情報セキュリティマネジメント試験 のナレッジマップ
情報セキュリティマネジメント試験 の主要概念 73 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（73）
マルウェア
ウイルス・ワーム・トロイの木馬・ランサムウェアなど、利用者に害を及ぼすことを目的として作られた悪意あるソフトウェアの総称。感染経路はメール添付・不正サイトの閲覧・USBメモリなど多岐にわたる。
関連: ランサムウェア
認証（AuthN）
「あなたは誰か」を確認する本人確認。認可より先に行う。
関連: 認可（AuthZ）
リスクアセスメント
情報資産に対する脅威と脆弱性を洗い出し、リスクを特定・分析・評価する一連のプロセス。リスクの大きさ（発生可能性×影響度）を明らかにし、以降のリスク対応の判断材料とする。ISMSのPDCAではPlanフェーズの中核。
前提: PDCAサイクル
稼働率
システムが正常に稼働している時間の割合。稼働率＝MTBF÷(MTBF＋MTTR) で求められ、故障間隔が長く修復時間が短いほど高くなる。可用性の代表指標で、SLA の合意値（例 99.9%）としても用いる。
CIA（機密性・完全性・可用性）
情報セキュリティの3要素：機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）。
真正性
情報セキュリティの拡張要素の一つで、利用者・情報・処理が主張どおりの本人・本物であることを確保する性質。デジタル署名や多要素認証によって、なりすましや偽装がないことを裏付ける。機密性・完全性・可用性のCIAトライアドを補う概念として応用情報の午前で問われる。
内部不正
従業員や委託先など組織内部の関係者が、正規の権限を悪用して情報を持ち出す・改ざんする・システムを妨害するなど意図的に引き起こす不正行為。外部からの攻撃より検知しづらく、動機（不満・金銭）と機会（過剰な権限）と正当化の3要素（不正のトライアングル）で説明されることが多い。アクセスログの監視や職務分掌が対策の柱。
前提: 職務分掌
電子署名
公開鍵暗号の仕組みを利用して、電子文書の作成者本人であることの証明（本人性）と、文書が改ざんされていないことの証明（完全性）を行う技術。
前提: 真正性、CIA（機密性・完全性・可用性）
HSM（ハードウェアセキュリティモジュール）
暗号鍵の生成・保管・演算を専用のハードウェア内で行い、ソフトウェアや外部から秘密鍵を取り出せないように保護する耐タンパ性を備えた装置。秘密鍵をOSやアプリケーションのメモリ上に平文で置かないため、マルウェア感染やサーバー侵害が起きても鍵の漏えいリスクを大きく下げられる。鍵管理ライフサイクルにおける「保管」段階の代表的な実装手段として用いられる。
情報資産
組織にとって価値がありリスクアセスメントの対象となる情報およびそれを扱う仕組み全般。顧客データや設計情報などの「情報そのもの」に加え、それを保存・処理するサーバーやPCなどの「機器」、業務プロセスも含む。台帳を作成し重要度（機密性・完全性・可用性）を評価するのが管理の出発点。
前提: CIA（機密性・完全性・可用性）
関連: リスクアセスメント
ランサムウェア
感染したPCやサーバー内のファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェア。近年は復号鍵を渡さないだけでなく、窃取したデータの公開を脅す「二重恐喝」の手口が主流になっている。バックアップの取得・分離保管（オフライン化）が有効な対策。
関連: マルウェア
CSIRT（シーサート）
コンピュータセキュリティにかかわるインシデントに対応するための組織内チーム。インシデントの検知・分析・対応・再発防止までを担い、社外のCSIRTや関係機関と情報連携することもある。
個人情報保護法
氏名・生年月日など特定の個人を識別できる情報を扱う事業者に対し、利用目的の特定・適正な取得・安全管理措置・本人同意のない第三者提供の制限などを義務付ける法律。
