1.1セキュリティ原則の基礎

セキュリティの現場では、「危ない」という言葉の中身を正確に分けて考えることが、対応の速さと正しさを決めます。鍵のかからない窓（弱点）があること、その窓から入ろうとする泥棒（危険）がいること、実際にこじ開ける道具（手段）があること、そして被害の起こりやすさと大きさ（見積り）は、それぞれ別の概念です。この節では、脆弱性・脅威・エクスプロイト・リスクという4つの用語を出発点に、攻撃の入口である攻撃ベクトル、防御を固めるハードニングと多層防御、守るべき目標であるCIA、そして攻撃者の種類と技術者が守る倫理規範を、暗記ではなく状況を正しく分類する視点で学びます。

1.1.1脆弱性・脅威・エクスプロイト・リスクの区別

• 脆弱性（vulnerability）＝システムや手順にある弱点・欠陥（未適用のパッチ、弱いパスワード、開いたポートなど）。脅威（threat）＝その弱点を悪用して害を及ぼしうる危険な事象や存在（攻撃者、マルウェア、災害など）。弱点そのものと、それを狙う危険は別物。
• エクスプロイト（exploit）＝脆弱性を実際に悪用する具体的な手段・コード（攻撃ツールや手口）。リスク（risk）＝ある脅威が脆弱性を突いて損害が生じる発生確率と影響の大きさの見積り。リスク ≠ 脆弱性で、脆弱性があってもエクスプロイト可能性や資産価値が低ければリスクは小さくなる。
• この4語の関係は「脆弱性（開いた窓）に、脅威（泥棒）が、エクスプロイト（こじ開け道具）で迫り、そのリスク（被害の起こりやすさ×大きさ）を見積もる」と整理できる。どの語の話をしているのかを取り違えないことが、対策の優先順位付けの第一歩。

1.1.2攻撃ベクトル・ハードニング・多層防御・CIA

• 攻撃ベクトル（attack vector）＝攻撃者がシステムに侵入する経路・入口（フィッシングメール、開いたポート、USBメモリ、脆弱なWebアプリなど）。攻撃面（attack surface）＝狙われうる入口の総量で、これを小さくするのが防御の基本方針。
• ハードニング（hardening）＝不要なサービスやアカウントの停止、パッチ適用、最小権限の徹底などで攻撃面を縮小すること。多層防御（defense in depth）＝1つの対策に頼らず、境界・ネットワーク・端末・データなど複数の層で重ねて守る考え方。1層が破られても次の層が食い止める。
• CIA＝情報セキュリティが守る3つの目標：機密性（Confidentiality）（許可された者だけが読める）、完全性（Integrity）（改ざんされず正しい）、可用性（Availability）（必要なときに使える）。どの事故がどの要素を損なうか（例：情報漏えい＝機密性、改ざん＝完全性、DoS＝可用性）を結びつけて考える。

あなたが小さな会社のセキュリティ担当だとして、脆弱性スキャンの結果「社内の古いテスト用サーバに未適用のパッチがある」と報告が上がってきたとします。ここで「脆弱性が見つかった＝今すぐ最優先で対処すべき重大リスク」と反射的に決めつけるのは、正確な判断とは言えません。脆弱性（弱点）があること自体と、それが実際にどれだけのリスク（発生確率×影響）になるかは別の話だからです。落ち着いて確認すべきは、そのサーバに外部から到達できる攻撃ベクトルがあるのか（インターネットに露出しているか、社内の隔離網か）、悪用するエクスプロイトが実在し攻撃者という脅威が現実的か、そしてそのサーバが扱うデータの価値（CIAのどれがどれだけ損なわれるか）です。もし隔離網にあり実データを持たないテスト機なら、同じ脆弱性でもリスクは低く、優先度は下がります。逆に、顧客データを持ち外部公開されたサーバの同じ脆弱性なら、リスクは高く即対応です。対策としては、そもそも不要なサービスを止めパッチを当てるハードニングで攻撃面を縮小し、加えて境界・ネットワーク・端末と多層防御で重ねておけば、1つの弱点が残っても被害を食い止められます。ここで大切なのは、「脆弱性の有無」だけでなく「脅威の現実性・エクスプロイトの存在・資産価値」を掛け合わせてリスクとして見積もり、限られた手を優先順位づけするという考え方です。すべての弱点を同列に慌てて追いかけるのではなく、リスクの大きい順に手を打つ——これがセキュリティ対応の基本作法です。

1.1.3この節のまとめ

• 脆弱性（弱点）／脅威（悪用しうる危険）／エクスプロイト（悪用の手段）／リスク（確率×影響）は別概念で、リスク≠脆弱性
• ハードニングで攻撃面を縮小し、多層防御で複数層に重ねる。攻撃ベクトルは侵入の入口
• 守る目標はCIA＝機密性/完全性/可用性。事故がどの要素を損なうかを結びつけて考える