最後の説明は、葵が担当する。

情報セキュリティは、情報やシステムなどの情報資産を守るための考え方と活動です。外部からの攻撃だけでなく、災害、故障、誤操作、内部の不正も対象になります。

物理的脅威

火災、地震、盗難など、物理的な被害を起こすもの。

人的脅威

誤操作、情報の持ち出し、だまされて秘密を渡すことなど。

技術的脅威

マルウェア、通信の盗聴、システムへの攻撃など。

脆弱性はソフトウェアのバグだけではありません。連絡先が不明な運用や、だれでも入れる保管場所も弱点になります。

ソーシャルエンジニアリングは、人の心理や行動の隙を使って情報を得るなどの手口です。「急いでいる」「責任者の指示だ」と言って、確認を省かせようとする場合があります。

偽のメールやサイトへ誘導して認証情報などを盗むフィッシングにも注意します。見た目や差出人名だけで判断せず、普段使う連絡先など別の経路で確認する習慣が役立ちます。

Confidentiality、Integrity、Availabilityの頭文字です。受注名簿が漏れないのは機密性、数量が書き換わらないのは完全性、出荷時に一覧を開けるのは可用性に関わります。

真正性

主張する主体や情報が本物であること。

責任追跡性

誰が何をしたかを追跡できること。

否認防止

実行や送信などの事実を、後から否定されにくくすること。

信頼性

意図した動作や結果を、一貫して提供すること。

ISMSはInformation Security Management System、情報セキュリティマネジメントシステムです。組織がリスクを管理し、方針・責任・手順・評価を整えて継続的に改善する仕組みで、単一の製品ではありません。

JIS Q 27000

ISMSの概要や用語を扱います。

JIS Q 27001

ISMSに対する要求事項を定め、認証の基準になります。

JIS Q 27002

情報セキュリティの管理策に関する指針を示します。

計画は目標と対策を決める段階、実行は運用する段階、評価は記録や結果を確認する段階、改善は問題を是正して見直す段階です。例えば「ログを点検してルールが守られたか確認」は評価に当たります。

ISMS適合性評価制度では、組織が構築・運用するISMSを第三者が審査し、規格への適合を認証します。認証対象の範囲も確認することが大切で、すべての製品や取引の安全を無条件に保証するものではありません。

ISMSクラウドセキュリティ認証は、ISMS認証に加え、ISO/IEC 27017に基づくクラウド固有の管理策などを対象とする認証です。クラウドの提供者・利用者双方の立場を扱い、責任分担や設定などのリスクを管理します。

特定・分析・評価をまとめてリスクアセスメントと呼びます。それを含め、リスクを管理する活動全体がリスクマネジメントです。

保険へ加入しても、攻撃そのものや責任が消えるわけではありません。対策後の残留リスクも確認し、受け入れる権限を持つ人が判断します。

組織の情報セキュリティ方針やルールが情報セキュリティポリシーです。基本方針・対策基準・実施手順の階層で整理する考え方があります。ISMSという管理の仕組みの中で、組織の状況に合った方針や基準を運用し、見直します。

有害な動作を行うソフトウェアの総称がマルウェアです。セキュリティパッチは、OSやアプリの脆弱性を修正する更新プログラム。ウイルス対策ソフトなどは、不正なファイルや振る舞いを検知・遮断します。どちらか一つで十分という関係ではありません。

ランサムウェア

ファイルを暗号化するなどして利用不能にし、金銭を要求するもの。情報の窃取や公開を材料に脅す場合もあります。

ボット

感染した機器を、外部から不正に操作するプログラム。多数の機器がボットネットを構成することがあります。

トロイの木馬

有用なものなどに見せかけ、裏で不正な動作を行うもの。

スパイウェア

利用者の情報などをひそかに収集するもの。

ルートキット

侵入や不正な活動を隠し、権限の維持などに使われる道具のまとまり。バックドアやログの改ざんに関わるものもあります。

十分に長く推測されにくいパスワードを使い、サービスごとに使い分けます。管理ツールの活用や多要素認証も検討します。提供者側では試行回数の制限や異常検知などが重要です。

大量の要求で負荷をかけるのは代表例です。DDoSではボットネットが使われることがありますが、それだけに限りません。利用不能は可用性への被害です。回線や配信基盤側の対策、通信制御、監視、対応体制などを組み合わせます。

