個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第15問: ソーシャルエンジニアリングに該当するものとして、最も適切なものはどれか。

正解: 3. 電話で情報システム部門の担当者を装い、パスワードを聞き出す

ソーシャルエンジニアリングとは、技術的な手段ではなく人間の心理的な隙や行動の癖につけ込んで情報を不正に入手する手口をいいます。担当者を装った電話でのパスワードの聞き出し、肩越しにパスワードを盗み見るショルダーハッキング、廃棄書類をあさるトラッシング（スキャベンジング）などが典型です。対策は従業者の教育と手順の明確化が中心となり、人的・組織的安全管理措置の領域に属します。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: ソーシャルエンジニアリング・ショルダーハッキング・トラッシング