情報処理安全確保支援士の「情報セキュリティ基礎」｜頻出用語・試験対策

セキュリティといったらマンションやホテルのオートロックや店舗の防犯カメラといった安全を守る対策全般のことです。

この中で情報セキュリティとして扱われるのは、「コンピュータのデータ・顧客情報・技術情報」といった情報に対するセキュリティのことです。

情報セキュリティというのは、技術だけでは安全を担保することはできず、組織的なマネジメントを含めて全体的に対策を考えていくことが重要となります。

情報資産とは、組織にとって価値がある情報や、管理上保護が必要な情報です。

顧客情報、設計情報、契約書、業務ノウハウなどが例です。電子データだけでなく、紙や人が持つ知識にも着目します。情報を扱う機器や保管場所など、関連する資産も一緒に把握しましょう。

脅威の原因は、人為的（意図的）、人為的（偶発的）、環境的といった観点で整理できます。情報資産そのものを分類しているのではありません。

• 人為的（意図的）な脅威
  （例）ウイルス感染、盗聴、盗難、不正アクセス、なりすまし、サービス不能など
  
  
• 人為的（偶発的）な脅威
  （例）誤送信、誤ったデータ削除など。プログラムの欠陥は、脆弱性として扱う場合があります。
  
  
• 環境的な脅威
  （例）地震、台風、津波、洪水、落雷、火災など

重要な売上データが入っているパソコンが誰でもアクセスできる環境にあれば、データの盗難にあう可能性があります。

こういったことを情報資産の脆弱性といいます。

リスクアセスメントでは、リスクを特定し、可能性や影響を分析し、組織が定めた基準と比較して評価します。「大きさを推定する」分析だけで全工程が終わるわけではありません。

資産の重要度、脅威の発生頻度、弱点や対策状況などを踏まえて評価します。点数の掛け算は評価手法の一例であり、どの組織でも通用する唯一の算式ではありません。基準と評価方法を定め、結果から対応の優先順位を決めます。

情報セキュリティの重要ポイントは、当たり前のことを確実に全員が守ることです。

どれだけ素晴らしい技術をもって対策して外部からの攻撃を防げたとしても、内部の人間が組織を裏切って情報を盗み見たり、データを持ち出したり、抜け穴を外部に漏らしたりすると容易にセキュリティは突破することが可能となります。

そのため、組織として会社は、全員が守るべきルール「情報セキュリティポリシー」を制定し、教育をすることが情報セキュリティの中でも非常に重要なポイントとなります。

対策を一律に増やすのではなく、組織の目的、扱う情報、業務の流れ、要求事項に合わせて、必要な管理策を選び運用します。

これを要約すると、情報セキュリティの基本的な考え方とは、「組織が戦略的に決定し、組織の状況によって臨機応変に対応する」ということになります。

• 機密性(Confidentiality)
  許可されていない相手には、情報を使わせたり見せたりしないこと。
  
  
• 完全性(Integrity)
  情報が正確で、必要な内容が欠けていないこと。
  
  　
• 可用性(Availability)
  許可された利用者などが、必要なときに情報やサービスを使えること。

• 真正性(Authenticity)
  人やデータなどが、主張しているとおりのものであること。
  　
  　
• 責任追跡性(Accountability)
  誰がその操作をしたかを、一意にたどれること。
  　
  　
• 否認防止(Non-Repudiation)
  行われた処理や、その実行者について、後から証明できること。
  　
  　
• 信頼性(Reliability)
  意図した動作や結果が、一貫して得られること。

ISMSは、リスクに応じて方針・役割・手順・資源を決め、情報セキュリティを継続的に管理・改善する組織の仕組みです。ソフトウェアを導入するだけで完成するものではありません。

方針を掲げるだけでなく、運用結果を確認し改善へ戻します。継続的改善の流れをPDCAで整理すると、次のようになります。これだけで安全が保証されるわけではありません。

・Plan：情報セキュリティ対策の計画を策定

・Do：計画に基づいて対策を実行する

・Check：実行した結果を見直す

・Act：確認した結果に基づいて改善する

その行動を情報セキュリティマネジメントと呼び、システム化することが情報セキュリティマネジメントシステムです。

• 技術的セキュリティ対策
  ファイルの暗号化やログイン認証といった技術によるセキュリティ対策のことです。
  攻撃を内部に侵入させない「入口対策」と侵入された後に被害を外部に広げない「出口対策」だけでなく、複数の対策を組み合わせる「多層防御」といった対策があります。
  　
  　
• 人的セキュリティ対策
  内部関係者が不正を働かないように教育・訓練をしっかりと行い、組織的にセキュリティ対策を実施することが大事です。
  　
  　
• 物理的セキュリティ対策
  USBでのデータ持ち出しであったり、トイレや昼休み、会議などで席を離れたときに、モニタ画面や机の上にあるメモ帳を見られたりと…物理的に情報を盗まれる可能性があります。
  その対策として、離席する場合は、「クリアスクリーン：画面ロックする」や「クリアデスク：机の上を整理し、引き出しも鍵付きでしっかりと管理」など…多くの対策を実施する必要があります。