ドライブバイダウンロード

Web閲覧などをきっかけに、脆弱性を悪用して利用者が意図しない不正プログラムを取り込ませる手口。

ゼロデイ攻撃

修正が提供される前など、十分な対処が整っていない脆弱性を悪用する攻撃。

DNSキャッシュポイズニング

DNSのキャッシュに偽の情報を混入させ、正しい名前から不正な宛先へ誘導する手口。URLと偽ドメインを単に結び付けるという意味ではありません。

クロスサイトスクリプティング（XSS）

Webアプリの不備などを利用し、利用者のブラウザで攻撃者のスクリプトを実行させる手口。

MITB攻撃

Man-in-the-Browser。ブラウザ内の不正プログラムなどが、表示や送信内容を改ざんする攻撃。送金先の書換えなどが被害になります。

Web側の安全な入力・出力処理、端末の保護、更新、適切な通信や名前解決の保護など、攻撃が成立する場所に応じて対策します。

ポートスキャンは、開いているポートや応答などを調べる行為です。フットプリンティングは、公開情報などから組織やシステムの情報を集め、全体像を把握することです。攻撃の準備に使われる一方、防御側の調査にも関係します。

暗号化は、平文を鍵などを使って暗号文へ変換することです。暗号文から平文へ戻す操作が復号。復号できない第三者に内容を読まれないようにして、機密性を保ちます。

暗号方式の仕組みを秘密にするだけではなく、適切な方式と鍵の管理で安全性を支えます。単純な文字ずらしは考え方の練習にはなりますが、現実の重要情報を守る方式には向きません。

共通鍵暗号方式は、暗号化と復号に同じ鍵を使います。大量のデータを効率よく処理できますが、鍵を安全に共有する必要があります。暗号文と鍵を、保護されていない同じ経路で一緒に渡しては意味がありません。

相手ごとに別の鍵を持つと、相手が増えるほど管理が複雑になります。n人全員が各組で異なる共通鍵を持つ単純なモデルなら、必要な鍵はn(n−1)÷2個です。4人なら6個になります。

公開鍵は他の人に知らせてよい鍵、秘密鍵は本人が厳重に保管する鍵です。公開鍵から秘密鍵を現実的に求められないことなどが安全性を支えます。鍵の公開は、正当な持ち主との対応の確認まで不要にするわけではありません。

共通鍵暗号は比較的高速、公開鍵暗号は鍵の共有や認証に役立つ一方、計算が重いという特徴を組み合わせます。実際のTLSなどでは鍵交換で共通の秘密を確立する方式もあり、上のモデルと常に同じ手順で共通鍵を送るわけではありません。

ハッシュ関数は、データから一定の長さの値を計算する関数です。得られる値をハッシュ値、メッセージダイジェストと呼びます。例えば「文字数を10で割った余り」は変換の練習にはなりますが、同じ値を簡単に作れるので安全な暗号学的ハッシュではありません。

有限長の値なので、異なる入力が同じハッシュ値になる衝突自体は存在します。「絶対に重複しない番号」ではありません。安全性は、衝突などを実用的な時間で見つけにくいことにあります。

攻撃者が本文と添付のハッシュ値を両方置き換えられるなら、単なる比較では防げません。検知に使う値の真正性も必要です。また不一致の原因は悪意ある改ざんとは限らず、破損や処理の違いなども考えられます。

デジタル署名は、本文と結び付いた署名を秘密鍵で生成し、対応する公開鍵で検証する仕組みです。多くの方式は本文のハッシュを利用します。正当な公開鍵との対応を確認したうえで、内容の改変や、署名した主体の確認に役立てます。

署名だけでは本文を隠せません。盗聴への対策には暗号化も必要です。署名の検証失敗を検知した後は、安全な処理中止や調査などにつなげます。「再送すれば必ず解決する」わけではありません。

PKIはPublic Key Infrastructure、公開鍵基盤です。公開鍵と主体の対応を確認する仕組みを支えます。CA（認証局）は、所定の確認を行い、その対応を示すデジタル証明書を発行します。

署名のつながりだけでなく、対象名、有効期間、失効なども確認します。最上位だから数学的に無条件で安全という意味ではありません。トラストアンカーは、OSやブラウザの管理などを通じて、あらかじめ信頼する起点として設定されたものです。

暗号化や署名はデータの保護に関わります。ネットワークセキュリティでは、通信の許可・遮断、監視、分離などによって、データが通る経路と接続先を保護します。

IDSはIntrusion Detection System、IPSはIntrusion Prevention System、WAFはWeb Application Firewallです。誤検知や見逃しもあり得るため、ルールの見直しや通知後の対応が欠かせません。WAFもアプリ自体の欠陥の修正を不要にはしません。

