情報処理安全確保支援士試験 のナレッジマップ
情報処理安全確保支援士試験 の主要概念 75 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（75）
マルウェア
ウイルス・ワーム・トロイの木馬・ランサムウェアなど、利用者に害を及ぼすことを目的として作られた悪意あるソフトウェアの総称。感染経路はメール添付・不正サイトの閲覧・USBメモリなど多岐にわたる。
関連: ランサムウェア
電子署名
公開鍵暗号の仕組みを利用して、電子文書の作成者本人であることの証明（本人性）と、文書が改ざんされていないことの証明（完全性）を行う技術。
標的型攻撃
特定の組織や個人を狙い、業務に関係あるように装ったメール（標的型攻撃メール）などで機密情報の窃取やシステム破壊を狙う攻撃。不特定多数を狙うばらまき型の攻撃とは異なる。
耐タンパ性
ICカードやセキュリティチップ（TPM等）が、内部の秘密情報（鍵など）を物理的な分解・観測・改変の試みから保護する能力。サイドチャネル攻撃や物理的攻撃に対し、情報の読み出しや不正操作を困難にする実装上の性質。
関連: サイドチャネル攻撃
リスクアセスメント
情報資産に対する脅威と脆弱性を洗い出し、リスクを特定・分析・評価する一連のプロセス。リスクの大きさ（発生可能性×影響度）を明らかにし、以降のリスク対応の判断材料とする。ISMSのPDCAではPlanフェーズの中核。
OIDC フェデレーション（CI/CD）
外部 CI（GitHub Actions 等）が長期アクセスキーなしで AWS のロールを引き受ける仕組み。IAM に OIDC ID プロバイダーを登録し、信頼ポリシーで sub（リポジトリ/ブランチ）を限定して AssumeRoleWithWebIdentity で一時認証情報を得る。キーレスで安全。
前提: ID プロバイダー（IdP）
送信ドメイン認証（SPF／DKIM／DMARC）
送信ドメイン認証の 3 要素。SPF はそのドメインからの送信を許可する IP を列挙し、DKIM は電子署名でメール本文の改ざんの無さと送信元を証明し、DMARC は SPF/DKIM の検証結果に基づく処理方針（隔離/拒否）と結果通知先を宣言する。なりすまし・フィッシング対策として TXT レコードで設定し、Google Workspace でも受信側の迷惑メール判定に強く影響する。
CSIRT（シーサート）
コンピュータセキュリティにかかわるインシデントに対応するための組織内チーム。インシデントの検知・分析・対応・再発防止までを担い、社外のCSIRTや関係機関と情報連携することもある。
ID プロバイダー（IdP）
Entra ID・Okta などの企業の認証基盤。SAML SSO で認証を担い、SCIM/チーム同期と組み合わせてアカウントとグループを一元管理する。
個人情報保護法
氏名・生年月日など特定の個人を識別できる情報を扱う事業者に対し、利用目的の特定・適正な取得・安全管理措置・本人同意のない第三者提供の制限などを義務付ける法律。
フィッシング
実在する企業や金融機関になりすました偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺の手口。URLやドメインをよく確認することが対策の基本。
IPsec
IPパケット単位で暗号化と認証を行うプロトコル群。サイト間VPN（オンプレとクラウドVNet/VPCの接続）で経路を暗号化するのに使われ、両端の暗号化・整合性・鍵交換の設定が一致していないとトンネルが確立しない。
ビジネスメール詐欺（BEC）
取引先や経営者になりすましたメールを送り、偽の口座への送金や機密情報の提供をだまし取る詐欺手法。マルウェアを使わず、業務プロセスの隙や心理的な緊急性を悪用する点がフィッシングと似るが標的型で狙う相手が限定される。振込先変更時の複数人承認・電話確認などが対策。
