情報セキュリティの3要素の解説（情報セキュリティマネジメントシラバス用語）
情報セキュリティの3要素とは情報セキュリティの3要素とは、情報を安全に守りつつ、正しく活用するために欠かせない3つの基本的な性質のことです。これらは「機密性（きみつせい）」「完全性（かんぜんせい）」「可用性（かようせい）」と呼ばれ、英語の頭文字をとって「C.I.A.」と表現されることもあります。どれか1つでも欠けると、情報漏洩やシステムの停止といったトラブルにつながるため、バランスよく対策を行うこ...
技術ブログ・資格学習データベース
Django、Python、AWS、Linux、セキュリティ、CVE、基本情報技術者、応用情報技術者、ITパスポートの用語を、図解と実務手順で解説します。個人開発kurutann.comの検証記録や障害対応事例も公開しています。
タグ「情報セキュリティ」の記事を表示中× クリア
真正性の解説（情報セキュリティマネジメントシラバス用語）
真正性とは真正性（しんせいせい）とは、アクセスしている利用者やシステム、あるいはやり取りされているデータが「本当に本物である（偽物ではない）」と証明できる性質のことです。インターネットの世界では相手の顔が見えないため、なりすましやデータの偽造が簡単にできてしまいます。そのため、操作を行っている人が確かに本人であることや、受信したデータが送信元の作成した本物であることを確認できる仕組みが必要になりま...
責任追跡性の解説（情報セキュリティマネジメントシラバス用語）
責任追跡性とは責任追跡性（せきにんついせきせい）とは、情報システム内で「誰が」「いつ」「どのような操作を行ったか」を後から確実に追跡し、証明できる状態にしておくことです。万が一、情報の漏洩やデータの不正な書き換えといったセキュリティ事故が発生した際に、その原因や責任の所在を明確にするために非常に重要となります。また、システム内の行動がすべて記録されているという事実自体が、不正行為を思いとどまらせる...
否認防止の解説（情報セキュリティマネジメントシラバス用語）
否認防止とは否認防止（ひにんぼうし）とは、情報通信や取引を行った事実について、後から「そんなことはやっていない」「送信していない」などと関係者が主張（否認）することを防ぐ仕組みや状態のことです。インターネット上のやり取りでは、対面での契約書や印鑑のような物理的な証拠が残りにくいため、デジタル技術を用いて「取引が行われた確実な証拠」を残す必要があります。これにより、送信者と受信者の双方が安心して取引...
リスクアセスメントの解説（情報セキュリティマネジメントシラバス用語）
リスクアセスメントとはリスクアセスメントとは、企業や組織が保有する大切な情報（顧客データや製品の設計図など）にどのような危険（リスク）が潜んでいるかを洗い出し、その危険がどれくらい重大であるかを分析・評価する一連の手順のことです。セキュリティ対策を行う際、すべてのリスクに対して同じように予算や時間をかけるのは非効率です。そのため、まずは現状を正しく把握し、どのリスクに対して優先的に対策を立てるべき...
定量的リスク分析の解説（情報セキュリティマネジメントシラバス用語）
定量的リスク分析とは定量的リスク分析（ていりょうてきりすくぶんせき）とは、リスクアセスメントの過程において、予測される危険の影響度や発生確率を「金額」や「発生回数」などの具体的な数値を使って計算し、評価する方法です。主観を交えずに客観的なデータに基づいてリスクを比較できるため、セキュリティ対策にどれだけの費用（予算）を投じるべきかという投資対効果（対費用効果）を論理的に判断する際に非常に役立ちます...
定性的リスク分析の解説（情報セキュリティマネジメントシラバス用語）
定性的リスク分析とは定性的リスク分析（ていせいてきりすくぶんせき）とは、リスクアセスメントにおいて、リスクの大きさや発生確率を具体的な金額ではなく、「大・中・小」や「1〜5段階のスコア」といった評価尺度を使って分析する方法です。すべてのリスクを金額換算することは難しいため、経験者の知識やアンケート、ディスカッションなどを通じて、比較的短時間で直感的にリスクの優先順位を決めたい場合に広く用いられます...