DMZは、インターネットへ公開するWebサーバやメールサーバなどを配置する、内部ネットワークから分離された領域です。外部との必要な通信を認めながら、内部への影響を制限します。

外部・DMZ・内部の間で、必要な通信だけを許可します。内部LANだから全員・全端末が安全とは限りません。認証、必要最小限の権限、機器の状態の確認、監視も組み合わせます。DMZは何も制限しない「安全な中間地帯」ではありません。

生体認証（バイオメトリクス認証）は、指紋、顔、虹彩、声紋などの身体的特徴や、筆跡、タイピングの癖などの行動的特徴を使う認証です。

判定を厳しくすると、一般に他人を受け入れにくくなる一方、本人も拒否されやすくなります。緩くするとその逆です。方式や環境にも左右されるため、安全性だけでなく、利用できないときの代替手段や復旧手順も考えます。

多要素認証は、知識・所持・生体のうち、異なる二つ以上の要素を使います。パスワードと秘密の質問は、どちらも知識なので、それだけでは多要素ではありません。認証を二段階に分けることと、要素が二種類あることは別です。

パスワードに加えて所持する機器の認証アプリを使う、といった組合せがあります。方式によってフィッシング耐性などが異なり、端末紛失時の復旧や回復コードの保管も重要です。

共連れ

正規の入室者の後に続き、権限のない人が無断で入る行為。

アンチパスバック

入室・退室の履歴を整合させ、同じ認証情報の不正な再利用などを制限する仕組み。

セキュリティゲート

通過する人数などを制御し、一人ずつの認証・入退室を助ける設備。

クリアデスク

機密文書などを机に放置せず、適切に片付けること。

クリアスクリーン

離席時の画面ロックなどで、表示情報や端末を無断で使われないようにすること。

ゾーニング

重要度などに応じて領域を分け、入れる人や接続できる範囲を制限すること。

CSIRT

Computer Security Incident Response Team。組織のセキュリティインシデントに対応する体制・チームです。調整、分析、復旧、再発防止などを担います。

J-CSIP

IPAが運営する、企業などでサイバー攻撃に関する情報を共有し、被害の防止につなげる枠組みです。

J-CRAT

IPAのサイバーレスキュー隊。標的型サイバー攻撃などへの相談・支援を通じ、被害拡大の防止などにつなげます。

サイバーセキュリティ経営ガイドライン

経営者がリーダーシップを取り、組織として対策を進めるための指針です。

PCI DSS

クレジットカード情報を安全に扱うための、業界のセキュリティ基準です。

大企業でも、部門間や運用委託先、サービス提供者、社内責任者などの間で、何が起きたら誰へ連絡するかを決めておきます。事故の最中に、連絡先から探す状態を避けます。

セキュリティ・バイ・デザイン

企画・設計の初期から、守るべき情報と必要な対策を組み込む考え方。

デジタルフォレンジックス

機器などのデジタル証拠を適切に保全・解析し、何が起きたかを調べる技術・活動。

セキュアブート

起動時にソフトウェアの署名などを検証し、信頼するものを起動する仕組み。

ペネトレーションテスト

合意された範囲で攻撃を模した検証を行い、侵入や被害に至る可能性を評価するテスト。

耐タンパ性

機器や内部の情報を不正に解析・改変されにくくする性質。

TPM

Trusted Platform Module。鍵などを保護し、機器の信頼性確認などを支えるセキュリティ機能・モジュール。専用チップとして実装される形などがあります。

SECURITY ACTION

中小企業などが情報セキュリティ対策への取組みを自己宣言する制度です。第三者による安全性の認証とは異なります。

仕組みを導入した事実だけでなく、更新されているか、正しく設定されているか、困ったときに使えるかまで確かめます。安全対策も、作って終わりではありません。

試行運用の日。物流担当の田中は、出荷対象の部品と指示書を照合した。滞留在庫も納期の遅れも、まだ解消したとは言えない。それでも、どの受注に在庫を割り当て、どこで判断が止まったのかを、部門をまたいで確かめられるようになった。

経営の目的があり、人とお金が動き、その仕事をデータと技術が支えます。数字、アルゴリズム、装置、ソフトウェア、ネットワーク、セキュリティは、別々の暗記項目で終わりません。一つの約束を守るために、つながって働いています。