情報資産
組織にとって価値がありリスクアセスメントの対象となる情報およびそれを扱う仕組み全般。顧客データや設計情報などの「情報そのもの」に加え、それを保存・処理するサーバーやPCなどの「機器」、業務プロセスも含む。台帳を作成し重要度（機密性・完全性・可用性）を評価するのが管理の出発点。
関連: リスクアセスメント
リスク対応（低減・回避・移転・受容）
リスクアセスメントの結果に基づき取る4つの対応方針。低減＝管理策の導入で発生可能性や影響度を下げる、回避＝リスクの原因となる活動自体をやめる、移転＝保険や委託で第三者にリスクを移す、受容＝許容範囲内として対策せず受け入れる。コストと効果のバランスで選択する。
関連: リスクアセスメント
稼働率
システムが正常に稼働している時間の割合。稼働率＝MTBF÷(MTBF＋MTTR) で求められ、故障間隔が長く修復時間が短いほど高くなる。可用性の代表指標で、SLA の合意値（例 99.9%）としても用いる。
前提: 平均故障間隔（MTBF）
ロールベースのアクセス制御（RBAC）
誰に・どの役割を・どのスコープで割り当てて権限を与える認可の仕組み。最小権限が原則、割り当ては下位へ継承。
セキュリティテスト（SAST/DAST/SCA）
パイプラインに組み込む脆弱性検査。SAST＝ソースの静的解析、DAST＝稼働中アプリの動的解析、SCA（依存関係スキャン）＝OSS の既知脆弱性検出、IaC/コンテナイメージスキャン＝設定不備/イメージ脆弱性。動かさない検査は左（早期）、動的検査は右（デプロイ後）に置く。
SQLインジェクション
Webアプリケーションの入力欄に不正なSQL文の断片を注入し、データベースを意図しない形で操作・閲覧させる攻撃手法。バインド機構（プレースホルダ）の利用や入力値の検証で防止する。
SAML SSO（シングルサインオン）
組織/Enterprise のメンバーが IdP（Entra ID・Okta 等）で認証してから GitHub にアクセスする仕組み。認証を担い、退職者のアクセスを一括で止められる。アカウントの自動削除は SCIM の役割で、SAML 単独では行われない。
CVSS（深刻度）
Common Vulnerability Scoring System。脆弱性の深刻度を数値化する標準。優先順位付けでは EPSS（悪用確率）や到達可能性・資産重要度と併用する。
CWE
Common Weakness Enumeration。SQL インジェクションやバッファオーバーフローなど弱点の「種類」の分類（例: CWE-89）。CVE が「事例」、CWE が「種類」。
前提: SQLインジェクション
内部統制
業務が適正・効率的に遂行されるよう、企業が自ら業務プロセスに組み込む仕組み・体制。不正の防止や財務報告の信頼性確保を目的とし、経営者に整備・運用の責任がある。
平均故障間隔（MTBF）
修理して使い続けるシステムで、ある故障から次の故障までの平均稼働時間。値が大きいほど故障しにくく信頼性が高い。総稼働時間÷故障回数で算出する。
AH（認証ヘッダ）
IPsecを構成するプロトコルの一つで、IPパケットの完全性と送信元認証を提供するが暗号化（機密性）は行わない。IPヘッダも認証対象に含むため、経路上でアドレスを書き換えるNATと整合せず相性が悪い。機密性が必要ならESPを用いる。
前提: IPsec
ボットネット
マルウェア（ボット）に感染した多数の機器がC&Cサーバの指令下で一斉に制御されるネットワーク。DDoS攻撃やスパム送信、情報窃取の踏み台として悪用される。感染機器はコネクトバック通信で指令を待ち受ける。
前提: マルウェア
コモンクライテリア（ISO/IEC 15408）