フィッシング
実在する企業や金融機関になりすました偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺の手口。URLやドメインをよく確認することが対策の基本。
標的型攻撃
特定の組織や個人を狙い、業務に関係あるように装ったメール（標的型攻撃メール）などで機密情報の窃取やシステム破壊を狙う攻撃。不特定多数を狙うばらまき型の攻撃とは異なる。
職務分掌
強い権限を 1 人に集中させず、申請者と承認者を分けるなどのチェックを効かせる設計原則。単独での不正・誤操作を防ぐ。最小権限と併用する。
バックアップ戦略（フル・差分・増分・3-2-1ルール）
フルバックアップは全データを毎回複製する方式で復旧は最速だが取得に時間・容量を要する。差分バックアップは直近のフルバックアップ以降の変更分のみを複製し、増分バックアップは直前のバックアップ（フルまたは増分）以降の変更分のみを複製するため取得は速いが復旧手順が複雑になる。3-2-1ルールは、データを3つ（原本＋複製2つ）保持し、2種類以上の異なる媒体に保存し、そのうち1つは遠隔地（オフサイト）に置くという原則で、ランサムウェア対策としてオフライン保管も重視される。
前提: ランサムウェア
ビジネスメール詐欺（BEC）
取引先や経営者になりすましたメールを送り、偽の口座への送金や機密情報の提供をだまし取る詐欺手法。マルウェアを使わず、業務プロセスの隙や心理的な緊急性を悪用する点がフィッシングと似るが標的型で狙う相手が限定される。振込先変更時の複数人承認・電話確認などが対策。
暗号の危殆化
計算機の性能向上や解読手法の進歩により、かつて安全とされていた暗号方式や鍵長が、実用的な時間で解読可能になってしまう現象。危殆化した方式（例：鍵長の短いRSAや古いハッシュ関数）を使い続けると解読・改ざんのリスクが高まるため、より強度の高い方式へ計画的に移行できる備え（クリプトアジリティ）が必要になる。
前提: ハッシュ関数（改ざん検知）
JVN（Japan Vulnerability Notes）
JPCERT/CCとIPAが共同で運営する、日本国内で使われるソフトウェア等の脆弱性情報とその対策情報を公開するポータルサイト。CVE番号との対応や深刻度（CVSS）も併記され、脆弱性対応の一次情報として参照される。
鍵管理のライフサイクル（生成・保管・更新・廃棄）
暗号鍵を安全に運用するための一連のプロセス。①生成＝十分な強度の鍵を安全な方法で作成、②保管＝HSM等での安全な保管により秘密鍵の漏えいを防止、③更新（ローテーション）＝定期的に鍵を新しくし漏えい時の被害範囲を限定、④廃棄＝不要になった鍵を復元不可能な形で確実に削除、の4段階からなる。秘密鍵が漏えいすると、それを使った暗号化・署名すべての信頼性が失われるため、特に保管段階の管理策が重要となる。
オフライン（隔離）バックアップ
ネットワークから物理的・論理的に切り離した状態で保管するバックアップ。常時ネットワーク接続されたバックアップ（オンラインバックアップ）はランサムウェアに暗号化・破壊される標的になり得るため、少なくとも1系統はオフライン（隔離）で保持することで、感染時にも復旧手段を確保する。3-2-1ルール（データを3つ、2種類の媒体に、うち1つはオフサイト）と組み合わせて運用されることが多い。
リスク対応（低減・回避・移転・受容）
リスクアセスメントの結果に基づき取る4つの対応方針。低減＝管理策の導入で発生可能性や影響度を下げる、回避＝リスクの原因となる活動自体をやめる、移転＝保険や委託で第三者にリスクを移す、受容＝許容範囲内として対策せず受け入れる。コストと効果のバランスで選択する。
関連: リスクアセスメント
標的型攻撃メール訓練
実際の攻撃を模した疑似的な標的型攻撃メールを従業員へ送信し、開封率やリンククリック率を測定して意識向上と対応手順の定着を図る教育訓練。結果を集計し、開封してしまった従業員への追加教育や、不審メール報告のフローの周知に活用する。