• 予防
  セキュリティ事故が発生する前に、事前に対策を実施すること。
  （例）定期的な情報セキュリティ教育など
  　
  　
• 防止・防御
  セキュリティ脅威が発生しても、セキュリティ事故まで発展しないように情報を守ること。
  （例）認証・アクセス制御・不正な通信の遮断など。バックアップは、主に復旧へ備える対策です。
  　
  　
• 検知・追跡
  ・検知：不審な通信や操作、事故の兆候・発生に気付けること。
  （例）IDS(不正侵入検知システム)など
  
  ・追跡：どのように事故が起きたかを追跡できること。
  （例）アクセスログの収集など
  　
  　
• 回復
  セキュリティ事故が発生した後、元の状態に復旧すること。
  （例）健全なバックアップからの復元、復旧手順の訓練など。原因や影響範囲を確認してから、安全に利用を再開します。

• 機会
  不正行為の実行が可能な環境のことです。
  （例）個人的なUSBメモリを会社のPCで使用可能など
  　
  　
• 動機
  不正行為を働くための状況・事情のことです。
  （例）会社に恨みがある、残業代が支払われないなど
  　
  　
• 正当化
  不正行為を行っても問題ない・悪くないとすること。
  （例）顧客データを横流ししても会社には黙っていれば問題ないなど

• 故意犯
  意識的に犯罪を行う攻撃者のことだよ。
  　
  　
• 過失犯
  不注意などにより結果を生じさせる場合を指す用語です。情報セキュリティ上の誤操作が、全て犯罪や意図的な攻撃になるわけではありません。
  
  
• 詐欺犯
  フィッシング詐欺や偽ショッピングサイトから個人情報を盗むような詐欺を行う攻撃者のことだよ。
  　
  　
• 愉快犯
  サイバー攻撃を人や社会を相手に実施して、恐怖に怯えている姿を観察して喜ぶような攻撃者のことだよ。
  　
  　
• 内部関係者
  従業員・委託先など、業務上のアクセス権を持つ立場です。内部不正では、その権限が情報の持出しや改ざんに悪用されることがあります。内部関係者であるだけで攻撃者とは限りません。
  　
  　
• ボットハーダー
  侵害した機器などで構成されるボットネットを管理・操作する者を指します。一般的な自動化プログラムを使う人全てを指すのではありません。
  　
  　
• スクリプトキディ
  クラッキングツールというインターネット上で公開されているツールを用いて不正アクセスをトライする攻撃者のことです。
  幼稚な攻撃者という皮肉な意味も込められています。
  みんなは使っちゃダメだよ！絶対に！！！

• サイバーテロリズム
  ネットワークを対象として行われるテロリズムのことだよ。
  人や社会に危害・打撃を与えるような非常に悪質な攻撃のことです。
  　
  　
• ハクティビズム
  政治的・社会的な主張や抗議を目的として、サイバー攻撃などを行う活動を指します。技術者一般の思想ではありません。
  　
  　
• 金銭奪取
  金銭的に利益を不当に得ることを目的に行われる攻撃のことだよ。
  顧客や個人情報といった金銭に繋がる情報も含まれます。

• ハッカー
  コンピュータや電子回路といった技術的に深い知識を使って、課題を解決する人のことだよ！
  その行為をハッキングと呼びます。
  　
  　
• ホワイトハッカー
  専門的な技術や知識を善良な方面に使う人のことをホワイトハッカーと呼びます。
  　
  　
• クラッカー
  不正アクセスを行う人のことだよ。

• 偵察
  攻撃対象となる組織や人物を調査して情報を収集する
  　
  　
• 武器化
  エクスプロイトやマルウェアといった攻撃武器を作成する
  　
  　
• デリバリ
  武器を届ける(マルウェアを感染させるための悪意をもったメール(添付ファイル/クリック誘導)など)
  　
  　
• エクスプロイト
  対象の弱点を悪用し、不正なコードの実行などへ進む段階
  　
  　
• インストール
  エクスプロイトコードの実行により、そのPCがマルウェアに感染
  　
  　
• C＆C
  マルウェアとC＆Cサーバ間を通信させることで、遠隔操作を感染PCで実施し、追加のマルウェアやツールなどをダウンロード・実行することで感染拡大、内部情報を探し出す
  　
  　
• 目的の実行
  情報の窃取、データの破壊など、攻撃者が目的とした行為を実行する。情報の持出しだけに限定されない