Chapter 31
科目A｜セキュリティの用語を順に解説します。
機密性とは 機密性（Confidentiality）とは、情報セキュリティの基本である「3要素（CIA）」の一つで、許可された人だけがその情報にアクセスできるように制限し、許可されていない第三者には情報が漏洩しないように保護することです。どれだけ重要なデータであっても、無関係な人に見られてしまっては意味がありません。機密性を保つためには、データを暗号化して読み取れないようにしたり、パスワードによる認証やアクセス権限の設定を行って、特定の社員や管理者だけが閲覧・操作できるようにコントロールすることが不可欠です。情報の
完全性とは 完全性（Integrity）とは、情報セキュリティの基本である「3要素（CIA）」の一つで、データや情報が改ざんされたり、破壊されたりすることなく、常に正しく最新の状態が保たれていることです。システムエラーや悪意のあるハッカーによる書き換え、あるいは人為的なミスによってデータの内容が勝手に変わってしまうと、情報の信頼性が失われてしまいます。完全性を確保するためには、データが変更された際にその履歴を記録したり、データにデジタル署名を付与したりして、書き換えられていないことを後から確認できる仕組み（改ざん検
可用性とは 可用性（Availability）とは、情報セキュリティの基本である「3要素（CIA）」の一つで、システムや情報が必要なときに、許可された利用者がいつでも中断されることなく利用できる状態を維持することです。どれだけ強固に暗号化され（機密性）、正しく保管された（完全性）データであっても、システムが停止して使えなくなってしまっては価値が半減します。可用性を高めるためには、サーバーを複数台用意して1台が壊れても予備が動くようにしたり（冗長化）、定期的にバックアップをとったり、停電に備えて予備電源（UPS）を設
リスクマネジメントとは リスクマネジメントとは、企業や組織の運営において、発生する可能性のある危険（リスク）をあらかじめ予測・評価し、そのリスクによる被害を最小限に抑えるために対策を立てて実行する一連の管理プロセスのことです。リスクを放置すると甚大な損害に繋がりますが、すべてのリスクをゼロにするには莫大なコストがかかります。そのため、リスクの「発生確率」と「発生時の影響度」を分析し、対策の優先順位を決めます。リスク対策には、リスクを避ける「回避」、対策して減らす「低減」、他社に分担する「移転」、許容範囲として受け入
脅威とは 脅威（きょうい）とは、情報システムやデータなどの「情報資産」に対して、悪影響を与えたり損害をもたらしたりする具体的な要因のことです。脅威は、セキュリティ対策 of 弱点である「脆弱性（ぜいじゃくせい）」を突くことで被害を発生させます。脅威は大きく3つに分類されます。1つ目はハッカーによる不正アクセスやウイルス感染などの「技術的脅威」、2つ目は操作ミスや機器の紛失、ルール違反などの「人的脅威」、3つ目は地震や火災、落雷といった災害や停電などの「物理的脅威」です。これらを正しく把握することがセキュリティ対策の
マルウェアとは マルウェア（Malware）とは、パソコンやスマートフォンなどのコンピューターに不具合を起こしたり、大切な情報を盗み出したり、利用者の意図に反して悪意のある動作を行わせたりするために作られた、悪質なソフトウェアやプログラムの総称です。「悪意のある（Malicious）」と「ソフトウェア（Software）」を組み合わせた言葉です。マルウェアには、他のファイルに寄生して増殖する「コンピューターウイルス」、単独で動作しネットワークを介して広がる「ワーム」、無害なファイルを装って侵入し裏で悪事を働く「トロ