前提: 標的型攻撃
内部統制
業務が適正・効率的に遂行されるよう、企業が自ら業務プロセスに組み込む仕組み・体制。不正の防止や財務報告の信頼性確保を目的とし、経営者に整備・運用の責任がある。
PDCAサイクル
Plan（計画）→Do（実行）→Check（評価）→Act（改善）を繰り返すことで業務やマネジメントを継続的に改善する手法。1周で終わらせず、Actの結果を次のPlanへつなげる点が重要。
SLAとSLM
SLA（サービスレベル合意書）は、サービス提供者と利用者の間でサービス品質の水準（稼働率や応答時間など）を取り決めた合意文書。SLM（サービスレベル管理）は、SLAの内容を継続的に監視・見直しする活動。
前提: 稼働率
システム監査
情報システムが安全・効率的に運用されているかを、独立した立場の監査人が第三者の視点で検証・評価し、改善を助言する活動。監査対象部門から独立していることが信頼性の前提。
耐タンパ性
ICカードやセキュリティチップ（TPM等）が、内部の秘密情報（鍵など）を物理的な分解・観測・改変の試みから保護する能力。サイドチャネル攻撃や物理的攻撃に対し、情報の読み出しや不正操作を困難にする実装上の性質。
ウイルス対策ソフトの検知方式（パターンマッチング・ふるまい検知）
パターンマッチング（シグネチャ）方式は、既知のマルウェアの特徴を記録した定義ファイル（パターンファイル）と照合して検知する方式で、既知の脅威には高精度だが定義ファイルを常に最新へ更新する運用が前提であり、定義ファイルにない未知のマルウェア（ゼロデイ）は検知できない。ふるまい検知（ビヘイビア検知）は、プログラムの挙動そのものを監視して検知する方式で、定義ファイルに依存しないため未知のマルウェアにも対応できるが、正常な処理を誤って検知する誤検知（フォールスポジティブ）が起こりうる。実務では両方式を組み合わせた多層防御が用いられる。
前提: マルウェア
CISO（最高情報セキュリティ責任者）とセキュリティ委員会
CISOは組織の情報セキュリティ全般について経営レベルで責任を負う役員級の役職で、経営戦略とセキュリティ投資・対策を結び付ける役割を担う。セキュリティ委員会はCISOのもとで各部門の代表者が参加し、全社的な方針の審議や部門横断の課題調整を行う組織体で、特定部門だけの判断による偏りやサイロ化を防ぐ。両者は情報セキュリティを一部門任せにせず、組織全体で推進するための体制の核となる。
クリプトアジリティ（暗号の危殆化対応）
計算機の性能向上や新たな攻撃手法の発見により、それまで安全とされていた暗号方式・鍵長が突破可能になる現象を「暗号の危殆化」という。管理者は「導入時に安全だったから今も安全」と考えず、危殆化情報を継続的に把握し、暗号方式・鍵長を計画的に更新できる体制・能力を持つ必要があり、これをクリプトアジリティと呼ぶ。近年は量子コンピュータの発展で現行の公開鍵暗号が危殆化する懸念から、耐量子計算機暗号（PQC）への計画的な移行も重要な論点となっている。
関連: 暗号の危殆化
EDR（Endpoint Detection and Response）
PCやサーバーなどのエンドポイント上での挙動を常時監視・記録し、侵入後の不審な振る舞い（プロセス起動・通信・ファイル改変など）を検知して隔離や調査を行う仕組み。入口対策であるアンチウイルス（既知パターンの検出）に対し、侵入されることを前提にした事後対応・可視化を担う。
前提: 多層防御（入口・内部・出口対策）
JPCERT/CC
日本国内におけるコンピュータセキュリティインシデントの報告受付・対応支援・注意喚起を行う一般社団法人。特定の政府機関や企業から独立した中立の調整機関として、国内外のCSIRT間の情報連携のハブも担う。
前提: CSIRT（シーサート）
多層防御（入口・内部・出口対策）
侵入を100%防ぐことは不可能という前提に立ち、入口対策（FW/WAFで侵入自体を防ぐ）・内部対策（権限管理やEDRで侵入後の被害を局所化する）・出口対策（DLPやプロキシで外部への情報流出を止める）を多段に組み合わせる考え方。単一の対策への過信を避ける。
