インターネットにつながる機器は多種多様です。 過失や災害で機材が故障したり、サービスが突然提供されなくなったり、 誤動作で大切な情報が流出・紛失・欠損することもあります。
情報セキュリティとは、基本的に、守るべき情報資産に関して
脅威（threat）を分析し、脅威が起こる可能性であるリスク（risk）を評価することで、
管理のための対策を講じることです。
発生してしまった情報セキュリティ関連の事案をインシデントといい、
これに対応するための管理体制や手順など技術面も含めたものが情報セキュリティ対策です。
また、より狭い意味では「正当な権利をもつ個人や企業、組織が、 情報や情報システムを意図通りに制御できること」と定義されます。
| 要素 | 英語 | 意味 |
|---|---|---|
| 機密性 | Confidentiality | 利用者が正しい利用者であることを確実にし、許可された者だけが情報にアクセスできるようにする |
| 完全性 | Integrity | 情報および処理方法が、完全・正確であるようにする |
| 可用性 | Availability | 利用者が必要な情報や情報資産を適切に利用できるようにする |
| 用語 | 意味 |
|---|---|
| 情報資産 | 守るべき資産のこと |
| 脅威 | 情報資産の機密性・完全性・可用性を脅かす内外の要因 |
| リスク | 脅威によって情報資産が損なわれる可能性 |
| 脆弱性 | 脅威がつけ込むことができる、組織の運用上あるいは技術上の弱点 |
素晴らしいセキュリティチームが鉄壁の防御システムを運用したとしても、
1 人の「うっかりミス」でその情報システムが大きな脅威にさらされることも珍しくありません。
だから、次の 3 点に注意する必要があります。
① システムやアプリは最新に保ち、セキュリティソフトを導入する
② パスワードを適切に管理する
③ ソーシャルエンジニアリングに気をつける
脅威には人的脅威と技術的脅威があります。 下の場面がどちらの、そして何の脅威にあたるか、当ててみてください。
| 用語 | 種類 | 意味 |
|---|---|---|
| スキャベジング | 人的 | 情報漏洩の方法の一つ。会社のごみ箱、ディスプレイに貼られた付箋、 ハードディスクやメモリに残った情報の再構築など、残されたままの情報を得る |
| ソーシャルエンジニアリング | 人的 | 人の心理的な隙をついて利用者から情報を得る。 取引先や管理部門を装ったメールや電話、公共の場での電話の盗み聞き、端末の覗き見、 ログインしたまま離席している端末からの情報収集 |
| マルウェア | 技術的 | コンピュータウィルス、ボット、不正アプリなど悪意をもったプログラムの総称 |
| セキュリティホール | 技術的 | 技術的なセキュリティ上の不備・弱点。OS だけでなくウェブサイトや個々のアプリにもある。 発見されるとセキュリティアップデートで修正コードが配布される |
| パスワード攻撃 | 技術的 | パスワードを解析・推測・転用して情報システムに不正にアクセスする |
| 標的型攻撃 | 技術的 | 不特定多数ではなく特定の組織や個人を標的とし、複数の攻撃方法を組み合わせる |
| ゼロデイ攻撃 | 技術的 | 脆弱性が判明したとき、修正コードが提供される前にその脆弱性をつく攻撃 |
機密性を保つために用意されている代表的な機能の 1 つが、ID とパスワードを用いた認証です。 利用者認証には、次の 3 つの要素を用います。
| 要素 | 略記 | 例 |
|---|---|---|
| 利用者だけが知っているもの | SYK（Something You Know） | パスワード、暗証番号 |
| 利用者だけがもっているもの | SYH（Something You Have） | IC カード、ワンタイムパスワード装置、携帯電話 |
| 利用者自身 | SYA（Something You Are） | 生体認証（指紋、虹彩、顔認証） |
パスワードの大原則は「パスワードは本人しか知らない」です。
現実の社会に起こる詐欺は、デジタル社会にも存在します。 サイバー攻撃のようなデジタルな犯罪行為でも、 コンピュータの先にいる「人間」の心や行動の隙をつく手法が用いられます。
