変更要約: 初版（テクノロジ系・基礎理論〜ハードウェア）
3.11セキュリティ（情報セキュリティの3要素・脅威・暗号・認証・対策）
情報セキュリティが守るべき機密性・完全性・可用性の3要素、マルウェア・フィッシング・標的型攻撃・ソーシャルエンジニアリングといった脅威、鍵を使ってデータを保護する暗号（共通鍵暗号方式・公開鍵暗号方式・電子署名・PKI）、本人確認の多要素認証・生体認証、そして組織を守るファイアウォール・ゼロトラスト・ISMS・リスクマネジメントを学びます。
情報システムを扱う上で避けて通れないのが情報セキュリティです。攻撃の手口は年々巧妙化しており、技術的な対策だけでなく利用者一人ひとりの意識も重要になります。この節はテクノロジ系の中でも特に頻出の分野であり、守るべき3つの要素から、代表的な脅威、それらに対抗する暗号・認証・組織的な対策まで一通り押さえます。
3.11.1情報セキュリティの3要素と脅威
- 機密性（Confidentiality）＝許可された人だけが情報にアクセスできる状態を保つこと（漏えい防止）。完全性（Integrity）＝情報が改ざんされず正確な状態に保たれていること。可用性（Availability）＝必要なときにいつでも情報やシステムを利用できること。この3つを総称して情報セキュリティの3要素（CIA）と呼ぶ。
- マルウェア＝悪意のあるソフトウェアの総称（ウイルス・ランサムウェア等）。フィッシング＝実在する組織を装った偽メールやサイトでIDやパスワードを盗む手口。標的型攻撃＝特定の組織や個人を狙って巧妙に作り込んだメール等で侵入を試みる攻撃。ソーシャルエンジニアリング＝技術ではなく人の心理的な隙（電話でのなりすまし、覗き見等）を突いて情報を盗む手口。
3.11.2暗号・認証と組織的対策
- 共通鍵暗号方式＝暗号化と復号に同じ鍵を使う方式（処理は高速だが鍵の受け渡しが課題）。公開鍵暗号方式＝暗号化用の公開鍵と復号用の秘密鍵が別の方式（公開鍵は誰に渡してもよいが秘密鍵は本人だけが保持）。電子署名＝公開鍵暗号技術を応用し、送信者が本人であること・データが改ざんされていないことを証明する仕組み。PKI（公開鍵基盤）＝公開鍵が本当に本人のものであることを認証局（CA）が証明書で保証する仕組み全体。
- 多要素認証＝「知識（パスワード）」「所持（スマホ・ICカード）」「生体（指紋等）」のうち2種類以上を組み合わせて本人確認する方式（1種類だけの単一要素より安全）。生体認証＝指紋・顔・静脈など身体的特徴を用いた認証方式。
- ファイアウォール＝ネットワークの境界で不正な通信を検査・遮断する仕組み。ゼロトラスト＝「社内ネットワークだから安全」という前提を置かず、すべてのアクセスを都度検証するという現代的な考え方。ISMS（情報セキュリティマネジメントシステム）＝組織全体で情報セキュリティを計画・運用・見直しし続ける仕組み。リスクマネジメント＝リスクを特定・分析し、受容/低減/回避/移転のいずれかで対応する一連のプロセス。
「機密性=見せない・完全性=改ざんされない・可用性=いつでも使える」「共通鍵は暗号化/復号が同じ鍵・公開鍵は暗号化と復号の鍵が別」「多要素認証は異なる種類の要素を2つ以上組み合わせる（同じ種類を2つは不可）」「ゼロトラストは社内ネットワークでも信用せず都度検証」が最頻出です。フィッシング・標的型攻撃・ソーシャルエンジニアリングの手口の違いを選ばせる設問も定番です。