ランサムウェアとは ランサムウェア（Ransomware）とは、マルウェア（悪意のあるプログラム）の一種で、感染したパソコンやサーバーのデータを勝手に暗号化したり、画面をロックしたりして操作できない状態にし、元に戻すことと引き換えに「身代金（ランサム）」を要求するサイバー犯罪の手口です。要求される金銭は、追跡が難しいビットコインなどの暗号資産（仮想通貨）で指定されることが多く、指示通りに支払ってもデータが確実に元に戻る保証はありません。データを復旧できなくなる重大な脅威であり、日頃からのバックアップやOSのアップデ
フィッシングとは フィッシング（Phishing）とは、実在する銀行やクレジットカード会社、有名なショッピングサイトなどを装った偽の電子メールやSMS（ショートメッセージ）を送信し、本物そっくりに作成した偽のWebサイト（フィッシングサイト）に誘導して、暗証番号やパスワード、クレジットカード情報などを盗み出す詐欺行為です。「洗練された（Sophisticated）」手口でユーザーを「釣り上げる（Fishing）」ことから、このスペル（Phishing）で呼ばれています。メールの文面に「アカウントが不正利用されたため
標的型攻撃とは 標的型攻撃とは、不特定多数のユーザーを狙う一般的なサイバー攻撃とは異なり、官公庁や特定の企業、組織などをあらかじめターゲットとして定め、機密情報や知的財産を盗み出すために執拗に行われる攻撃のことです。攻撃者は標的の業務内容や組織図、取引先情報などを事前に徹底的に調査し、関係者を巧みに騙すアプローチを取ります。最も代表的な手口は、業務メールを装ってウイルスを仕込んだ添付ファイルを開かせる「標的型メール攻撃」です。一見すると日常的な問い合わせや見積もりの連絡に見えるため、受信者が疑わずに開いてしまい、感
ソーシャルエンジニアリングとは ソーシャルエンジニアリングとは、コンピューターやネットワークの技術的な欠陥（バグ）を突くのではなく、人間の心理的な隙や、物理的な盲点、日常生活の中の油断を突いて、パスワードや機密情報を盗み出す手法の総称です。例えば、警察官や会社の役員を装って電話をかけ、言葉巧みにパスワードを聞き出したり、机の上に放置された重要書類を盗み見たりする行為がこれに当たります。システムがいかに技術的に強固であっても、それを使う「人間」が騙されて情報を漏らしてしまえばセキュリティは崩壊するため、情報セキュリテ
DoS攻撃とは DoS攻撃（Denial of Service attack / サービス妨害攻撃）とは、標的とするサーバーやWebサイトに対して、大量のデータや処理要求（リクエスト）を送りつけたり、システムの欠陥を悪用したりすることで、サーバーに過剰な負荷をかけ、Webサイトの表示速度を極端に遅くしたりシステムを停止させたりする攻撃です。正規の利用者がサービスを利用できない状態（サービス不能状態）に陥らせることを目的としています。なお、1台のPCから行うものを「DoS攻撃」、乗っ取った多数のPC（ボットネット）か
SQLインジェクションとは SQLインジェクションとは、データベースと連携しているWebサイトの入力フォーム（ログイン画面や検索窓など）に、開発者が意図しない悪意のあるプログラム（SQL文）を注入（インジェクション）することで、データベースを不正に操作する攻撃手法です。Webアプリが入力された文字列を適切にチェックせずにそのままデータベースへの命令（SQL）の一部として組み立ててしまう脆弱性がある場合に発生します。この攻撃を受けると、データベースに保存されているIDやパスワードが盗まれたり、データが消去・改ざんされ
クロスサイトスクリプティングとは クロスサイトスクリプティング（XSS）とは、動的にWebページを生成するWebサイト（SNS、ブログ、掲示板など）の脆弱性を利用し、悪意のあるJavaScriptなどのスクリプトをページ内に埋め込む攻撃です。他のユーザーがそのページにアクセスした際、埋め込まれた不正なスクリプトが閲覧者のブラウザ上で勝手に実行されてしまいます。これにより、閲覧しているユーザーのクッキー情報（セッションID）が盗まれてアカウントが乗っ取られたり、画面の表示を書き換えられて別の偽サイトに誘導されたりする
