セキュリティ
守る対象（情報資産）と、それを脅かすもの（脅威と脆弱性）を見積もり、どこまで対策するかを決めるのが情報セキュリティの管理です。暗号・認証・対策の技術は、その見積もりに沿って選びます。
SHA-256 の性質、ソルト付きのパスワード保存、デジタル署名の鍵の向き、FW・IPS・WAF の守備範囲は、記事「基本情報のセキュリティ（ハッシュ・暗号・WAF）」で操作しながら確かめられます。このページは、リスクの見積もりと鍵の数、認証の要素を扱います。
要点
情報セキュリティ
- 目的と考え方
- 機密性（見てよい人だけ）・完全性（改ざんされていない）・可用性（使いたいとき使える）を保つ。
- 加えて真正性・責任追跡性・否認防止・信頼性。対策を何重にも重ねるのが多層防御。
- 企画・設計の段階から安全を組み込むのがセキュリティバイデザイン、個人情報の保護を組み込むのがプライバシーバイデザイン。
- 重要性
- 守る対象が情報資産、損害を起こす原因が脅威、つけ込まれる弱点が脆弱性。事故は事業の存続まで揺るがす。
- 脅威
- 災害・故障などの物理的脅威、不正アクセス・盗聴・改ざんなどの技術的脅威、誤操作・紛失・内部不正などの人的脅威。
- 人の心理のすきを突くのがソーシャルエンジニアリング。取引先を装い送金させるのがビジネスメール詐欺（BEC）。
- マルウェア
- ほかのファイルに寄生するウイルス、単独で増えるワーム、役に立つふりをするトロイの木馬。
- ボットはC&Cサーバの指令で動く。データを暗号化して身代金を要求するのがランサムウェア。
- 入力を盗むキーロガー、侵入の跡を隠すルートキット、裏口のバックドア、ファイルを残さないファイルレスマルウェア。
- 脆弱性
- ソフトウェアのバグやセキュリティホールのほか、人や組織の弱点（人的脆弱性・内部統制の不備）も含む。
- 組織が把握していない機器やクラウドを勝手に業務に使うのがシャドーIT。
- 不正のメカニズム
- 不正のトライアングル：機会・動機・正当化の3つがそろうと不正が起きやすい。
- 犯行の機会を減らすのが状況的犯罪予防。小さな乱れを放置しない考えが割れ窓理論。
- 攻撃者と動機
- 内部犯・愉快犯・詐欺犯など。盗んだ情報はダークウェブで売られる。暗号化と暴露で脅すのが二重脅迫。
- 攻撃を偵察から目的の実行までの段階に分けたモデルがサイバーキルチェーン。
- 攻撃手法
- パスワードを狙う辞書攻撃・総当たり攻撃・パスワードリスト攻撃。パスワードを固定してIDを変えるのがリバースブルートフォース攻撃。
- Webを狙うSQLインジェクション・クロスサイトスクリプティング・CSRF・ディレクトリトラバーサルなど（対策は関連記事の対応表）。
- 通信に割り込む中間者攻撃・MITB攻撃、偽の応答を覚えさせるDNSキャッシュポイズニング、大量の通信で止めるDDoS攻撃。
- 特定の組織を長く狙う標的型攻撃、よく見るサイトを改ざんする水飲み場型攻撃、修正前の弱点を突くゼロデイ攻撃。
- AIを狙う敵対的サンプル・プロンプトインジェクション。下調べのフットプリンティングやポートスキャンも攻撃の準備。
- 暗号技術
- 共通鍵暗号方式（AESなど）は暗号化と復号に同じ鍵。速いが、n人で互いに通信すると鍵が n(n−1)/2 個要る。
- 公開鍵暗号方式（RSAなど）は公開鍵で暗号化し、秘密鍵で復号する。鍵は1人1組で 2n 個。
- 共通鍵を公開鍵暗号で送るのがハイブリッド暗号。ハッシュ関数（SHA-256）は元に戻せない要約値を作る。
- 計算機の進歩で安全でなくなることが危殆化。推奨する暗号の一覧がCRYPTREC暗号リスト。
- 認証技術
- デジタル署名は送信者の秘密鍵（署名鍵）で署名し、公開鍵（検証鍵）で検証する。改ざんと送信者を確かめる。
- 共通鍵で改ざんを確かめるのがMAC。その時刻に存在したことを証明するのがタイムスタンプ。
- 毎回違う乱数に答えさせるチャレンジレスポンス認証、いつもと違う環境だけ追加で確かめるリスクベース認証。
- 利用者認証
- 知識（記憶）・所持（所有）・生体のうち、違う種類を2つ以上組み合わせるのが多要素認証。同じ種類を重ねても多要素ではない。
