情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第23問: 社内で使い続けていた IoT 機器のうち、製造元が更新ソフトウェアの提供を終えていた機種が乗っ取られ、他組織への DDoS 攻撃に使われていたことが分かった。自

正解: 2. サポートの切れた IoT 機器は使わず、社内で使う IoT 機器を把握したうえで脆弱性対策を続ける。

サポート切れの IoT 機器を使わず、機器を把握して脆弱性対策を続けるのが適切です。製造元が更新ソフトウェアの提供を終えた機器は、サポートの切れた機器に当たります。IPA『情報セキュリティ10大脅威 2026 解説書（組織編）』は、DDoS 攻撃が攻撃者に乗っ取られた機器の集まり（ボットネット）から行われることを説明し、被害の予防として、IoT 機器が不正アクセスやマルウェア感染で乗っ取られボットネットとして悪用されることから、攻撃の踏み台にされないためにサポートの切れた IoT 機器を使わないことや、把握できていない IT 資産を顕在化して対策することを挙げています。自社サイトの前段に DDoS 対策のサービスを置くのは、自社が標的になったときの備えです。公開サーバの設定の見直しも別の手口への対策です。最後の更新を当てても、その後に見つかる脆弱性は修正されません。

関連キーワード: ボットネット・DDoS攻撃・IoT機器・踏み台