変更要約: 初版
6.2基礎セキュリティ概念
セキュリティの3本柱CIA（機密性/完全性/可用性）、利用者を確かめて制御し記録するAAA（認証/認可/アカウンティング）、複数の要素で本人確認を強めるMFA、そして暗号化・証明書・パスワード複雑性・Active DirectoryというID基盤、さらにフィッシング・マルウェア・DoSなどの脅威を、「この対策は何を守るためか」を見分ける基礎として学びます。
セキュリティの話は用語が多くて身構えがちですが、根っこにあるのは「何を・誰から・どうやって守るか」というシンプルな問いです。守る対象を整理する物差しがCIA（機密性・完全性・可用性）、利用者を確かめて権限を与え記録する仕組みがAAA（認証・認可・アカウンティング）です。この節では、この2つの土台に加え、本人確認を強めるMFA、通信や保存データを守る暗号化と証明書、パスワード複雑性、IDを一元管理するActive Directory、そしてフィッシング・マルウェア・DoSといった代表的な脅威を、「この対策はCIAのどれを守るのか」という視点で結びつけて学びます。
6.2.1CIAとAAA
- CIA＝守るべき3つの性質。機密性（Confidentiality）＝許可された人だけが見られる（漏えい防止）、完全性（Integrity）＝内容が改ざんされず正しいまま、可用性（Availability）＝必要なときに使える。どのセキュリティ対策も、この3つのどれかを守るためにある。
- AAA＝利用者を扱う3ステップ。認証（Authentication）＝本人かを確かめる（例：パスワードやMFA）、認可（Authorization）＝確かめた相手に何を許すかを決める（アクセス権）、アカウンティング（Accounting）＝誰が何をしたかを記録する（ログ）。
- この2つは対で効く。AAAで正しく利用者を確かめ権限を絞ることが、結果としてCIAの機密性や完全性を守る。「認証（本人確認）」と「認可（権限付与）」は別物で、認証を通っても認可されていない操作はできない、という区別が重要。
6.2.2本人確認とデータ保護の道具
- MFA（多要素認証）＝「知識（パスワード）」「所持（スマホ/トークン）」「生体（指紋/顔）」のうち2種類以上を組み合わせて本人確認を強める方式。パスワードが漏れても、もう1要素がないと入れないため安全性が大きく上がる。
- 暗号化＝データを鍵がないと読めない形に変換し機密性を守る。通信の暗号化（HTTPSなど）や保存データの暗号化がある。証明書＝公開鍵が本物であることを第三者（認証局）が保証する電子的な身分証で、通信相手のなりすましを防ぐ。
- パスワード複雑性＝長く・種類を混ぜ・使い回さないことで推測や総当たりを防ぐ基本策。Active Directory＝Windows環境でユーザーやPCのID情報を一元管理するIDストア（ディレクトリサービス）で、1か所で認証・権限を管理できる。
6.2.3代表的な脅威と脆弱性
- フィッシング＝正規のサービスを装ったメールやサイトで、パスワードやカード情報を入力させて盗む詐欺。スパム＝大量に送られる迷惑メールで、フィッシングやマルウェアの運び屋になることも多い。人をだます「ソーシャルエンジニアリング」の代表格。
- マルウェア＝悪意あるソフトの総称（ウイルス、ワーム、ランサムウェア、スパイウェアなど）。感染すると情報を盗んだり、データを暗号化して身代金を要求したり（ランサムウェア）する。脆弱性＝ソフトや設定の弱点で、放置すると攻撃の入口になる（対策＝更新プログラムの適用など）。
- DoS（サービス妨害）＝大量の通信や要求を送りつけてサーバやネットワークを麻痺させ、正規利用者が使えなくする攻撃。多数の機器から一斉に行うものはDDoS。これはCIAのうち可用性を狙う攻撃で、機密性を狙うフィッシング等とは守る対象が違う。
「CIA＝機密性/完全性/可用性」「AAA＝認証（本人確認）/認可（権限）/アカウンティング（記録）で認証と認可は別」「MFA＝知識/所持/生体から2要素以上」「証明書＝公開鍵の真正性を保証」「Active Directory＝IDストア」「DoSは可用性を狙う・フィッシングは機密性を狙う」が頻出です。対策がCIAのどれを守るかを結びつけましょう。
ある社員から「取引先を名乗るメールのリンクを開き、社内システムのIDとパスワードを入力してしまった」との申告があったとします。これは典型的なフィッシングで、狙われたのはCIAのうち機密性（認証情報の漏えい）です。ここでの初動判断を、基礎概念に沿って考えてみます。まず、漏れたパスワードだけで不正ログインを許さないために、その社員のアカウントでMFAが有効かを確認します。MFAが効いていれば、パスワードを知られても「所持」要素（スマホの承認など）がない攻撃者は入れず、被害を大きく減らせます。同時に、パスワードは直ちにリセットし、Active DirectoryなどのIDストア側で該当アカウントの状態やログ（アカウンティングの記録）を確認して、不審なログインがなかったかを調べます。ここで認証と認可の区別が効きます。仮に攻撃者が認証を突破しても、その社員に必要最小限の認可（権限）しか与えていなければ、触れる範囲は限定され、被害の広がりを抑えられます。さらに再発防止として、複雑なパスワードの徹底やMFAの全社展開、フィッシングメールの見分け方の周知が挙がります。ポイントは、個々の対策を丸暗記するのではなく、「この脅威はCIAのどれを狙い、どの対策（認証・認可・MFA・暗号化）で守るのか」を対応づけて考えることです。この対応関係が身につくと、初めて見る事案でも「まず何を守り、次に何を確認するか」を筋道立てて判断できます。
| 概念 | 意味 | 主に守る/狙うCIA |
|---|---|---|
| 暗号化 | 鍵がないと読めない形に変換する | 機密性を守る |
| MFA | 2要素以上で本人確認を強める | 認証を強化し機密性を守る |
| 証明書 | 公開鍵の真正性を第三者が保証 | 完全性/機密性を支える |
| フィッシング | 装ったメール/サイトで情報を盗む | 機密性を狙う脅威 |
| DoS/DDoS | 大量要求でサービスを麻痺させる | 可用性を狙う脅威 |
ひっかけ： 「認証（Authentication）に成功すれば、そのユーザーはシステム内のあらゆる操作を実行できる」は誤りです——認証は本人確認まで、何を許すかは認可（Authorization）が別に決めます。両者は別ステップです。また「DoS攻撃はデータを盗む攻撃だ」も誤り＝DoSが狙うのはCIAの可用性（使えなくする）で、情報漏えい（機密性）を狙うフィッシングとは目的が異なります。
6.2.4この節のまとめ
- CIA（機密性/完全性/可用性）が守る対象、AAA（認証/認可/アカウンティング）が利用者を確かめ制御し記録する仕組み。認証と認可は別物
- MFAは2要素以上で認証を強化、暗号化/証明書/パスワード複雑性でデータと本人確認を守り、Active DirectoryでIDを一元管理
- 脅威は狙うCIAで整理：フィッシング/マルウェアは主に機密性/完全性、DoSは可用性を狙う
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. CIAとAAAの用語について、同僚に説明する内容として最も正確なものはどれか。
Q2. ある社員がフィッシングにだまされ、社内システムのパスワードを攻撃者に入力してしまった。パスワードが漏れても不正ログインを防ぐ効果が最も期待できる対策はどれか。
Q3. ある攻撃で、Webサーバに大量のリクエストが送りつけられ、正規の利用者がまったくアクセスできなくなった。この攻撃が主に狙っているCIAの性質はどれか。