- 認証を2回に分けるのが多段階認証。ワンタイムパスワード、FIDOのパスワードレス認証、1回の認証で複数使えるシングルサインオン。
- 生体認証技術
- 身体的特徴（静脈・虹彩・顔）と行動的特徴（声紋・署名）を使う。
- 本人を拒む本人拒否率（FRR）と他人を通す他人受入率（FAR）は、一方を下げると他方が上がる。
- 公開鍵基盤
- PKIでは認証局（CA）がデジタル証明書を発行し、公開鍵の持ち主を保証する。信頼の起点はルート証明書。
- 失効した証明書はCRL（失効リスト）かOCSP（その場で問い合わせ）で確かめる。
情報セキュリティ管理
- 情報セキュリティ管理
- ポリシーに沿って情報資産を守る。仕事に必要な人に必要な権限だけ与えるのが最小権限の原則（need-to-know）。
- 起きた出来事が情報セキュリティ事象、そのうち事業を脅かすものがインシデント。クラウドは責任共有モデルで分担を決める。
- 情報資産の調査
- システム・データ・紙の文書まで、守る対象を漏れなく洗い出して特定する。
- 重要性による分類
- 機密性・完全性・可用性の面から重要度を決め、情報資産台帳に記録する。
- リスクの種類
- 財産損失・責任損失・純収益の喪失・人的損失。サプライチェーンリスクや地政学的リスクもある。
- 事故そのものがペリル、損害を大きくする要因がハザード。年間予想損失額＝発生頻度×1回の損失額。
- リスクアセスメント
- リスク特定→リスク分析→リスク評価の順。金額で測るのが定量的分析、高・中・低で測るのが定性的分析。
- リスクレベルをリスク受容基準と比べ、対応するかを決める。発生しやすさ×影響の表がリスクマトリックス。
- リスク対応
- 原因ごとやめるリスク回避、発生や被害を減らすリスク低減、保険などで他者と分け合うリスク共有（移転）、受け入れるリスク保有。
- 対応後も残るのが残留リスク。リスクと対応を記録するリスク登録簿、関係者と情報を交わすリスクコミュニケーション。
- 情報セキュリティ継続
- 災害時もセキュリティを保てるよう、緊急時対応計画（コンティンジェンシー計画）と復旧計画を事業継続の仕組みに組み込む。
- 情報セキュリティ諸規程
- 組織の考えを示す情報セキュリティ方針の下に対策基準、さらに具体的な手順を定める。
- 個人情報の扱いを示すプライバシーポリシー、SNSの使い方を決めるソーシャルメディアガイドラインも含む。
- ISMS
- 計画・運用・評価・改善を回し、管理の水準を保つ仕組み。要求事項はJIS Q 27001、管理策の手引きはJIS Q 27002。
- 管理策は組織的・人的・物理的・技術的の4種類。働きで分けると予防・検知・是正。
- 第三者が審査するISMS適合性評価制度で認証を受けられる。
- 組織・機関
- 組織内で事故に対応するチームがCSIRT、監視の拠点がSOC。JPCERT/CCは国内の事故対応を調整する。
- 脆弱性の情報はJVNで公開される。政府のクラウド評価がISMAP、中小企業の自己宣言がSECURITY ACTION。
- 基準・指針
- 経営者向けのサイバーセキュリティ経営ガイドライン、カード情報を守るPCI DSS、対策を整理するCSFなど。
セキュリティ技術評価
- セキュリティ評価基準
- IT製品のセキュリティを評価する国際規格がISO/IEC 15408（コモンクライテリア）。国内の認証制度がJISEC。
- 脆弱性の深刻度を0.0〜10.0で表すのがCVSS。実際に攻撃を試すのがペネトレーションテスト。
- 分解や解析をしても中の情報を読み取られにくい性質が耐タンパ性。
情報セキュリティ対策
- 人的対策
- 教育と訓練（標的型メールの訓練、攻撃役を演じるレッドチーム演習）、秘密保持契約、認証情報の管理。
- 技術的対策
- 既知の特徴と照合するパターンマッチング法、動きを見るビヘイビア法、怪しいコードを推定するヒューリスティック法。
- ランサムウェアには3-2-1ルール（3つのコピー、2種類の媒体、1つは別の場所）や書き換えできないバックアップ。