IT製品のセキュリティ機能を評価するための国際標準規格で、評価保証レベル（EAL）で評価の厳格さを表す。日本ではこの規格に基づく第三者認証制度としてJISECが運用され、ICカード等の耐タンパ性を含むセキュリティ機能を客観的に評価・認証できる。
前提: 耐タンパ性
サイバーキルチェーン
標的型攻撃の一連の流れを「偵察→武器化→配送→攻撃→インストール→遠隔操作（C&C）→目的の実行」の段階に分けて整理するモデル。各段階で有効な防御策を検討し、どこで攻撃を断ち切れるかを分析するために用いられる。
前提: 標的型攻撃
ファイルレスマルウェア
ディスク上に実行ファイルを残さず、PowerShellやWMIなど正規のシステムツールのメモリ上でコードを展開・実行するマルウェア。シグネチャ（ファイルのハッシュ・パターン）に依存する検知を回避しやすく、挙動監視（ビヘイビア法）での検知が有効となる。
前提: マルウェア
IAST（Interactive Application Security Testing）
アプリケーションの実行中に内部の挙動（データフローや実際に到達したコード経路）を計測しながら脆弱性を検出する手法。ソースコードを静的に見るSASTと、外部から動かして検査するDASTの中間的な位置づけで、両者の長所を組み合わせる。
PFS（前方秘匿性）
長期的に保持する秘密鍵（サーバ証明書の秘密鍵など）が将来漏えいしても、過去に記録された暗号化通信を復号できない性質。TLSでDHE/ECDHEのようなセッションごとに使い捨てる一時鍵で鍵合意を行うことで実現される。TLS1.3では標準的に満たされる。
関連: DHE／ECDHE（一時鍵交換）
レインボーテーブル攻撃
ハッシュ値から元のパスワードを高速に逆引きするために、あらかじめ計算した平文とハッシュ値の対応表を用いる攻撃。パスワードごとに異なるソルトを付加してハッシュ化すれば、この事前計算表が無効化される。
サイドチャネル攻撃
暗号処理そのものの理論的弱点ではなく、処理時間・消費電力・電磁波・音などの物理的な副次情報（サイドチャネル）を観測して鍵などの秘密を推定する攻撃。耐タンパ性を高めた実装で副次情報の漏えいを抑える。
関連: 耐タンパ性
S/MIME
電子メールの本文・添付を公開鍵暗号とデジタル署名で保護する規格。暗号化により機密性を、署名により送信者の真正性と改ざん検知（完全性）を提供する。利用にはPKIによる証明書が必要となる。
EDR（Endpoint Detection and Response）
PCやサーバーなどのエンドポイント上での挙動を常時監視・記録し、侵入後の不審な振る舞い（プロセス起動・通信・ファイル改変など）を検知して隔離や調査を行う仕組み。入口対策であるアンチウイルス（既知パターンの検出）に対し、侵入されることを前提にした事後対応・可視化を担う。
前提: 多層防御（入口・内部・出口対策）
内部不正
従業員や委託先など組織内部の関係者が、正規の権限を悪用して情報を持ち出す・改ざんする・システムを妨害するなど意図的に引き起こす不正行為。外部からの攻撃より検知しづらく、動機（不満・金銭）と機会（過剰な権限）と正当化の3要素（不正のトライアングル）で説明されることが多い。アクセスログの監視や職務分掌が対策の柱。
JPCERT/CC
日本国内におけるコンピュータセキュリティインシデントの報告受付・対応支援・注意喚起を行う一般社団法人。特定の政府機関や企業から独立した中立の調整機関として、国内外のCSIRT間の情報連携のハブも担う。
前提: CSIRT（シーサート）
JVN（Japan Vulnerability Notes）
JPCERT/CCとIPAが共同で運営する、日本国内で使われるソフトウェア等の脆弱性情報とその対策情報を公開するポータルサイト。CVE番号との対応や深刻度（CVSS）も併記され、脆弱性対応の一次情報として参照される。