CSRFとは CSRF（Cross-Site Request Forgery / クロスサイトリクエストフォージェリ）とは、ユーザーが特定のWebサービス（SNSやネットショップ等）にログインした状態を利用し、悪意のある別サイトに仕込まれた不正なリンクやフォームを通じて、そのWebサービスに対して本人が意図しない操作（商品の購入、パスワードの変更、掲示板への書き込みなど）を強制的に実行させる攻撃手法です。Webサービス側は「ログイン中の本人からの正しい要求」と誤認して処理を実行してしまうため、被害者が知らないうちに
ゼロデイ攻撃とは ゼロデイ攻撃とは、OSやソフトウェアにセキュリティ上の欠陥（脆弱性）が発見された際、開発元がその問題を解決するための「修正プログラム（セキュリティパッチ）」を開発し、公開するよりも前のタイミングで行われるサイバー攻撃のことです。脆弱性が公表されて対策が取られる「日（デイ）」を起点として、「0日目」に行われる攻撃であることからこの名前がついています。防御する側は、弱点を防ぐ盾（パッチ）を持っていない状態であるため、攻撃を防ぐことが極めて難しく、非常に危険度の高い攻撃手法として知られています。 具体例
ブルートフォース攻撃とは ブルートフォース攻撃（総当たり攻撃）とは、暗号の解読やログイン画面の突破を狙って、パスワードとして考えられる文字の組み合わせ（英数字、記号など）を、最初から最後まで順番にすべて試していく非常に原始的かつ確実な攻撃手法です。例えば、4桁の暗証番号であれば「0000」から「9999」までの1万通りをすべて入力すれば、いつかは必ず正解にたどり着きます。現在ではコンピューターの処理能力が向上したため、単純で短いパスワードは自動ツールによって瞬時に破られてしまいます。文字数を多くする、複雑な組み合わ
パスワードリスト攻撃とは パスワードリスト攻撃とは、ある特定のWebサイトやサービスから何らかの原因で漏洩した「ID（メールアドレス）とパスワードのリスト」を使い、別の全く異なるWebサイトやサービスに対して自動プログラムを用いてログインを試みる攻撃手法です。多くのインターネット利用者が、複数のサイトで同じIDやパスワードを使い回している（使い回し癖がある）という人間の心理的な行動パターンを悪用しています。攻撃が成功すると、会員情報の窃盗やポイントの不正利用、なりすましによる不正送金などの被害が発生します。 具体例
中間者攻撃とは 中間者攻撃（MITM / Man-in-the-Middle attack）とは、ネットワーク通信を行う二者の間に、攻撃者がこっそりと割り込んで「中間者」となり、やり取りされるデータを盗聴したり改ざんしたりする攻撃手法です。送信者と受信者は、お互いに相手と直接安全に通信していると思い込んでいるため被害に気づきにくいですが、実際にはすべてのデータが攻撃者のコンピュータを経由しており、パスワードや機密情報がすべて盗まれてしまいます。暗号化されていないフリーのWi-Fiスポットなどに接続した際に、この攻撃
共通鍵暗号方式とは 共通鍵暗号方式（対称鍵暗号）とは、データを暗号化する（読み取れない状態にする）ときと、復号する（元の状態に戻す）ときに、全く同じ「共通の鍵」を使用する暗号方式です。データの送信者と受信者が同じ鍵を共有して使用します。この方式の最大のメリットは、暗号化や復号の計算が非常にシンプルであるため、処理スピードが非常に速いことです。一方でデメリットは、鍵を相手に渡す際に、もし第三者に盗まれてしまうと暗号が簡単に解読されてしまうという「鍵の配送問題」が存在することです。代表的なアルゴリズムにはAESがありま
