情報セキュリティマネジメント試験 科目A 情報セキュリティ対策 練習問題 第19問: 情報システム部門に、社員を名乗る人から電話で「業務システムのパスワードを忘れたので、すぐに再発行してほしい」と依頼があった。情報システム部門の担当者の対応として

正解: 1. 決めておいた方法で、本人が持つと分かっている電話番号にかけ直すなどして本人確認をしてから再発行する。

「決めておいた方法で、本人が持つと分かっている電話番号にかけ直すなどして本人確認をしてから再発行する」対応が適切です。総務省「国民のためのサイバーセキュリティサイト」は、パスワードの再発行の依頼には利用者の本人性の確認が必要で、電話の問い合わせに本人確認をせずに電話で回答するとソーシャルエンジニアリングの危険があるとしています。本人確認の方法として、本人が所有していると分かっている電話へのコールバックや、本人しか知り得ない情報の確認を挙げ、適切な対応方法を事前に決めておくよう求めています。社員名簿と一致する氏名や所属は他人も知り得る情報です。社内の内線からの発信も、かけてきた人が本人である確認にはなりません。急ぎの依頼でも、電話口で仮のパスワードを伝えるのは本人確認を省いています。

関連キーワード: パスワードの再発行・本人確認・コールバック・ソーシャルエンジニアリング