ペネトレーションテスト
実際の攻撃者と同じ手法・視点でシステムへの侵入を試み、発見した脆弱性が実際に悪用可能で、どこまで被害が広がりうるかを実証するテスト。網羅的に弱点を洗い出す脆弱性診断に対し、特定の侵入経路を深掘りする点が異なる。
関連: 脆弱性診断
ランサムウェア
感染したPCやサーバー内のファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェア。近年は復号鍵を渡さないだけでなく、窃取したデータの公開を脅す「二重恐喝」の手口が主流になっている。バックアップの取得・分離保管（オフライン化）が有効な対策。
関連: マルウェア
残留リスク
リスク対応（低減・回避・移転）を実施した後になお残るリスク。ゼロにはできないため、経営層が許容水準内にあるかを判断し、受容するかどうかを承認する対象となる。
脆弱性診断
Webアプリケーションやネットワーク機器・サーバーに既知の脆弱性が存在しないかをツールや専門家が検査するサービス・作業。ペネトレーションテストが「実際に侵入できるか」を試すのに対し、脆弱性診断は網羅的に既知の弱点をリストアップする点で目的が異なる。
関連: ペネトレーションテスト
ハイブリッド暗号方式
共通鍵暗号の処理速度と公開鍵暗号の鍵配送の安全性を組み合わせた方式。データ本体は共通鍵で暗号化し、その共通鍵自体を受信者の公開鍵で暗号化して送る。S/MIMEやPGP、TLS1.2以前などで使われる（現行のTLS1.3では鍵交換に(EC)DHEを用い、共通鍵を公開鍵で暗号化して送る方式は使われない）。
DHCP
ネットワークに接続した機器へIPアドレスなどの通信に必要な設定情報を自動的に割り当てるプロトコル。管理者が機器ごとに手動でIPアドレスを設定する手間を省ける。
ISMS（情報セキュリティマネジメントシステム）
組織が情報資産を適切に保護するために、方針の策定からリスクアセスメント、対策の実施、見直し（PDCA）までを体系的に運用する管理の仕組み。国際規格ISO/IEC 27001に基づく認証制度がある。
平均修復時間（MTTR）
故障が発生してから復旧するまでの平均時間。値が小さいほど早く復旧でき、保守性（メンテナンス性）が高い。総修復時間÷故障回数で算出する。稼働率＝MTBF÷(MTBF＋MTTR) の分母に含まれ、MTBF（平均故障間隔）と対にして信頼性・保守性を評価する。
前提: 稼働率、平均故障間隔（MTBF）
コードサイニング（コード署名）
ソフトウェアやインストーラにデジタル署名を施し、配布元の真正性と配布後に改ざんされていない完全性を利用者が検証できるようにする仕組み。署名者の秘密鍵でハッシュ値を署名し、利用者は署名者の公開鍵（証明書）で検証する。
前提: 電子署名
DHCPスヌーピング
スイッチのポートを信頼済み（正規のDHCPサーバ接続）と非信頼（一般端末）に分類し、非信頼ポートからのDHCPサーバ応答（OFFER/ACK）を破棄する機能。不正なDHCPサーバによる偽のゲートウェイ配布（中間者攻撃）を防止する。
前提: DHCP
DHE／ECDHE（一時鍵交換）
Diffie-Hellman鍵交換をセッションごとに一時鍵ペアで行う方式（ECDHEは楕円曲線版）。長期鍵を鍵合意に使わないため前方秘匿性（PFS）を実現できる。静的RSA鍵交換に代わりTLS1.3の基本方式となっている。
関連: PFS（前方秘匿性）
HMAC（鍵付きハッシュメッセージ認証コード）
共有した秘密鍵とハッシュ関数を組み合わせてメッセージ認証コード（MAC）を生成する方式。受信側は同じ鍵で再計算して照合し、改ざんの有無と「鍵を持つ相手からの送信であること」を検証できる。公開鍵基盤を要さず完全性・真正性を確保できる。
前提: ハッシュ関数（改ざん検知）
OAuth（認可フレームワーク）