中堅企業の情報システム部門がセキュリティ対策を見直す場面を考えてみましょう。まず経営陣に説明する際、担当者は「顧客情報が外部に漏れないこと」を機密性、「注文データが誰かに勝手に書き換えられていないこと」を完全性、「基幹システムが業務時間中ずっと使えること」を可用性として整理し、これら3要素すべてを満たして初めて情報セキュリティが確保できると説明します。実際に発生したインシデントを振り返ると、経理担当者に取引先を装ったメールが届き偽の請求書へ誘導しようとするフィッシングや、特定の役員だけを狙って業務に関係ありそうな件名で送られてきた標的型攻撃のメール、さらには電話で情報システム部門を名乗り「パスワードを教えてほしい」と迫るソーシャルエンジニアリングの手口が確認されました。これらの脅威に対し、まず社内外の通信を検査するファイアウォールを強化し、「社内ネットワークからのアクセスだから安全」という従来の前提をやめて全てのアクセスを毎回検証するゼロトラストの考え方を導入します。重要なファイルの送受信には、送信者と受信者だけが持つ鍵で高速にやり取りできる共通鍵暗号方式を使いつつ、その鍵自体を安全に渡す場面では暗号化用と復号用の鍵が異なる公開鍵暗号方式を組み合わせます。取引先との契約書には改ざんされていないこと・本人が送ったものであることを証明する電子署名を付与し、その公開鍵が本物であることはPKIの認証局が発行する証明書で裏付けます。従業員のログインには、パスワード（知識）に加えてスマホアプリの確認コード（所持）を組み合わせた多要素認証を必須化し、パスワードだけが漏れても不正ログインされにくくします。こうした個別の技術対策に加えて、組織全体としてはISMSを整備してセキュリティ方針を継続的に見直し、直せないリスクは保険で移転するなどリスクマネジメントのプロセスに位置づけて管理します。
| 要素/手口 | 意味 | 具体例 |
|---|---|---|
| 機密性 | 許可者だけがアクセス | 顧客情報の漏えい防止 |
| 完全性 | 改ざんされず正確 | 注文データの不正書き換え防止 |
| 可用性 | 必要な時に使える | 基幹システムの稼働継続 |
| 多要素認証 | 異なる種類の要素を2つ以上 | パスワード＋確認コード |
ひっかけ： 「公開鍵暗号方式は暗号化と復号に同じ鍵を使う」は誤りです。それは共通鍵暗号方式の説明で、公開鍵暗号方式は暗号化用（公開鍵）と復号用（秘密鍵）が別です。また「パスワードを2回連続で入力させれば多要素認証と言える」も誤り＝多要素認証は知識・所持・生体のうち異なる種類の要素を組み合わせる必要があり、同じ種類（知識）を2回使っても要素数は増えません。「ゼロトラストは社外からのアクセスだけを厳しく検証する考え方」も誤りで、社内ネットワークからのアクセスであっても信用せず都度検証するのがゼロトラストの本質です。
3.11.3この節のまとめ
- 情報セキュリティの3要素＝機密性・完全性・可用性。マルウェア/フィッシング/標的型攻撃/ソーシャルエンジニアリングは手口が異なる脅威
- 共通鍵＝暗号化/復号が同じ鍵・公開鍵＝別の鍵。電子署名とPKIで送信者の真正性と非改ざんを証明
- 多要素認証＝異なる種類の要素を組み合わせる。ゼロトラストは社内からのアクセスも都度検証。ISMS/リスクマネジメントで組織的に管理
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 注文データが第三者によって勝手に書き換えられていないことを保証したい。これは情報セキュリティの3要素のうちどれに該当するか。
Q2. 暗号化に使う鍵と復号に使う鍵が異なり、暗号化用の鍵は誰に公開してもよいが、復号用の鍵は本人だけが保持する暗号方式はどれか。
Q3. ログイン時に、パスワード（知識）に加えてスマホアプリに表示される確認コード（所持）の入力も必須にした。この認証方式を何と呼ぶか。