物理的セキュリティ対策（入退室管理・共連れ対策）
サーバー室やオフィスへの立ち入りを、ICカードや生体認証による入退室管理、施錠、監視カメラの設置などで制限・記録する対策。認証を受けた正規の入室者に続いて未承認者が同時に入り込む共連れ（ピギーバック）は入退室管理だけでは防げないため、一人ずつしか通過できないマントラップ（インターロック式の二重扉）や警備員の目視、入室者本人への意識づけで防ぐ。あわせて、同一IDでの連続入室や出場記録のない再入室を拒否するアンチパスバックにより、カードの貸し借りや共連れの検知に役立てる。
サンドボックス（マルウェア検証）
メール添付ファイルなど未知の実行ファイルを、本番環境から隔離された仮想環境（サンドボックス）内で実際に動作させ、不審な挙動を示さないか安全に検証する仕組み。パターンマッチング検知をすり抜けるマルウェアでも、実行前に無害な環境で挙動を確認できる点が価値だが、近年はサンドボックス内での実行を検知して活動を偽装するサンドボックス回避型マルウェアへの対応も課題となっている。
前提: マルウェア
サプライチェーン攻撃
標的組織そのものではなく、セキュリティ対策が手薄な取引先・委託先・利用しているソフトウェア/ライブラリの供給元を踏み台にして侵入する攻撃手法。委託先経由の不正アクセスやソフトウェア更新プログラムへのマルウェア混入などが代表例。委託先のセキュリティ水準を契約・監査で担保することが対策になる。
前提: マルウェア
脆弱性診断
Webアプリケーションやネットワーク機器・サーバーに既知の脆弱性が存在しないかをツールや専門家が検査するサービス・作業。ペネトレーションテストが「実際に侵入できるか」を試すのに対し、脆弱性診断は網羅的に既知の弱点をリストアップする点で目的が異なる。
関連: ペネトレーションテスト
SLA（サービスレベルアグリーメント）
保証された稼働率などを定める契約。達成できないとサービスクレジット（料金の一部返金）の対象になり得る。
前提: 稼働率
チャレンジレスポンス認証
サーバーが毎回異なる乱数（チャレンジ）を送り、利用者側がパスワードとその乱数から計算した応答値（レスポンス）を返す認証方式。パスワード自体を通信経路に流さないため、盗聴による再利用（リプレイ攻撃）を防げる。
前提: 認証（AuthN）
情報セキュリティの3要素（機密性・完全性・可用性）
情報セキュリティマネジメントの基本となる3つの要素。機密性は許可された者だけが情報にアクセスできること、完全性は情報が正確で改ざんされていないこと、可用性は必要なときに情報へアクセスできることを指す。
関連: CIA（機密性・完全性・可用性）
ISMS（情報セキュリティマネジメントシステム）
組織が情報資産を適切に保護するために、方針の策定からリスクアセスメント、対策の実施、見直し（PDCA）までを体系的に運用する管理の仕組み。国際規格ISO/IEC 27001に基づく認証制度がある。
職務分掌（内部統制における）
不正や誤りを防ぐため、承認・実行・記録・保管といった一連の業務を1人に集中させず複数人で分担させる内部統制の基本原則。
共通鍵暗号方式
暗号化と復号に同じ鍵（共通鍵）を使う暗号方式。処理は高速だが、通信相手ごとに鍵を安全に共有する必要があり、相手が増えるほど鍵管理が煩雑になる。
平均故障間隔（MTBF）
修理して使い続けるシステムで、ある故障から次の故障までの平均稼働時間。値が大きいほど故障しにくく信頼性が高い。総稼働時間÷故障回数で算出する。
平均修復時間（MTTR）
故障が発生してから復旧するまでの平均時間。値が小さいほど早く復旧でき、保守性（メンテナンス性）が高い。総修復時間÷故障回数で算出する。稼働率＝MTBF÷(MTBF＋MTTR) の分母に含まれ、MTBF（平均故障間隔）と対にして信頼性・保守性を評価する。
前提: 稼働率、平均故障間隔（MTBF）
アカウント管理のライフサイクル
