個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第31問: ゼロデイ攻撃の説明として、最も適切なものはどれか。

正解: 4. 脆弱性の修正プログラムが提供される前に、その脆弱性を突いて行われる攻撃

ゼロデイ攻撃は、ソフトウェアの脆弱性が公表され修正プログラムが提供されるまでの間、あるいは開発者が脆弱性を認識する前に、その脆弱性を突いて行われる攻撃をいいます。特定の組織を狙い業務連絡を装ったメールで不正プログラムを送り込むのは標的型攻撃の手口です。修正プログラムの適用だけでは防げないため、多層防御、挙動検知、権限の最小化、ネットワーク分離といった対策の組合せが求められます。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: ゼロデイ攻撃・脆弱性・多層防御