第4章 · 情報セキュリティ対策·v1.0.0·更新 2026/7/9·読了目安 約15分
変更要約: 初版
4.1人的・物理的対策
この節の要点
内部不正防止ガイドラインに基づく組織的な牽制策、標的型メール訓練やレッドチーム演習によるセキュリティ教育、need-to-know（最小権限）原則と特権的アクセス管理、ログ管理、入退室管理・アンチパスバック・インターロック、クリアデスク・クリアスクリーン、そしてシステムの信頼性を測るRASISを学びます。
技術的対策だけを積み上げても、内部関係者による不正やヒューマンエラーは防げません。IPAの組織における内部不正防止ガイドラインが示す通り、内部不正は「動機・機会・正当化」がそろったときに発生します。この節では、ある企業のセキュリティ担当者が内部不正のリスクをどう組み合わせて低減するかという視点で、人的・物理的な対策群を実務判断として学びます。
4.1.1内部不正防止ガイドラインとセキュリティ教育
- 組織における内部不正防止ガイドライン（IPA）＝「機会を与えない」「不正のトライアングル（動機・機会・正当化）を断つ」ことを軸に、資産管理・アクセス制御・物理的管理・人的管理・コンプライアンス等の多面的な対策を求める指針。技術的対策だけでなく組織的な運用ルールとセットで機能する。
- セキュリティ教育・訓練＝標的型メール訓練（模擬の攻撃メールを送り開封率・報告率を測定して意識を向上させる）や、実際の攻撃者役が組織の防御をすり抜けようと試みるレッドチーム演習（防御側=ブルーチームの実対応力を実戦形式で検証する）で、座学では得られない実践的な対応力を養う。
4.1.2need-to-knowと特権的アクセス管理
- need-to-know（最小権限の原則）＝業務上必要な人にだけ、必要な範囲の情報・権限を与える原則。内部不正の「機会」を構造的に減らす最も基本的な対策で、異動・離任時の速やかな権限剥奪とセットで運用してはじめて実効性を持つ。
- 特権的アクセス管理（PAM）＝システム管理者権限のような強い権限を持つアカウントを、通常業務アカウントと分離し、利用申請・承認・時間制限・作業のログ記録（セッション記録）を経て初めて使えるようにする管理体系。管理者アカウントの乱用・共有・常時ログインを防ぐことが内部不正対策で重視される理由。