サイバーセキュリティクイズレット:不注意な情報漏えいを防ぐのに役立つのは?

サイバーセキュリティ意識向上クイズ:不注意な漏えいを防ぐには?

本記事では、米国政府機関などで導入されているサイバーセキュリティ意識向上(Cyber Awareness)トレーニングで頻出の質問と回答をQ&A形式でまとめました。インターネット上のデマへの対処法、SCIF(機密区分情報施設)における文書管理、不注意による情報漏えい(spillage)の防止策、ウイルス感染の予防、個人識別情報(PII)の保護など、実務ですぐに役立つ基礎知識をご紹介します。

1. インターネット上のデマ(いたずら情報)から身を守る方法は?

インターネット上の悪質ないたずら(ホークス/デマ)から自分を守るには、オンラインのファクトチェックサイトなどを活用して、その情報が真実かどうかを確認することが有効です。うろ覚えの情報を鵜呑みにせず、信頼できる情報源で裏付けを取る習慣をつけましょう。

2. 文書にSCIFの表示が必要になるのはどんなとき?

文書は、その形式・機密度・分類レベルにかかわらず、適切な表示を行う必要があります。ただし、分類されていない文書をSCIFとして表示する必要はありません。また、表示が必要とされるのは、開放保管(open storage)されている紙の文書のみです。

3. 不注意による漏えいを防ぐために役立つのは?

不注意による情報漏えい(inadvertent spillage)を防ぐために有効なのは、すべてのファイル・リムーバブルメディア・メールの件名などに、適切な分類ラベルを付けることです。これにより、誤った場所へ機密情報を持ち込むリスクを大幅に減らせます。

4. ウイルスのダウンロードを防ぐ方法は?

OSやシステムのセキュリティを常に最新の状態に保ち、アンチウイルス・スパイウェア対策・ファイアウォールなどのセキュリティソフトをこまめに更新しましょう。さらに、ファイルを定期的にスキャンすることで、コンピュータをウイルスフリーの状態に維持できます。

5. 「不注意による漏えい(inadvertent spillage)」とは何か?

NIST SP 800-53 Revision 4では、「情報漏えい(Information Spillage)」を「機密情報が公開されてしまう事象」と定義しています。典型的な例としては、本来システム管理者に提供すべきではない情報が、誤ってそれらのシステム上に置かれてしまうケースが挙げられます。

6. 漏えい防止に役立つ良い習慣は?

漏えいを防ぐための良い習慣として、分類表示や警告表示に常に注意を払うことが挙げられます。また、機密データにアクセスする個人には、次の要件を満たすことが求められます。

• 適切な身元調査(クリアランス)を受けていること
• 標準的な秘密保持契約(NDA)に署名し、承認されていること
• 業務上「知る必要がある(Need-to-Know)」こと

7. CAC(共通アクセスカード)を守る最良の方法は?

CACのPINコードは、決して他人と共有せず、簡単に見つけられる場所に書き留めておかないことが重要です。PINの保護は、社会保障番号(SSN)を守るのと同じくらい重要だと考えましょう。

8. メール閲覧時のウイルスダウンロードを防ぐ習慣は?

メールをチェックするときは、本文中のリンクや、ボタン・画像などのハイパーリンク付きメディアをクリックしないことが基本です。「あなたのPCは感染しています」といった点滅する警告メッセージが突然表示されても、安易に反応してはいけません。

9. 悪意あるコードのダウンロードを防ぐには?

従業員が悪意あるコードのダウンロードやインストールによるリスクを避けるために、以下のポイントを実践しましょう。

• 外部から入手したファイルは、コンピュータに取り込む前に必ずスキャンする
• 不審なメールや、メールを開いたときに表示されるポップアップに含まれるリンク・ボタン・画像にはアクセスしない

10. ウイルスなどの悪意あるコードのダウンロードを防ぐ最良の方法は?

コンピュータを悪意あるコードから守るには、アンチウイルスソフトの利用が最も効果的です。アンチウイルスソフトは、感染したコンピュータの駆除を支援するだけでなく、コンピュータ上の悪意あるコードを検出して隔離し、被害が拡大しないようにします。

11. 個人識別情報(PII)を共有する際の最良の保護方法は?