リスク対応(回避・低減・移転・受容)の解説（情報セキュリティマネジメントシラバス用語）
リスク対応とはリスク対応とは、リスクアセスメントによって評価されたリスクに対して、具体的にどのようなアプローチで対処するかを決定し、実行することです。リスクへの対応方法は、大きく分けて以下の4つに分類されます。それぞれの危険の大きさや、対策にかかるコストを比較しながら、最適な方法を選択します。回避（かいひ）：リスクの原因そのものを取り除き、リスクが発生する確率をゼロにすること。低減（ていげん）：シ...
情報資産管理台帳の解説（情報セキュリティマネジメントシラバス用語）
情報資産管理台帳とは情報資産管理台帳（じょうほうしさんかんりだいちょう）とは、企業や組織が保有しているすべての「情報資産」をリストアップし、それぞれの重要度や保管場所、管理責任者などをまとめて記録した一覧表のことです。ここで言う情報資産とは、顧客名簿や売上データといったデジタルデータだけでなく、紙の契約書、パソコンなどの機器、サーバーなども含まれます。セキュリティ対策を行う上で、「そもそも自分たち...
ISMSの解説（情報セキュリティマネジメントシラバス用語）
ISMSとはISMS（Information Security Management System：情報セキュリティマネジメントシステム）とは、企業や組織が自らの情報セキュリティを維持・向上させるための計画的な仕組みのことです。特定のセキュリティ機器を導入するだけでは、社員の操作ミスや管理不足による情報漏洩を防ぎきれません。そのため、情報の「機密性」「完全性」「可用性」をバランスよく保つためのルー...
ISO/IEC 27001の解説（情報セキュリティマネジメントシラバス用語）
ISO/IEC 27001とはISO/IEC 27001とは、情報セキュリティマネジメントシステム（ISMS）の構築や運用に関する具体的な要件を定めた、国際的な標準規格です。スイスに本部を置くISO（国際標準化機構）とIEC（国際電気標準会議）が共同で作成しました。企業がこの規格に従って正しいセキュリティ管理体制を築いていると認められると、第三者の審査機関から「ISMS認証」を取得することができま...
PDCAサイクル運用の解説（情報セキュリティマネジメントシラバス用語）
PDCAサイクル運用とはPDCAサイクル運用とは、「Plan（計画）」「Do（実行）」「Check（評価）」「Act（改善）」の4つのプロセスを繰り返し行うことで、セキュリティ管理体制や業務の質を段階的に、かつ継続的に向上させていく手法です。情報セキュリティの脅威は常に変化し続けるため、一度対策を立てて終わりにするのではなく、このサイクルを何度もぐるぐると回し続けることで、常に最新かつ最適な状態に...
内部監査の解説（情報セキュリティマネジメントシラバス用語）
内部監査とは内部監査（ないぶかんさ）とは、企業や組織の内部にいる監査人（または社内のメンバー）が、社内のセキュリティルールや業務プロセスが正しく守られているか、システムが適切に運用されているかを客観的にチェックし、評価する活動です。業務を行っている本人やその部署の人間ではなく、独立した立場の人員が点検を行うことで、普段の業務で見落とされがちなルール違反や、システムの設定ミスなどの不備を公平に見つけ...
CISOの解説（情報セキュリティマネジメントシラバス用語）
CISOとはCISO（Chief Information Security Officer：最高情報セキュリティ責任者）とは、企業において情報セキュリティに関する戦略の決定や、対策の実施について最終的な責任を持つ役員のことです。現代のビジネスにおいて情報は最も価値のある資産の一つですが、サイバー攻撃や情報漏洩による損失リスクも大きくなっています。CISOは、経営陣の一員としてセキュリティと事業の成...
CSIRTの解説（情報セキュリティマネジメントシラバス用語）
CSIRTとはCSIRT（Computer Security Incident Response Team：コンピュータセキュリティインシデント対応チーム）とは、企業や組織内でセキュリティ上の問題（インシデント）が発生した際に、素早く対応して被害を最小限に抑えるための専門チームです。ウイルス感染、不正アクセス、情報漏洩などのトラブルが発生したとき、誰がどのように対処すべきかが決まっていないと、混乱...
SOCの解説（情報セキュリティマネジメントシラバス用語）
SOCとはSOC（Security Operations Center：セキュリティオペレーションセンター）とは、企業や組織のネットワークやサーバー、パソコンなどの状態を24時間365日体制で監視し、サイバー攻撃などのセキュリティ脅威を早期に検知・分析する専門組織です。攻撃者は夜間や休日など、管理者の隙を狙って攻撃を仕掛けてきます。SOCは専用の監視システムを用いて通信ログなどを常にチェックし、不...