- 公開サーバを置くDMZ、接続前に端末を検査する検疫ネットワーク、部品の一覧SBOMで脆弱性を管理する。
- ログを集めて分析するSIEM、複数の機能をまとめたUTM、端末を一括管理するMDM。
- 正常を攻撃と判定するのがフォールスポジティブ、攻撃を見逃すのがフォールスネガティブ。
- 証拠を保全して調べるのがデジタルフォレンジックス。AIで守る技術と、AIそのものを守る技術がある。
- 物理的対策
- 入退室管理・施錠・UPS・耐震耐火設備・遠隔バックアップ。離席時に画面や机に情報を残さないクリアデスク・クリアスクリーン。
- 信頼性・可用性・保守性・完全性・安全性の頭文字がRASIS。媒体は読めない状態にしてから捨てる。
セキュリティ実装技術
- セキュアプロトコル
- IP層で暗号化するIPsec、WebのTLS（HTTPS）、遠隔操作のSSH、無線LANのWPA3。
- 認証・認可技術
- 送信元を確かめるSPF（IPアドレス）とDKIM（電子署名）、失敗時の扱いを決めるDMARC。
- 権限だけを他のサービスに渡すOAuth、DNSの応答に署名するDNSSEC、認証サーバのRADIUS。
- ネットワークセキュリティ
- パケットフィルタリング、アドレスを変換するNAPT、仮想の専用線VPN、わざと攻撃させて観察するハニーポット。
- データベースセキュリティ
- データの暗号化、利用者ごとのアクセス制御、バックアップ、操作ログの取得で守る。
- アプリケーションセキュリティ
- SQLインジェクションにはプレースホルダ、パスワードの保存にはソルト。異常な入力を大量に与えて試すのがファジング。
さわって確かめる
リスク値の計算、鍵の数、リスク対応と認証の要素の仕分けを、次の3つで試します。
1. リスク値を出して、受容基準と比べる
資産価値3・脅威2・脆弱性2で、受容基準8を超えるか確かめよう。
2. 人数が増えると、鍵はいくつ要るか
人数を 10 にして、共通鍵暗号と公開鍵暗号で要る鍵の数を比べよう。
3. リスク対応と認証の要素を仕分ける
それぞれの場面に当てはまるものを選び、「答え合わせ」を押そう。
リスク対応の4つ
- 古いファイル共有サービスに危険な脆弱性が見つかったので、そのサービスの利用をやめる。
- ノートPCの紛失に備え、ディスクを暗号化する。
- サーバの運用を専門の事業者に委託し、障害時の損害は契約で事業者が負う。
- 損失が小さく対策費の方が高いので、特に何もせず記録だけ残す。
認証の要素（知識・所持・生体）
- パスワード
- 社員証のICカード
- 指の静脈のパターン
- スマートフォンのアプリに表示されるワンタイムパスワード
- 秘密の質問「最初に飼ったペットの名前」
- 手書きの署名の筆跡や書き順
3問チェック
最初に選んだ答えで採点します。全問正解で、この単元に「済み」の印が付きます。
-
6人が、どの2人の間でも他の人に読まれずにやり取りできるようにしたい。共通鍵暗号方式だけを使うと、鍵は全部でいくつ要るか。
- 12個
- 15個
- 30個
- 36個
答えと解説
正解はイ。2人の組ごとに1個なので 6×5÷2＝15個。12個は公開鍵暗号方式の 2×6、30個は2で割り忘れた 6×5、36個は 6×6。
-
顧客情報の漏えいに備え、損害を補償するサイバー保険に加入した。リスク対応のどれに当たるか。
- リスク回避
- リスク低減
- リスク共有（移転）
- リスク保有
答えと解説
正解はウ。漏えいが起きる確率は変わらないが、損害の負担を保険会社に移している。回避は顧客情報を持たないようにすること、低減は暗号化などで発生や被害を減らすこと、保有は何もせず受け入れること。
-
多要素認証になっている組み合わせはどれか。
- パスワードと、秘密の質問の答え
- ICカードと、その暗証番号（PIN）
- 指紋と、手のひらの静脈
- ログイン用と決済用の、2つのパスワード
答えと解説
正解はイ。ICカードは所持、暗証番号は知識で、種類が違う。アとエは知識どうし、ウは生体どうしなので、2回確かめても多要素認証ではない。