情報セキュリティの全体像

機密性は、許可された人だけが情報へアクセスできる状態を保つことです。例えば、顧客情報を権限のない利用者が閲覧できないようにすることが機密性の確保に当たります。

完全性は、情報が正確であり、権限のない変更や意図しない破壊を受けていない状態を保つことです。売上データが勝手に書き換えられないようにすることは完全性に関係します。

可用性は、許可された利用者が必要なときに情報やシステムを利用できる状態を保つことです。障害やDoS攻撃によってサービスが停止すると、可用性が損なわれます。

この3つはCIAと呼ばれます。実際の情報セキュリティでは、真正性、責任追跡性、否認防止、信頼性なども重要ですが、まずCIAを軸に考えると整理しやすくなります。

脅威は、情報資産に損害を与える原因になり得るものです。攻撃者やマルウェアだけでなく、災害、機器故障、誤操作、内部不正なども脅威になります。

脆弱性は、脅威に利用される可能性がある弱点です。未修正のソフトウェア欠陥だけでなく、弱いパスワード、過剰なアクセス権、教育不足、運用ルールの不備なども脆弱性になり得ます。

リスクは、脅威が脆弱性などを通じて情報資産へ影響を与える可能性と、その結果生じる影響を考える概念です。同じ脆弱性があっても、守る情報の重要度や攻撃される可能性によって、対策の優先度は変わります。

マルウェアは、利用者やシステムに害を与える目的で作られた不正なソフトウェアの総称です。ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェアなどが含まれます。

フィッシングやソーシャルエンジニアリングは、人の判断や心理を利用して認証情報や機密情報をだまし取ろうとします。技術的な防御だけでなく、教育や確認手順も重要です。

パスワード攻撃には、候補を大量に試す総当たり攻撃、辞書にある語を試す辞書攻撃、他サービスから漏えいしたID・パスワードの組合せを再利用するパスワードリスト攻撃などがあります。

Webアプリケーションに対しては、SQLインジェクション、クロスサイトスクリプティング、クロスサイトリクエストフォージェリなどがあります。DoSやDDoSは、サービスへ大量の要求などを集中させ、正常利用を妨げることで可用性を狙います。

ゼロデイ攻撃は、脆弱性が発見されてから修正プログラムの提供・適用などの対策が十分に整うまでの間に、その脆弱性を悪用する攻撃です。既知の脆弱性だけを前提にした対策では防ぎにくい点に注意が必要です。

プロンプトインジェクションや敵対的サンプルのように、AIシステムを狙う脅威も試験範囲に含まれます。セキュリティでは、新しい技術に合わせて脅威も変化することを前提に考える必要があります。

人的対策には、セキュリティ教育、標的型メール訓練、ルール整備、適切なアクセス権の設定・見直しなどがあります。人のミスやだましを狙う攻撃には、技術だけでは対応しきれません。

技術的対策には、アクセス制御、認証、暗号化、ファイアウォール、WAF、IDS、IPS、マルウェア対策、バックアップ、セキュリティパッチの適用などがあります。

物理的対策には、施錠、入退室管理、監視カメラ、セキュリティケーブル、記憶媒体の管理などがあります。

一つの対策が突破されても別の対策で被害を防いだり小さくしたりできるよう、複数の防御層を組み合わせる考え方を多層防御といいます。

認証は、利用者や機器が『誰であるか』を確認する仕組みです。IDとパスワード、ICカード、ワンタイムパスワード、生体認証などが使われます。

認可は、認証された利用者に『どの情報へアクセスできるか』『どの操作を実行できるか』を許可する考え方です。一般利用者と管理者で操作できる範囲が違うのは認可の例です。

多要素認証は、知識情報、所持情報、生体情報など異なる種類の認証要素を複数組み合わせます。例えば『パスワード＋所持するスマートフォンの認証アプリによる承認』は知識要素と所持要素を組み合わせた例です。一方、『パスワード＋暗証番号』はどちらも知識要素なので、それだけでは多要素認証とはいえません。

必要以上の権限を与えないことも重要です。利用者には業務に必要な範囲だけの権限を与える最小権限の考え方が、被害範囲の縮小につながります。

共通鍵暗号方式は、暗号化と復号に共有する秘密の鍵を使う方式です。高速に処理しやすいため、大量のデータを暗号化する用途に向いていますが、通信相手と秘密の鍵を安全に共有する方法が課題になります。

公開鍵暗号方式は、公開してよい公開鍵と秘密に保持する秘密鍵の組を使います。機密性を確保する用途では、受信者の公開鍵を利用して暗号化し、対応する秘密鍵を持つ受信者が復号するという使い方があります。

ハイブリッド暗号では、公開鍵暗号などの仕組みを鍵共有や認証に利用し、実際の大量データの暗号化には高速な共通鍵暗号を利用するなど、方式の長所を組み合わせます。

ハッシュ関数は、入力データから固定長の値を計算する一方向性の仕組みです。暗号文を復号して元データへ戻す暗号化とは目的が異なり、改ざん検知やパスワード保護などに利用されます。

デジタル署名では、署名者が秘密鍵を用いて署名値を生成し、対応する公開鍵を使って検証します。これにより、署名者の確認やデータの改ざん検知に利用でき、否認防止にも役立ちます。

PKIは、認証局が発行するデジタル証明書などを利用して、公開鍵とその所有者との結び付きを信頼できる形で確認するための仕組みです。

ファイアウォールは、IPアドレス、ポート番号、プロトコルなどの通信情報や設定されたルールに基づいて、許可する通信と拒否する通信を制御します。製品によって高度な機能もありますが、試験ではまずネットワーク境界などで通信を制御する役割を押さえます。

WAFはWeb Application Firewallの略で、HTTP/HTTPSなどWebアプリケーションへの通信を分析し、SQLインジェクションやクロスサイトスクリプティングなどのWeb攻撃を防ぐために利用されます。

IDSは不審な通信や侵入の兆候を検知して通知する仕組み、IPSは検知に加えて通信の遮断など侵入防止まで行う仕組みとして整理できます。

TLSは通信の暗号化、改ざん検知、証明書を利用した通信相手の確認などに使われます。HTTPSはHTTPをTLSで保護する仕組みです。

VPNは、インターネットなどの公衆ネットワーク上に、暗号技術などを用いて安全な論理的通信路を構成するために利用されます。

リスクマネジメントでは、まず守るべき情報資産とリスクを特定し、リスクを分析・評価して、対応の優先順位を決めます。リスクの特定・分析・評価までの一連の活動をリスクアセスメントと呼びます。

リスクへの対応には、危険な活動自体をやめるリスク回避、保険や委託などで負担を分けるリスク共有、対策を講じた上で残るリスクを受け入れるリスク保有などがあります。

情報セキュリティポリシーや各種ルールを整備し、教育、監視、脆弱性対応、バックアップ、インシデント対応などを継続的に行う必要があります。

インシデントが起きたときは、影響を把握して被害拡大を抑え、復旧し、原因や対応を振り返って再発防止につなげます。CSIRTなどの組織は、こうしたインシデント対応を支える役割を持ちます。