公開鍵暗号方式とは 公開鍵暗号方式とは、暗号化と復号にそれぞれ異なるペアとなる2つの鍵（公開鍵と秘密鍵）を使用する暗号方式です。誰にでも公開してよい「公開鍵」でデータを暗号化し、受け取った本人のみが厳重に管理している「秘密鍵」でしか復号できない仕組みになっています。共通鍵暗号方式の弱点であった「どうやって安全に鍵を渡すか」という問題を解決しました。デメリットとしては、鍵の作成や暗号化・復号の計算が複雑なため、共通鍵暗号方式に比べて処理速度が遅いことが挙げられます。代表的なアルゴリズムにRSAがあります。 具体例 受
ハイブリッド暗号とは ハイブリッド暗号とは、データの処理速度が速い「共通鍵暗号方式」と、鍵を安全に受け渡せる「公開鍵暗号方式」のそれぞれのメリットを組み合わせた暗号方式です。インターネット上のWebサイトと安全に通信を行う際（HTTPS通信など）に広く使われています。仕組みとしては、まず実際のデータ自体は処理の速い「共通鍵」で暗号化します。そして、その共通鍵自体を、相手の「公開鍵」を使って暗号化して送信します。受け取った側は自分の「秘密鍵」で共通鍵を取り出し、その共通鍵でデータを復号します。これにより安全かつ高速な
ハッシュ関数とは ハッシュ関数とは、入力されたどのような長さのデータ（文字列やファイルなど）からでも、常に固定された長さの不規則な値（ハッシュ値）を計算して出力する数式や関数のことです。ハッシュ関数には、出力されたハッシュ値から元のデータを逆算することが極めて困難である「一方向性」や、少しでも元のデータが変わると全く異なるハッシュ値が出力される「衝突困難性」という特徴があります。これらを利用して、データの改ざん検知や、データベースにおけるパスワードの安全な保存などに利用されます。 具体例 Webサービスでユーザーが
デジタル署名とは デジタル署名（電子署名）とは、公開鍵暗号方式の技術を応用し、送信されたデジタルデータが「間違いなく本人が作成したものであること（なりすまし防止）」と「送信された後にデータが改ざんされていないこと（改ざん検知）」を受信者が確認できるようにするための技術です。データの送信者は、データからハッシュ値を計算し、それを自身の「秘密鍵」で暗号化して「署名」を作成しデータに添付します。受信者は、送信者の「公開鍵」で署名を復号し、元のデータから計算したハッシュ値と一致するか確認します。 具体例 インターネット上で
電子証明書とは 電子証明書とは、インターネット上での取引や通信において、公開鍵暗号方式で使われる「公開鍵」が間違いなくその持ち主（企業や個人）のものであることを証明するために、信頼できる第三者機関である「認証局（CA）」が発行するデジタルの証明書です。現実世界における「印鑑証明書」や「運転免許証」のような役割を果たします。電子証明書には、持ち主の情報、持ち主の公開鍵、および認証局によるデジタル署名が含まれており、これによりハッカーが偽の公開鍵を作って本人になりすます詐欺行為を防ぐことができます。 具体例 オンライン
SSL/TLSとは SSL/TLSとは、インターネット上でデータを暗号化して送受信するためのプロトコル（通信規約）です。以前は「SSL」と呼ばれていましたが、その脆弱性を修正した「TLS」が現在使われており、慣例的に「SSL/TLS」と並べて表記されます。SSL/TLSを使用することで、Webブラウザとサーバーの間の通信が強力に暗号化され、通信途中でのデータの「盗聴」や「改ざん」、サイト運営者の「なりすまし」を防ぐことができます。SSL/TLSが導入されているWebサイトのURLは、必ず「https://」から始ま
多要素認証とは 多要素認証（MFA / Multi-Factor Authentication）とは、システムやWebサービスへログインする際に、ユーザーの正当性を確認するために必要な「要素」を複数組み合わせる認証方法です。認証の要素には、本人が知っていること（パスワード、秘密の質問などの「知識情報」）、本人が持っているもの（スマートフォン、ICカード、鍵などの「所持情報」）、本人の身体的特徴（指紋、顔、虹彩などの「生体情報」）の3つがあります。これらの異なるカテゴリーから2つ以上の要素を求めることで、万が一パスワ