利用者アカウントを入社（発行・権限付与）、異動（権限の見直し・棚卸し）、退職（速やかな無効化・削除）という一連の流れで管理すること。退職者アカウントの削除漏れや異動後の旧権限の残存は、内部不正や不正ログインの温床になるため、人事情報と連動した棚卸しが重要となる。
前提: 内部不正
システム監査の実施段階（予備調査・本調査・フォローアップ）
システム監査の実施段階は、監査計画の後、まず予備調査で監査対象の体制やアクセス権限の管理方法など概況を把握する資料を収集し、続く本調査で実際のログや変更記録など具体的な証跡を抽出・検証して問題点を洗い出す。監査報告の後にはフォローアップとして、指摘した改善策が実際に実施されたかを後日確認する。
前提: システム監査
刑法（電子計算機損壊等業務妨害罪）
コンピュータや電磁的記録を損壊・改ざんし、あるいは虚偽の情報や不正な指令を与えて、コンピュータを使用目的に沿った動作をさせない、または使用目的に反する動作をさせることで人の業務を妨害する行為を処罰する刑法の規定。マルウェア感染によるシステム破壊やデータ改ざんで業務を妨げた場合にもこの規定が適用されうる。
前提: マルウェア
サイバーセキュリティ経営ガイドライン
経済産業省とIPAが策定した、経営者がリーダーシップを発揮してサイバーセキュリティ対策を推進するための指針。経営者が認識すべき3原則と、CISO等の責任者に指示すべき重要10項目から構成され、セキュリティ投資を経営課題として位置づける考え方を示す。
情報セキュリティ教育・訓練
規程やルールを整備するだけでなく、全従業員に対して定期的な集合研修・eラーニング・標的型攻撃メール訓練などを通じてセキュリティ意識と行動を定着させる継続的な取り組み。人的対策の実効性を左右する要であり、実施記録と理解度の測定が形骸化を防ぐポイント。
前提: 標的型攻撃、標的型攻撃メール訓練
DLP（Data Loss Prevention）
メール送信・USBメモリへのコピー・クラウドストレージへのアップロードなどを監視し、機密情報や個人情報のパターンに合致する情報の外部持ち出しを検知・警告・ブロックする仕組み。内部不正や誤操作による情報漏えいの防止に用いる。
前提: 内部不正
電子署名法
一定の要件（本人だけが行うことができる・改変の有無を確認できる等）を満たす電子署名が付された電磁的記録は、真正に成立したものと推定するという法律。電子契約が紙の契約書と同等の法的効力を持つための根拠となっている。
前提: 電子署名
残留リスク
リスク対応（低減・回避・移転）を実施した後になお残るリスク。ゼロにはできないため、経営層が許容水準内にあるかを判断し、受容するかどうかを承認する対象となる。
管理策の4分類（技術的・物理的・人的・組織的管理策）
リスクアセスメントで特定されたリスクに対する対策（管理策）を性質で分類したもの。技術的管理策はアクセス制御や暗号化などシステム・機器による対策、物理的管理策は施錠や入退室管理など空間・設備による対策、人的管理策は教育や誓約書など従業員の行動・意識に関わる対策、組織的管理策は規程整備や体制構築など組織のルール・体制に関わる対策を指す。単独では実効性が乏しく、複数を組み合わせる多層防御によって初めて機能する。
適用宣言書（SoA）
ISO/IEC 27001の附属書A(Annex A)に列挙された管理策のうち、どれを自組織に適用するか／除外するかとその理由を明記した文書。リスクアセスメントの結果に基づいて作成し、ISMS認証審査の中心的な確認対象になる。
前提: リスクアセスメント
脅威の3分類（人的脅威・技術的脅威・物理的脅威）
情報セキュリティにおける脅威を発生源で分類したもの。人的脅威は内部不正や誤操作・過失など人間に起因するもの、技術的脅威はマルウェアや不正アクセスなど技術的手段によるもの、物理的脅威は災害や盗難・破壊など物理的な被害によるもの。SGでは特に人的脅威（内部不正・過失）が管理対象として重視される。
委託先管理