「オレオレ詐欺」のように手法自体は知られているものが多く、研修や説明会で頻繁に取り上げられるのに、 ソーシャルエンジニアリングに起因する情報流出や不正アクセスはなくなりません。 組織として対策を万全に行っているつもりでも、 組織内の誰か一人でもマルウェアに感染してしまうと、重大なインシデントが発生しうるのです。
| 用語 | 意味 |
|---|---|
| 平文（ひらぶん） | 利用者が入力したそのままのデータ（メッセージ） |
| 暗号化 | 第三者に内容を読み込まれないようにデータをひねること |
| 復号 | 暗号化されたデータを、正規の手続きを経てもとのメッセージに戻すこと |
暗号自体は、シーザー暗号やスキュタレー暗号など古代から行われてきました。 「3 文字前にずらす」「共通の器具を使う」「特定の文字を読み換える」── ひねり方を秘密のやりとりとして事前に決めておき、 それを知らない第三者には容易に解読できないデータを作る、という特性を利用しています。
暗号化に使う「鍵」と復号に使う「鍵」が同じものを 共通鍵暗号方式（または秘密鍵暗号方式）といいます。 暗号化／復号の処理速度が速いのが特徴で、 代表的なアルゴリズムに Triple DES（Data Encryption Standard）と AES（Advanced Encryption Standard）があります。
ところが共通鍵暗号方式には鍵配送問題があります。
情報空間に劇的な変化をもたらしたのが、1976 年に ディフィー（Whitfield Diffie）とヘルマン（Martin E. Hellman）によって考案された 公開鍵暗号方式です。
「秘密鍵」「公開鍵」のセットを作る。公開鍵は公開し、秘密鍵は秘密にする。
そして公開鍵から秘密鍵を作るのは困難（事実上不可能）である ── これが要点です。
公開鍵は暗号化するためだけの、一方通行の鍵です。
暗号化はできても、それで元に戻すことはできません。
A さんの公開鍵で暗号化したものは、A さんだけが持っている秘密鍵でしか復号できません。
この方式なら、鍵の登録をしていない人でも、 公開鍵さえ手に入れれば誰でも暗号文を送れます。 そして復号できるのは、対応する秘密鍵を持っている本人だけです。 鍵の管理は自分の秘密鍵だけでよいため、 今日のネットワークで暗号を使うには、ほぼ理想的な暗号システムだといえます。
1977 年、リベスト（Ron Rivest）、シャミル（Adi Shamir）、エイドルマン（Leonard Adleman）らによって、 素因数分解の困難さを利用した公開鍵暗号アルゴリズムが開発されました。 3 人の姓の頭文字をとって RSA 暗号と呼ばれます。
電子メールなどを暗号化して送りたいというプライベートな用途には PGP（Pretty Good Privacy）があります。 1991 年に Philip R. Zimmermann によって作られた公開鍵暗号ソフトです。
公開鍵暗号方式は便利ですが、共通鍵暗号方式に比べて処理が遅いという弱点があります。 そこで、両方のいいとこ取りをするのがハイブリッド暗号方式です。
無線 LAN は電波を使い、ケーブルなしでネットワークを形成できるため、建物内でも野外でも広く使われています。 しかし、悪意のある第三者が不特定多数の端末の情報収集を目的として 無料で簡単に接続できる無線 LAN サービスを提供している場合、 セキュリティ設定を怠っている端末が発信した情報を傍受・盗聴したり、 マルウェアに感染させたりする可能性があります。
報道されるのは「不正アクセス」や「サイバー犯罪」が多いのですが、 実際には注意喚起で相対的に減少傾向にあるとはいえ、 組織内部からの漏洩や内部不正、つまり人的脅威によるインシデントが多いのです。
不正行為は、次の 3 つの要素が揃ったときに発生すると考えられています。
組織としてもっとも取り組みやすいのは、主観的な事情ではなく環境の整備、
すなわち「機会」をなくすことです。
アカウントに付与するアクセス権限は必要最小限とし業務で必要な権限だけに限定する、
情報は知る必要のない人には知らせない、機密情報を扱う部屋に入室できる人を制限する、
退職や異動をした人のアカウントは直ちに凍結する、といった対策が該当します。