Chapter 62
科目A-2｜情報セキュリティ対策の用語を順に解説します。
セキュリティ教育・訓練とはセキュリティ教育・訓練とは、企業や組織の役員から一般社員、派遣社員にいたるまで、すべての構成員に対してセキュリティに関する知識を教え、実際のトラブルに備えて訓練を行うことです。システムのセキュリティをどんなに強固にしても、それを使う人間のセキュリティ意識が低いと、パスワードのずさんな管理や、不審なメールの開封などから情報漏洩が発生してしまいます。この「人」の脆弱性を克服し、組織全体のセキュリティレベルを底上げするために欠かせない取り組みです。具体例多くの企業で実施されているセキュリティ教育
標的型攻撃メール訓練とは標的型攻撃メール訓練とは、特定の企業や組織を狙って送られる、実在する人物や取引先を装った偽のメール（標的型攻撃メール）への対処法を身につけるための体験型訓練です。この種のメールは、日常の業務連絡にそっくりなタイトルや本文で作られているため、見分けるのが非常に困難です。あらかじめ作成した「模擬の攻撃メール」を社員に送信し、実際に受信したときに怪しい点に気づいて適切に報告できるかを確認・教育するために実施されます。具体例社内で行われる標的型攻撃メール訓練の流れです。メールの送信：人事部や管理者を
秘密保持契約（NDA）とは秘密保持契約（NDA：Non-Disclosure Agreement）とは、ビジネス上の取引や共同開発などを行うにあたにあたって、お互いに開示する技術的なノウハウや顧客情報、事業計画などの秘密情報を、許可なく他人に漏らしたり、目的外に使用したりしないことを約束する法的契約です。プロジェクトの商談を進める前や、業務を外部に委託する前に結ばれることが一般的で、万が一契約に違反して情報が漏洩した場合には、損害賠償を請求するための法的な根拠となります。具体例あるアプリ開発会社（A社）が、新しいサ
アクセス制御とはアクセス制御とは、コンピュータシステムやネットワークにおいて、特定のデータや機能を利用できる「人」や「端末」を制限し、許可されたものだけにアクセスを許す仕組みのことです。すべての社員が会社のあらゆるデータを見られる状態にしておくと、無関係のデータが誤って消去されたり、機密情報が盗まれたりするリスクが高まります。アクセス制御を行うことで、業務に必要な人だけに必要な権限を与える「最小権限の原則」を適用し、安全性を保ちます。具体例会社の共有サーバーに保存されているフォルダの権限管理を例に考えてみましょう。
パッチマネジメントとはパッチマネジメントとは、OS（WindowsやmacOSなど）やソフトウェアに見つかったセキュリティ上の欠陥（脆弱性）を修正するための修正プログラム（パッチ）を、組織内のパソコンやサーバーへ迅速、かつ確実に適用・管理することです。ソフトウェアの弱点を放置していると、そこを突かれてサイバー攻撃者からウイルスに感染させられたり、システムを乗っ取られたりする危険があります。すべての端末の状態を把握し、最新の状態に保つ体制を作ることがパッチマネジメントです。具体例会社のIT部門が行う、毎月の「Wind
エンドポイントセキュリティとはエンドポイントセキュリティとは、ネットワークに接続されている末端の機器（パソコンやスマートフォン、サーバーなど）を守るためのセキュリティ対策です。「エンドポイント」とは「終点」や「端末」を意味します。従来はネットワークの境界線（ファイアウォールなど）で侵入を防ぐ対策が主流でしたが、テレワークの普及により境界線が曖昧になったため、端末そのものを守る重要性が高まりました。その代表例がEDR（Endpoint Detection and Response）であり、端末の挙動を監視し、万が一ウ
クラウドセキュリティとはクラウドセキュリティとは、インターネットを通じて提供されるクラウドサービス（SaaS、PaaS、IaaSなど）を安全に利用するためのセキュリティ対策です。自社で物理的なサーバーを持たないクラウド利用では、データの保管場所やアクセス経路が社外にあるため、情報の流出や不正アクセスを防ぐための専用のルールと対策が必要です。この課題を解決する仕組みの一つがCASB（Cloud Access Security Broker）です。CASBは、社員が利用している複数のクラウドサービスへのアクセスを一元管
テレワークセキュリティとはテレワークセキュリティとは、自宅やカフェなどのオフィス以外の場所から、安全に業務を行うためのセキュリティ対策です。社外からのアクセスは、公共の通信回線を通るため、データの盗聴や改ざんのリスクが高まります。これを防ぐために広く使われているのがVPN（Virtual Private Network、仮想専用回線）です。VPNを利用すると、インターネット上に暗号化された専用の「トンネル」のような通り道を作ることで、通信内容を他人に読み取られないように保護し、オフィスの社内ネットワークに安全に接続
入退室管理とは入退室管理とは、オフィスやサーバー室などの特定の部屋へ人が出入りするのを制限・記録し、不審者の侵入や情報の持ち出しを防ぐための物理的なセキュリティ対策です。重要書類やサーバーがある場所に誰でも自由に入れる状態では、情報漏えいや機器の盗難といった重大なインシデント（事故）が発生する危険性が高くなります。そのため、ICカードや生体認証などを利用して「誰が」「いつ」「どこに」入退室したかをシステムで記録し、許可された人だけが立ち入れるように制御します。また、共連れ（許可された人に続いて未許可の人が入室するこ
クリアデスクとはクリアデスクおよびクリアスクリーンとは、第三者に見られたり盗まれたりしてはいけない情報を机の上や画面上に放置しないという, 基本的な物理セキュリティ対策のルールです。「クリアデスク」は、離席する際に机の上に書類やノートパソコン、USBメモリなどを残さず、鍵付きの引き出しに片付けることを指します。「クリアスクリーン」は、離席する際にパソコンの画面をロックしたり、スクリーンセーバーを起動させて画面上の情報が見えない状態にすることを指します。これにより、通りかかった無関係な人に機密情報や個人情報を盗み見ら
公式資料へのリンクと確認日を各記事に掲載しています。