業務やシステム開発・運用を外部に委託する際、委託先が自組織と同等以上のセキュリティ水準を維持しているかを、契約（秘密保持契約・SLA）・選定時の評価・定期監査を通じて確認・管理すること。委託先経由の情報漏えいやサプライチェーン攻撃を防ぐ目的で行う。
前提: サプライチェーン攻撃
無線LANのセキュリティ（不正AP対策）
無線LANは電波の到達範囲内であれば誰でも通信を傍受・接続を試行できるため、WPA2/WPA3による暗号化・認証、SSIDの適切な管理、MACアドレスフィルタリングなどで保護する。特に、正規のアクセスポイントになりすました不正AP（悪魔の双子・エビルツイン）を設置し、利用者を誤って接続させて通信を盗聴・改ざんする攻撃が脅威となるため、利用者側は接続先の証明書やSSIDの真正性を確認し、組織側は無線LAN監視（WIDS/WIPS）で未承認APの検知・排除を行う。
ハッシュ関数（改ざん検知）
任意長のデータから固定長の値（ハッシュ値）を算出する関数。同じ入力からは常に同じ値が得られ、わずかな変更でも値が大きく変わるため、データの改ざん検知やパスワードの保管に利用される。
ハイブリッド暗号方式
共通鍵暗号の処理速度と公開鍵暗号の鍵配送の安全性を組み合わせた方式。データ本体は共通鍵で暗号化し、その共通鍵自体を受信者の公開鍵で暗号化して送る。S/MIMEやPGP、TLS1.2以前などで使われる（現行のTLS1.3では鍵交換に(EC)DHEを用い、共通鍵を公開鍵で暗号化して送る方式は使われない）。
前提: 共通鍵暗号方式
CVSS（深刻度）
Common Vulnerability Scoring System。脆弱性の深刻度を数値化する標準。優先順位付けでは EPSS（悪用確率）や到達可能性・資産重要度と併用する。
多要素認証（知識・所持・生体）
知識情報（パスワード等）・所持情報（スマートフォンやICカード等）・生体情報（指紋や顔等）のうち、異なる2種類以上を組み合わせて本人確認を行う認証方式。1つの要素が漏えいしても不正ログインされにくくなる。
前提: 認証（AuthN）
SCM（サプライチェーンマネジメント）
原材料の調達から生産・物流・販売までの一連の流れ（サプライチェーン）を企業間で情報共有し、全体最適化することで在庫削減やリードタイム短縮を図る経営手法。
仮名加工情報と匿名加工情報
どちらも個人情報保護法上の加工類型だが目的が異なる。仮名加工情報は他の情報と照合しない限り本人を識別できないよう加工したもので、事業者内部での分析利用を想定し本人同意なく目的外利用の制限が一部緩和される一方、第三者提供は原則禁止。匿名加工情報は特定の個人を識別できず復元も不可能な状態まで加工したもので、本人同意なく第三者提供が可能。
前提: 個人情報保護法
CSIRT運用とSOC
CSIRTがインシデント対応の司令塔である一方、SOC（セキュリティオペレーションセンター）はログやアラートを24時間365日監視し、脅威の検知・一次分析を担う実働部隊。中小組織では自前で持たずMSSP（マネージドセキュリティサービス）に監視業務を委託することも多い。
前提: CSIRT（シーサート）
ペネトレーションテスト
実際の攻撃者と同じ手法・視点でシステムへの侵入を試み、発見した脆弱性が実際に悪用可能で、どこまで被害が広がりうるかを実証するテスト。網羅的に弱点を洗い出す脆弱性診断に対し、特定の侵入経路を深掘りする点が異なる。
関連: 脆弱性診断
要配慮個人情報
個人情報保護法上、人種・信条・病歴・犯罪歴など、本人に対する不当な差別や偏見が生じないよう特に慎重な取り扱いを要する個人情報の区分。取得には原則として本人の同意が必要で、通常の個人情報より厳格な保護が求められる。
前提: 個人情報保護法
サプライチェーン管理（セキュリティ観点）
製品・サービスの供給網全体（部材の調達元、利用するソフトウェア/OSSライブラリ、再委託先まで）を可視化し、各段階のセキュリティリスクを評価・管理する取り組み。近年はソフトウェア部品表（SBOM）の整備が有効な手段として注目されている。