正解：ウ
各選択肢の解説
アクラウド事業者の設備で起きたことなので、届け出られるのは事業者だけである。
誤り。IPAは、自組織が使用しているクラウドサービスのアカウントが不正にログインされて 悪用された場合を、不正アクセスの届出の例として挙げています。設備の持ち主ではなく、 アカウントを使っている組織が受けた被害として届け出られます。
イパスワードの使い回しという弱点が原因なので、脆弱性関連情報として届け出る。
誤り。脆弱性関連情報の届出は、ソフトウェア製品やウェブサイトの弱点を見つけた人が、 直してもらうために届ける制度です。「弱点」という言葉が共通するので混同しますが、 この場面は被害が起きた後で、届けるのは製品の欠陥ではなく受けた被害です。
ウ自組織が使うクラウドのアカウントの不正利用として、不正アクセスの届出を出す。
正解。コンピュータ不正アクセス届出制度は、自組織のシステムへの侵入だけでなく、 使用しているクラウドサービスのアカウントの不正利用も届出の例に含めています。
エ正規のIDとパスワードでログインされたので、不正アクセスには当たらず対象外である。
誤り。本人以外が他人のIDとパスワードでログインすることは、典型的な不正アクセスです。 IPAもパスワードリスト攻撃を届出の例に挙げています。「正しい値が入力された」ことと 「権限のある本人が使った」ことは別です。
理解を深めるために
設備が誰のものかより、誰が被害を受けたか
借りている部屋の建物は大家さんのものでも、自分の部屋の合鍵を勝手に使われたら、 被害を受けたのは住んでいる自分です。クラウドも同じで、サーバは事業者のものでも、 乗っ取られたのは自社のアカウントで、書き換えられたのは自社の設定です。
不正アクセス届出の対象
コンピュータ不正アクセス届出制度は、経済産業省の告示「コンピュータ不正アクセス対策基準」に基づき、 IPAが届出を受け付ける制度です。目的は被害の実態を把握し、同様の被害を防ぐことです。 IPAは届出の例として次のような事態を挙げています。
- 自組織のシステムやネットワークへの侵入、または侵入を試みた形跡
- 自組織が運営するサービスへのパスワードリスト攻撃
- 自組織が使用しているクラウドサービスのアカウントの不正ログインと悪用
自社でサーバを持たない部門でも、クラウドのアカウントが乗っ取られれば届出の対象になります。
混同しやすいものとの違い
| 考え方・制度 | 中身 | この場面では |
|---|---|---|
| 不正アクセスの届出 | 侵入・アカウントの不正利用などの被害を届ける | 当てはまる |
| 事業者だけが届け出るという考え | 設備の持ち主を基準にしている | 被害を受けたのは自社 |
| 脆弱性関連情報の届出 | 製品・サイトの弱点を見つけて直してもらう | 被害の届出ではない |
| 正規のIDなら対象外という考え | 入力された値だけを見ている | 本人以外の利用は不正アクセス |
試験では「何が起きたか」と「誰の被害か」で届出を選びます。設備の持ち主や、 ログインに使われた値が正しかったかどうかに引きずられないことがポイントです。