利用者に代わって第三者アプリがリソースへアクセスする権限を、パスワードを渡さずにアクセストークンとして委譲する「認可」フレームワーク。認証（本人確認）そのものを行う仕組みではない点に注意（認証にはOpenID Connectを重ねる）。
RAT（遠隔操作型マルウェア）
攻撃者が感染端末を遠隔から自由に操作できるバックドア機能を持つマルウェア。侵入後、他の内部端末への横展開（ラテラルムーブメント）や情報窃取・ランサムウェア展開の足場として悪用される。
ソルトとストレッチング
パスワードをハッシュ化して保存する際の強化策。ソルトは利用者ごとに異なるランダム値を付加してレインボーテーブル攻撃を無効化し、ストレッチング（キーストレッチング）はハッシュ計算を多数回繰り返して総当たり攻撃のコストを引き上げる。
前提: レインボーテーブル攻撃
情報セキュリティ教育・訓練
規程やルールを整備するだけでなく、全従業員に対して定期的な集合研修・eラーニング・標的型攻撃メール訓練などを通じてセキュリティ意識と行動を定着させる継続的な取り組み。人的対策の実効性を左右する要であり、実施記録と理解度の測定が形骸化を防ぐポイント。
前提: 標的型攻撃、標的型攻撃メール訓練
DLP（Data Loss Prevention）
メール送信・USBメモリへのコピー・クラウドストレージへのアップロードなどを監視し、機密情報や個人情報のパターンに合致する情報の外部持ち出しを検知・警告・ブロックする仕組み。内部不正や誤操作による情報漏えいの防止に用いる。
前提: 内部不正
適用宣言書（SoA）
ISO/IEC 27001の附属書A(Annex A)に列挙された管理策のうち、どれを自組織に適用するか／除外するかとその理由を明記した文書。リスクアセスメントの結果に基づいて作成し、ISMS認証審査の中心的な確認対象になる。
前提: リスクアセスメント
サプライチェーン攻撃
標的組織そのものではなく、セキュリティ対策が手薄な取引先・委託先・利用しているソフトウェア/ライブラリの供給元を踏み台にして侵入する攻撃手法。委託先経由の不正アクセスやソフトウェア更新プログラムへのマルウェア混入などが代表例。委託先のセキュリティ水準を契約・監査で担保することが対策になる。
前提: マルウェア
標的型攻撃メール訓練
実際の攻撃を模した疑似的な標的型攻撃メールを従業員へ送信し、開封率やリンククリック率を測定して意識向上と対応手順の定着を図る教育訓練。結果を集計し、開封してしまった従業員への追加教育や、不審メール報告のフローの周知に活用する。
前提: 標的型攻撃
コンテナ仮想化
ホストOSのカーネルを複数のアプリケーション実行環境（コンテナ）で共有し、プロセスやファイルシステムを名前空間で隔離する軽量な仮想化方式。ゲストOSを持つハイパーバイザ型仮想化と比べ、起動が高速でオーバーヘッドが小さい一方、ホストOSのカーネルに依存するため異なるOS種別のカーネルは動かせない。Dockerが代表的な実装。
前提: 仮想化
ハッシュ関数（改ざん検知）
任意長のデータから固定長の値（ハッシュ値）を算出する関数。同じ入力からは常に同じ値が得られ、わずかな変更でも値が大きく変わるため、データの改ざん検知やパスワードの保管に利用される。
IKE ポリシー
IPsecトンネルの鍵交換方式を定めるInternet Key Exchangeの設定。暗号アルゴリズム・ハッシュ・Diffie-Hellmanグループ・SAの有効期間などをオンプレ機器とクラウド側VPNゲートウェイの両方で一致させる必要がある。
前提: IPsec
職務分掌（内部統制における）
不正や誤りを防ぐため、承認・実行・記録・保管といった一連の業務を1人に集中させず複数人で分担させる内部統制の基本原則。
前提: 内部統制
共通鍵暗号方式
