情報セキュリティ

ねらい

情報セキュリティが守ろうとしているものと、それを脅かすものを学びます。このレッスンを終えると、機密性・完全性・可用性の3つを区別し、脅威と脆弱性の違いを説明し、代表的な攻撃の手口を見分けられるようになります。

守るべき3つの要素

情報セキュリティが守るのは、機密性・完全性・可用性の3つです。この3つは、情報を扱ううえでの困り方が3種類あることに対応しています。

会社のファイルサーバで考えると、給与データを見てはいけない人が見てしまうのが1つ目、請求書の金額が勝手に書き換えられるのが2つ目、サーバが止まって誰もファイルを開けなくなるのが3つ目です。どれも困りますが、困り方が違います。見られてはいけないものが見られた、正しくないものになった、使いたいときに使えなかった。この3つに名前を付けたものが3要素です。

この3つは、頭文字をとってCIAと呼ばれます。さらに、誰がやったかを後から確かめられる責任追跡性、本人であることを確かめられる真正性、否定できないようにする否認防止などを加えて考えることもあります。

脅威と脆弱性の違い

脅威は、損害を与えうる原因そのものです。脆弱性は、その脅威につけ込まれる弱点です。

脅威は3つに分けて整理します。

• 人的脅威… 人が起こすもの。誤操作、内部不正、紛失、盗み見など。
• 技術的脅威… 技術で仕掛けられるもの。マルウェア、不正アクセスなど。
• 物理的脅威… 物理的なもの。地震、火災、水害、機器の故障など。

技術で防げるのは技術的脅威だけです。紛失や誤操作は仕組みと教育で、災害は場所の分散で備えます。ここを取り違えないようにしましょう。

攻撃の手口

ITパスポートでは、手口の名前と中身の対応が繰り返し問われます。人の心理につけ込むものと、技術で押し入るものに分けて覚えると整理できます。

人につけ込む手口

• ソーシャルエンジニアリング… 技術ではなく人をだまして情報を得る。電話で管理者になりすます、背後から画面をのぞくなど。
• フィッシング… 本物そっくりの偽サイトへ誘導し、IDやパスワードを入力させる。
• ビジネスメール詐欺… 取引先や経営者になりすまし、偽の口座へ送金させる。

技術で押し入る手口

• マルウェア… 悪意のあるソフトウェアの総称。自分の複製を広げるワーム、正常なソフトを装うトロイの木馬、身代金を要求するランサムウェアなどがあります。
• DoS攻撃・DDoS攻撃… 大量の要求を送りつけてサービスを止める。可用性を狙う攻撃です。
• 標的型攻撃… 特定の組織を狙い、業務に関係あるように見せかけたメールなどで侵入する。
• ゼロデイ攻撃… 修正プログラムが提供される前の脆弱性を突く。

情報資産とリスク

守る対象を情報資産といいます。顧客名簿やデータだけでなく、それを扱う機器や紙の書類も含みます。何を持っているかを把握していない組織は、何を守るべきかも決められません。

リスクへの対応は4つに整理されます。

すべてのリスクをゼロにはできません。費用と効果を見て、どう向き合うかを選ぶのが情報セキュリティの考え方です。

まとめ

情報セキュリティは、機密性・完全性・可用性の3つを守る取り組みです。脅威と脆弱性は別のもので、両方そろったときに被害が起きます。攻撃の手口は、人につけ込むものと技術で押し入るものに分けて整理すると覚えやすくなります。