バイオメトリクス認証とは バイオメトリクス認証とは、人間の身体的な特徴や行動の癖を利用して、本人かどうかを確認する認証方法のことです。日本語では「生体認証」とも呼ばれます。従来のパスワードや鍵を使う方法とは異なり、忘れたり紛失したりする心配がないため、セキュリティと利便性の両方を高める技術として広く使われています。 認証に使われる身体的特徴には、指紋、顔、目の虹彩（こうさい）、手のひらの静脈などがあります。また、筆跡や歩き方といった行動の特徴が使われることもあります。これらは一人ひとり異なるため、他人がなりすますこ
シングルサインオン（SSO）とは シングルサインオン（SSO）とは、1回のID・パスワード入力（認証）を行うだけで、連携している複数の異なるWebサービスやシステムに自動的にログインできる仕組みのことです。通常、サービスごとに異なるパスワードを覚えて入力する必要がありますが、SSOを導入することでその手間を大幅に削減できます。 ユーザーにとっては、多くのパスワードを管理するストレスから解放され、ログイン作業がスムーズになるというメリットがあります。また、管理者にとっても、パスワードを忘れたユーザーからの問い合わせ対
ファイアウォールとは ファイアウォールとは、ネットワークの境界に設置され、外部からの不正なアクセスを防ぐためのセキュリティシステムです。日本語では「防火壁」と訳され、火災の延焼を防ぐ壁のように、外部ネットワークからの危険な通信（火）が内部のネットワークに侵入するのを遮断する役割を持っています。 ファイアウォールは、通過しようとする通信の「送信元のアドレス」や「送信先のポート番号」といったヘッダ情報をチェックし、あらかじめ設定されたルール（パケットフィルタリングルール）に基づいて、その通信を通して良いか（許可）、ある
IDS（侵入検知システム）とは IDS（Intrusion Detection System）とは、ネットワークやサーバーに対する不審なアクセスや、ハッカーによる攻撃の兆候を監視し、異常を発見した際に管理者に通知するセキュリティシステムのことです。日本語では「侵入検知システム」と訳されます。 IDSは、ネットワーク上を流れるデータを常に監視し、既知の攻撃パターン（シグネチャ）と一致する通信がないかを調べる「シグネチャ検知」や、普段とは異なる異常な通信量の増加などを検出する「アノマリ検知」という技術を使っています。I
IPS（侵入防止システム）とは IPS（Intrusion Prevention System）とは、ネットワークやサーバーへの不正なアクセスや攻撃をリアルタイムで監視し、異常を検知した瞬間にその通信を自動的にブロックして防御するセキュリティシステムのことです。日本語では「侵入防止システム」と訳されます。 先に挙げたIDS（侵入検知システム）が「異常を見つけて管理者に知らせるだけ」であるのに対し、IPSは「異常を見つけたら即座にその通信を遮断する」という一歩進んだアクションを起こします。これにより、管理者が気づいて
DMZとは DMZ（Demilitarized Zone）とは、社内の安全なネットワーク（組織の内部ネットワーク）と、インターネット（外部ネットワーク）の間に設けられる、どちらにも属さない中間的なネットワーク領域のことです。日本語では「非武装地帯」と呼ばれます。 インターネット上に公開するWebサーバーやメールサーバーなどは、外部からのアクセス受け入れる必要があります。しかし、これらのサーバーを社内ネットワークと同じ場所に置いておくと、万が一サーバーがハッカーに乗っ取られた際、社内のパソコンや重要データが保管されて
検疫ネットワークとは 検疫ネットワークとは、外部から持ち込まれたパソコンやスマートフォンなどを組織の内部ネットワーク（社内LANなど）に接続する前に、安全性をチェックし、安全が確認されるまで隔離・検査するための専用ネットワークのことです。医療における「検疫（感染症の拡大を防ぐために検査・隔離する仕組み）」をネットワークに応用したものです。 ウイルス対策ソフトが最新になっていない端末や、重要なセキュリティ修正プログラム（パッチ）が適用されていないパソコンを社内ネットワークに繋ぐと、ネットワーク全体にウイルスが蔓延する