セキュリティ教育・訓練の解説（情報セキュリティマネジメントシラバス用語）
セキュリティ教育・訓練とはセキュリティ教育・訓練とは、企業や組織の役員から一般社員、派遣社員にいたるまで、すべての構成員に対してセキュリティに関する知識を教え、実際のトラブルに備えて訓練を行うことです。システムのセキュリティをどんなに強固にしても、それを使う人間のセキュリティ意識が低いと、パスワードのずさんな管理や、不審なメールの開封などから情報漏洩が発生してしまいます。この「人」の脆弱性を克服し...
標的型攻撃メール訓練の解説（情報セキュリティマネジメントシラバス用語）
標的型攻撃メール訓練とは標的型攻撃メール訓練とは、特定の企業や組織を狙って送られる、実在する人物や取引先を装った偽のメール（標的型攻撃メール）への対処法を身につけるための体験型訓練です。この種のメールは、日常の業務連絡にそっくりなタイトルや本文で作られているため、見分けるのが非常に困難です。あらかじめ作成した「模擬の攻撃メール」を社員に送信し、実際に受信したときに怪しい点に気づいて適切に報告できる...
情報セキュリティポリシーの解説（情報セキュリティマネジメントシラバス用語）
情報セキュリティポリシーとは情報セキュリティポリシーとは、企業や組織が保有する情報を守るために定めた、セキュリティ対策に関する基本的な方針や具体的なルールのまとまりのことです。これがあることで、全社員が「何をどこまで守るべきか」「どのように行動すべきか」を共通の基準で理解し、一貫したセキュリティ管理を行うことができます。ポリシーは通常、最上位の「基本方針」、具体的なルールを定めた「対策基準」、日々...
秘密保持契約の解説（情報セキュリティマネジメントシラバス用語）
秘密保持契約（NDA）とは秘密保持契約（NDA：Non-Disclosure Agreement）とは、ビジネス上の取引や共同開発などを行うにあたにあたって、お互いに開示する技術的なノウハウや顧客情報、事業計画などの秘密情報を、許可なく他人に漏らしたり、目的外に使用したりしないことを約束する法的契約です。プロジェクトの商談を進める前や、業務を外部に委託する前に結ばれることが一般的で、万が一契約に違...
多要素認証の解説（情報セキュリティマネジメントシラバス用語）
多要素認証（MFA）とは多要素認証（MFA：Multi-Factor Authentication）とは、システムへログインする際、認証の3つの要素である「知識情報（本人が知っていること）」「所持情報（本人が持っているもの）」「生体情報（本人自身の特徴）」のうち、2つ以上の異なる要素を組み合わせて本人確認を行う仕組みです。IDとパスワード（知識情報）だけでログインする従来の方法に比べ、パスワードが...
アクセス制御の解説（情報セキュリティマネジメントシラバス用語）
アクセス制御とはアクセス制御とは、コンピュータシステムやネットワークにおいて、特定のデータや機能を利用できる「人」や「端末」を制限し、許可されたものだけにアクセスを許す仕組みのことです。すべての社員が会社のあらゆるデータを見られる状態にしておくと、無関係のデータが誤って消去されたり、機密情報が盗まれたりするリスクが高まります。アクセス制御を行うことで、業務に必要な人だけに必要な権限を与える「最小権...
ログ管理の解説（情報セキュリティマネジメントシラバス用語）
ログ管理とはログ管理とは、コンピュータシステムやサーバー、ネットワーク機器などが動作した記録（ログ）を収集し、長期間安全に保存して、必要に応じて分析や確認ができるように整理しておくことです。ログは、システム内で行われたすべての「出来事の履歴書」のようなものであり、エラーの原因調査や不正アクセスの監視、セキュリティ事故発生時の証拠（証跡）として極めて重要な役割を果たします。単に記録を保存するだけでな...
パッチマネジメントの解説（情報セキュリティマネジメントシラバス用語）
パッチマネジメントとはパッチマネジメントとは、OS（WindowsやmacOSなど）やソフトウェアに見つかったセキュリティ上の欠陥（脆弱性）を修正するための修正プログラム（パッチ）を、組織内のパソコンやサーバーへ迅速、かつ確実に適用・管理することです。ソフトウェアの弱点を放置していると、そこを突かれてサイバー攻撃者からウイルスに感染させられたり、システムを乗っ取られたりする危険があります。すべての...