暗号化と復号に同じ鍵（共通鍵）を使う暗号方式。処理は高速だが、通信相手ごとに鍵を安全に共有する必要があり、相手が増えるほど鍵管理が煩雑になる。
仮想化
1台の物理的なコンピュータ上に、複数の仮想的なコンピュータ（仮想マシン）をソフトウェア的に作り出す技術（サーバ仮想化）。ストレージ・ネットワーク・デスクトップなども同様に仮想化できる。ハードウェア資源を効率的に活用でき、集約や柔軟な構成変更が可能になる。
楕円曲線暗号（ECC）
楕円曲線上の離散対数問題の困難性を安全性の根拠とする公開鍵暗号。RSAより短い鍵長で同等の強度を得られるため、処理負荷や鍵サイズが制約される環境で利用される。署名方式はECDSA、鍵交換はECDHEとして使われる。
前提: DHE／ECDHE（一時鍵交換）
TPM（セキュリティチップ）
暗号鍵の生成・保管や、起動構成の測定値をPCR（プラットフォーム構成レジスタ）に記録して完全性を検証する仕組み（メジャーメントブート）を担う、耐タンパ性を備えた専用ハードウェアチップ。鍵をソフトウェアから隔離して保護し、ディスク暗号化の鍵管理などに用いられる。
前提: 耐タンパ性
WebAuthn（パスワードレス認証）
FIDO2の一部としてW3Cが標準化した、公開鍵暗号に基づくWebのパスワードレス認証API。認証器（生体センサやセキュリティキー）が秘密鍵を保持し、サーバへは公開鍵のみを登録するため、フィッシングやパスワード流出に強い。
前提: フィッシング
仮名加工情報と匿名加工情報
どちらも個人情報保護法上の加工類型だが目的が異なる。仮名加工情報は他の情報と照合しない限り本人を識別できないよう加工したもので、事業者内部での分析利用を想定し本人同意なく目的外利用の制限が一部緩和される一方、第三者提供は原則禁止。匿名加工情報は特定の個人を識別できず復元も不可能な状態まで加工したもので、本人同意なく第三者提供が可能。
前提: 個人情報保護法
CSIRT運用とSOC
CSIRTがインシデント対応の司令塔である一方、SOC（セキュリティオペレーションセンター）はログやアラートを24時間365日監視し、脅威の検知・一次分析を担う実働部隊。中小組織では自前で持たずMSSP（マネージドセキュリティサービス）に監視業務を委託することも多い。
前提: CSIRT（シーサート）
電子署名法
一定の要件（本人だけが行うことができる・改変の有無を確認できる等）を満たす電子署名が付された電磁的記録は、真正に成立したものと推定するという法律。電子契約が紙の契約書と同等の法的効力を持つための根拠となっている。
前提: 電子署名
最小権限の原則とRBAC
利用者には業務上必要最小限の権限だけを付与するという最小権限の原則を、個々人にではなく職務・役割（ロール）単位で権限を割り当てて実装する方式がRBAC（ロールベースアクセス制御）。異動・退職時の権限見直しが容易になり、過剰な権限付与によるリスクを抑える。
多層防御（入口・内部・出口対策）
侵入を100%防ぐことは不可能という前提に立ち、入口対策（FW/WAFで侵入自体を防ぐ）・内部対策（権限管理やEDRで侵入後の被害を局所化する）・出口対策（DLPやプロキシで外部への情報流出を止める）を多段に組み合わせる考え方。単一の対策への過信を避ける。
要配慮個人情報
個人情報保護法上、人種・信条・病歴・犯罪歴など、本人に対する不当な差別や偏見が生じないよう特に慎重な取り扱いを要する個人情報の区分。取得には原則として本人の同意が必要で、通常の個人情報より厳格な保護が求められる。
前提: 個人情報保護法
委託先管理
業務やシステム開発・運用を外部に委託する際、委託先が自組織と同等以上のセキュリティ水準を維持しているかを、契約（秘密保持契約・SLA）・選定時の評価・定期監査を通じて確認・管理すること。委託先経由の情報漏えいやサプライチェーン攻撃を防ぐ目的で行う。
前提: サプライチェーン攻撃