ゼロトラストとは ゼロトラスト（Zero Trust）とは、「何も信頼しない（Zero Trust）」という前提に立ち、ネットワークの内部と外部を区別せず、すべてのアクセスに対して認証や安全性の検査を行うセキュリティの考え方のことです。従来の「社内ネットワーク（内側）は安全だから信頼し、インターネット（外側）は危険だからファイアウォールで防ぐ」という「境界防御」の限界を克服するために提唱されました。 近年、テレワークの普及により社外から業務システムにアクセスすることが増え、またクラウドサービスの利用も一般化しました
ISMSとは ISMS（Information Security Management System）とは、組織が保有する情報資産の安全性を保つために、セキュリティ対策のルールを定め、それを計画・実行・評価・改善していくための一連の管理体制（仕組み）のことです。日本語では「情報セキュリティマネジメントシステム」と呼ばれます。 セキュリティを保つには、単にウイルス対策ソフトを入れるような技術的対策だけでなく、「誰がデータにアクセスしてよいか」「書類を捨てる時はどうするか」といった組織全体でのルール作りと運用が不可欠で
情報セキュリティポリシーとは 情報セキュリティポリシーとは、企業や官公庁などの組織が、保有する情報資産を様々な脅威（漏洩、改ざん、紛失など）から守るために策定する、情報セキュリティ対策の基本的な方針や具体的な行動規範をまとめた文書のことです。 ポリシーは一般的に、以下の3つの階層構造で構成されます。 基本方針：組織のトップが、セキュリティに対する姿勢や目的を対外的に示す最上位の宣言。 対策基準：基本方針を実現するために、具体的に「何を行うべきか」を記述した社内向けの規定（例：パスワードの文字数ルールなど）。 実施手
CSIRTとは CSIRT（Computer Security Incident Response Team：シーサート）とは、企業や組織において情報セキュリティ上の問題（インシデント）が発生した際に、その原因を調査し、被害を最小限に抑えるための対応を行う専門チームのことです。日本語では「コンピュータセキュリティインシデント対応チーム」と訳されます。 インターネットからのサイバー攻撃や、社員による情報の誤送信、ウイルスの感染など、セキュリティトラブルは突然発生します。CSIRTは、そうした緊急事態が発生した際に窓口
SOCとは SOC（Security Operation Center：そっく）とは、企業や組織のネットワーク、サーバー、パソコンなどを24時間365日体制でリアルタイムに監視し、サイバー攻撃などのセキュリティ脅威を早期に発見・分析する専門組織のことです。 現代の企業システムには、ファイアウォールやIDS/IPS、ウイルス対策ソフトなど、多数のセキュリティ機器が導入されています。これらが出力する大量のログ（通信の記録）を人が一つずつチェックするのは困難です。SOCの専門エンジニアは、専用の監視システムを活用してログ
ペネトレーションテストとは ペネトレーションテストとは、稼働しているシステムやネットワークに対して、実際のハッカーと同じ手法で擬似的にサイバー攻撃を行い、侵入できる隙（セキュリティ上の欠陥や脆弱性）がないかを検証するテストのことです。「侵入テスト」とも呼ばれます。 単に「脆弱性のリスト」をツールで自動検知するだけのテストとは異なり、ペネトレーションテストは「特定の目的（例：機密データの奪取や管理者権限の乗っ取り）が実際に達成できてしまうか」をセキュリティの専門家（ホワイトハッカー）が手動を交えて調査します。これによ
公式資料へのリンクと確認日を各記事に掲載しています。