個人識別情報(PII)を共有する際に最も優れた保護方法は、電子メールにデジタル署名を施し、暗号化して送信することです。これにより、第三者による盗聴や改ざんのリスクを最小限に抑えられます。

12. ソーシャルエンジニアリングから身を守る方法は?

ソーシャルエンジニアリング攻撃に対抗する基本は、「指示内容が検証済みであることを確認できない限り、それに従わない」ことです。例えば、同僚から「DoD公開鍵インフラ(PKI)で保護されたWebページにアクセスして文書を確認・承認してほしい」と電話で依頼されても、相手の正当性を確認するまでは応じないようにしましょう。

13. 機密区分情報(SCI)はどのように表示されるのか?

SCIの管理・配布制限事項はアルファベット順に並べ、それぞれをスラッシュ(/)で区切って表示します。分類レベルと管理表示の間は、二重スラッシュ(//)で区切ります。

14. SCI(SCIF)の表示に関する正しい説明は?

各種の機密情報は、配布に対する追加的な保護と管理を行うため、専門の「コンパートメント(区画)」に分割されます。これにより、必要な権限を持つ者だけが特定の情報にアクセスできる仕組みになっています。

15. SCIF内で機密情報を印刷する際にとるべき行動は?

SCIF(Sensitive Compartmented Information Facility:機密区分情報施設)内で機密資料を印刷する場合は、プリンタから機密文書を速やかに回収できるよう管理することが求められます。印刷物を放置せず、直ちに適切に保管してください。

16. 悪意あるコードのダウンロードを避けるポイント

• 外部ファイルを取り込む前に、必ずスキャンする
• 不審なメールや、メールを開いた際に表示されるポップアップに含まれるWebサイトのリンク・ボタン・画像にはアクセスしない

17. 「ホエーリング(Whaling)」とは何か?

ホエーリングとは、フィッシング詐欺の一種で、経営幹部などの高位職員を標的とした攻撃を指します。「大きな魚(whale)」を狙うことからこの名前が付きました。通常のフィッシングよりも高度で説得力のある手口が使われる傾向があります。

18. 記者にWeb上の機密性のある可能性がある情報について聞かれたら?

記者から、Web上にある機密情報の可能性がある内容について問い合わせを受けた場合は、所属組織の広報室(Public Affairs Office)に相談してください。自己判断で回答せず、正式な窓口を通じて対応することが原則です。

19. 機密文書はどのように表示されるのか?

すべての機密情報には、消えない形で以下の情報が表示されます。

• 分類を指定した者(原典)
• 分類の理由
• 解密または分類降格に関する指示

これらの情報は、表紙の下部、最初のページ、またはその他の目立つ位置に記載されます。

20. 記者がWeb上の機密情報について質問してきた場合の対応は?

記者からの質問に対しては、当該情報が機密であることを確認も否定もしない姿勢が重要です。また、「SECRET」ラベルの付いたコンピュータは、機密ネットワーク上でのみ使用し、非機密ネットワークでは絶対に使用しないでください。

21. Confidential(秘)情報の不正開示で合理的に予想される影響は?

Confidential(秘)レベルの情報が不正に開示されると、国家安全保障への損害が生じると合理的に予想されます。より高いレベルのTop Secret(極秘)情報の不正開示は、国家安全保障に重大な損害をもたらす可能性があります。

22. SCIFでリムーバブルメディアを使用する際にユーザーがすべきことは?

リムーバブルメディアにデータを保存する際は、必ず適切な暗号化を行いましょう。また、個人所有または組織所有以外のデバイスにはデータを保存しないこと、使用するすべてのリムーバブルメディアにラベルを付けること(特にPIIなどの機密データを含む場合)も重要です。

まとめ

サイバーセキュリティ意識向上のポイントは、「表示・分類の徹底」「不審なリンクをクリックしない」「セキュリティソフトを最新に保つ」「PINや認証情報を厳重に管理する」ことに集約されます。日頃からこれらの習慣を身につけることで、不注意による情報漏えいやマルウェア感染のリスクを大幅に減らすことができます。