの不正なログイン操作は検知できません。

解説

• CSRF(クロスサイトリクエストフォージェリ)は、悪意のあるスクリプトが埋め込まれたWebページに利用者を誘導し、不正なリクエストを含む罠のリンクを踏ませるなどの方法で、ユーザ認証やセッション管理の脆弱性のある別のWebサイトで、その訪問者が意図しない操作（ショッピングでの決済・退会等）を成立させる攻撃です。
• DDoS攻撃は、特定のサイトやサーバに対し、日時を決めて、インターネット上の多数のコンピュータから同時に大量のパケットを送り付けることで、標的のサーバやネットワークを過負荷状態にする分散型のサービス停止攻撃です。
• 正しい。
• クリックジャッキングは、Webページ上のコンテンツをクリックしようとしたユーザを視覚的にだまし、攻撃者が用意した外部サイトのWebページ上をクリックさせる行為です。
• クロスサイトスクリプティングは、動的にWebページを生成するアプリケーションに対して、セキュリティ上の不備を突いた悪意のあるスクリプトを混入させることで、攻撃者が仕込んだ操作を実行させたり、別のサイトを介してユーザのクッキーや個人情報を盗んだりする攻撃です。
• フィッシングは、銀行やクレジットカード会社、ショッピングサイトなどの有名企業を装ったメールを送付し、メール内のURLリンクから本物そっくりの偽サイトに誘導することで個人情報を不正に搾取する行為です。

解説

解説

• 被疑者は、職場の自分のPCで不正閲覧していたので誤りです。
• 被疑者は、パスワードを盗み見ていることから、ログイン失敗せず（失敗したとしても数回で）に不正ログインできたと考えられます。つまり、ログイン失敗のログは大量には残っていないはずです。
• 正しい。職場の自分のPCで経理部長のメールを不正に閲覧していたということは、被疑者PCのメールクライアントからB社メールサーバに、経理部長のメールの受信要求がなされたということです。B社のログ収集システムに、このログが残っていれば不正閲覧の証拠になります。
• 被疑者は、メールを不正閲覧していただけで送信はしていません。したがって送信ログを根拠とする本肢は誤りです。
• 被疑者は、職場の自分のPCで不正閲覧していたので誤りです。

解説

• B社経理部長のアカウントを盗用したのであれば、差出人メールアドレスが正規のものになるはずです。
• 偽のメールアドレスでM主任と何回かやり取りをしているため、実在するドメインであったと判断できます。なぜなら、ドメイン名を詐称しているだけならば、返信されたメールを受信できずやり取りが成立しないからです。
• B社経理部長のアカウントを盗用したのであれば、差出人メールアドレスが正規のものになるはずです。
• 正しい。

解説

• Webメールを利用しても、今回のようにアカウント情報を盗用された場合には不正閲覧を防げません。
• POP before SMTPは、メール送信前にPOP認証を行い、正規のクライアントであることを確認してからメールを送信する技術です。送信者認証の仕組みなので不適切です。
• 正しい。S/MIMEは、メールを盗聴や改ざんなどから守るために、公開鍵暗号技術を使用して「認証」「改ざん検出」「暗号化」などの機能をメールソフトに提供する仕組みです。ただし、S/MIMEを使用するにあたって、送受信する当事者同士のメールソフトがこの規格に対応していることと、公開鍵の持ち主側が組織内CA(認証局)やパブリックCAなどから鍵と証明書を入手しておく必要があります。
  メールソフトからメールソフトまでエンドトゥエンドで暗号化されるため、安全性は高いのですが、デジタル署名付き暗号メールを送受信するには、相手先にもデジタル証明書を取得してもらう必要があるため、手間がかかります。よって、これが正解です。
• SMTP-AUTHは、メール投稿にあたって利用者認証の仕組みがないSMTPに利用者認証機能を追加した方式です。送信者認証の仕組みなので不適切です。
• SPFは、電子メールにおける送信元認証方法の1つで、送信元IPアドレスを送信側ドメインのDNSサーバに問い合わせることで、正規のサーバから送られたかどうかを検証する技術です。実在するドメインの場合には効果が望めません。
• 今回の件は添付ファイルが問題になったわけではないため不適切です。

解説

受信メールの差出人メールアドレスと文面を慎重にチェックする

一見簡単に感じますが、1字1句を慎重に確認するのは大変な作業です。また人間ですから見落としがないとも限りません。

メールの内容について電話をかけて確認する

正しい。振込に関するメールは、それほどたくさんあるわけではないでしょうから、重要な事柄については相手に直接電話して確認する方法が確実です。

メールをサーバに保存する

保存するだけでは何も変わりません。この対策は事後対策です。

振込に関する詐欺事例と振込時の注意事項を経理担当者に教育する

セキュリティ教育に関する事項ですので問題ありません。

メールには必ず差出人の電話番号を記載してもらう

記載の電話番号に確認の電話を入れるということだと思うのですが、このルールを知っている者が偽のメールと共に偽の電話番号を記載する可能性が考えられますので不適切です。
電話番号は信頼できる情報から得たものを使用すべきです。

解説

2. 正しい。口座情報変更についての手順を確立し、それをシステム化することで、適切な手順で変更が行わるようになります。
4. 振込依頼書の作成及びIBサービスでの振込の承認は、どちらもM主任が行っています。変更と承認が同一人物になるため内部統制の観点から不適切です。
5. 証憑の種類を規定しても、M主任が自分一人の判断で口座情報を変更できることに変わりはありません。

1. 振込依頼データを保管しても事後対策にしかなりません。
3. 今回のようにL課長の不在時には、承認がないまま業務が進んでしまう可能性があるため根本的な対策とは言えません。
6. 正しい。振込依頼書の承認がないまま、次の振込承認依頼に移れたことが問題になっています。ワークフローシステムを導入すれば、確実に決められた手順を守れるようになります。