🦉 Episode 10: 暗闇の侵入者 --- 情報システムに対する脅威と攻撃

水曜の朝。オフィスに着いたカイロウの目に飛び込んできたのは、先輩の険しい表情だった。

💼「カイロウ、緊急だ。クライアントのSecureNet社がランサムウェア攻撃を受けた。今から現場に向かう」

🦉「ランサムウェア……！」

💼「ファイルが暗号化されて身代金を要求されている。昨日まで学んだセキュリティ対策が破られた実例を、これからリアルタイムで見ることになる」

---

脅威と脆弱性 --- 「狙われる隙」

SecureNet社に到着すると、画面にはカウントダウンタイマーと「72時間以内にビットコインで支払え」というメッセージが表示されていた。

💼「まず整理しよう。脅威（Threat） は、システムに損害を与える可能性のある事象や行為。脆弱性（Vulnerability） は、脅威に悪用される可能性のあるシステムの弱点。そしてリスク は、脅威が脆弱性を突いて実際に損害が発生する可能性だ」

🦉「つまり、ランサムウェアが脅威で、それが侵入できた原因が脆弱性？」

💼「その通り。では、どこから侵入されたか突き止めよう」

---

フィッシングとソーシャルエンジニアリング --- 「人間の弱点」

調査を進めると、原因が判明した。

🧑‍💻「経理部の社員が、取引先を装ったメールの添付ファイルを開いてしまいました」

💼「フィッシング（Phishing） だ。正規の送信者を装ったメールで、受信者に悪意のあるリンクをクリックさせたり添付ファイルを開かせたりする攻撃。技術的に高度な攻撃ではなく、人間の心理を突く 攻撃だ」

🦉「人間が一番の脆弱性なんですか……」

💼「そうだ。ソーシャルエンジニアリング は、技術ではなく人間の信頼や不注意を悪用して情報を引き出す手法の総称。フィッシングはその代表的な手口だ」

先輩はフィッシングの派生形も教えてくれた。

💼「スピアフィッシング は特定の個人や組織を狙った標的型。ホエーリング（Whaling） はCEOや役員などの高位者を狙うもの。ファーミング はDNSを操作して偽サイトに誘導する手法。そしてタイポスクワッティング はURLの打ち間違いを悪用して偽サイトに誘導する」

---

マルウェアの種類 --- 「暗闘のツール」

💼「侵入後に使われた攻撃ツールを分類しよう」

この章の試験での位置づけ

CPA Exam Blueprint（試験設計図） とは、AICPA（米国公認会計士協会）が公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。

このChapterのポイント: 脅威と攻撃はMCで繰り返し出題される。マルウェアの種類（Virus/Worm/Trojan/Ransomware/Spyware/Rootkit等）、ソーシャルエンジニアリングの手口、ネットワーク攻撃（DoS/MitM/SQL Injection/XSS）、パスワード攻撃、内部脅威とAPT を「何をする攻撃か」「どう防ぐか」「CIAのどれを脅かすか」の3点セットで即答できるレベルが求められる。加えて SLE/ARO/ALEのリスク定量化計算 は数値問題として出題される可能性があるため、計算式を確実に押さえること。

前提知識 --- この章に入る前に、分かっているとラクなこと

---

1. なぜこの論点が必要か（Why）

ISCの全体像マップ --- 今どこにいるか

【ISCの全体フロー】

情報システム基礎   ITガバナンス    IS部門の役割    内部統制     リスク管理      BCP        DRP
    (Ch1)    →    (Ch2)    →    (Ch3)    →   (Ch4)   →   (Ch5)   →  (Ch6)  →  (Ch7)