3-1 セキュリティの基礎とリスク
セキュリティの基礎とリスク
情報セキュリティは、情報資産を事故や攻撃から守り、事業を継続するための管理活動です。ITパスポートでは、機密性・完全性・可用性の意味だけでなく、情報資産、脅威、脆弱性、リスク、対策を一つの流れとして判断する問題が出題されます。
この節の目標は、業務場面から守るべき情報資産とリスクを特定し、リスク回避・低減・移転・保有を使い分け、事故発生時の初動を説明できるようになることです。
1. 情報セキュリティの基本特性
| 特性 | 守る内容 | 代表的な対策 |
|---|---|---|
| 機密性 | 許可された人だけが情報を利用できる | 認証、アクセス権、暗号化、画面のぞき見防止 |
| 完全性 | 情報や処理が正確で、無断で改ざんされていない | ハッシュ、デジタル署名、承認、ログ、入力チェック |
| 可用性 | 必要なときに情報やシステムを利用できる | 冗長化、バックアップ、監視、復旧訓練 |
| 真正性 | 利用者や情報が主張どおり本物である | 多要素認証、電子証明書、デジタル署名 |
| 責任追跡性 | 誰が何をしたか後から追跡できる | 操作ログ、時刻同期、アカウントの個人利用 |
| 否認防止 | 実行した処理を後から否定しにくくする | デジタル署名、改ざんされにくい記録 |
| 信頼性 | システムが意図したとおり安定して動作する | 品質管理、テスト、保守、障害管理 |
例えば、顧客情報を権限のない社員が閲覧できる状態は機密性の問題、注文金額が不正に書き換えられる状態は完全性の問題、障害で受注できない状態は可用性の問題です。一つの事故が複数の特性へ影響する場合もあります。
2. 情報資産・脅威・脆弱性・リスク
| 用語 | 意味 | 例 |
|---|---|---|
| 情報資産 | 組織が守る価値のある情報・設備・人・サービス | 顧客データ、設計書、PC、クラウド、社員の知識 |
| 脅威 | 情報資産へ損害を与える可能性のある原因 | 攻撃者、火災、誤操作、停電、故障 |
| 脆弱性 | 脅威に利用され得る弱点 | 未更新ソフト、弱いパスワード、権限過大、手順不足 |
| リスク | 脅威が脆弱性を利用して損害を起こす可能性と影響 | 顧客情報漏えい、業務停止、信用失墜 |
| セキュリティ対策 | リスクを許容範囲へ下げる活動 | 更新、教育、認証、バックアップ、契約管理 |
「脅威が存在すること」と「必ず事故になること」は同じではありません。情報資産の価値、脆弱性、発生可能性、影響度を組み合わせて優先順位を決めます。
3. リスクアセスメントの手順
- 対象範囲を決める：組織、システム、業務、委託先などの範囲を明確にします。
- 情報資産を洗い出す：データ、機器、サービス、紙資料、人材を確認します。
- 脅威と脆弱性を特定する：攻撃、災害、故障、誤操作と弱点を対応させます。
- 発生可能性と影響度を評価する：金銭、業務停止、法令、信用、安全への影響を見ます。
- リスクの優先順位を付ける：重大なリスクから対応します。
- 対応方法と責任者を決める：期限、費用、残るリスクも記録します。
- 実施後に再評価する：環境や脅威の変化に合わせて見直します。
簡易的には「発生可能性×影響度」で評価できます。例えば、発生可能性4、影響度5ならリスク値は20です。ただし、数値だけでなく、人命、法令違反、社会的影響のように単純な金額比較が難しい要素も考慮します。
4. 完全ケース：営業用ノートPCの紛失リスク
営業担当者が、顧客名、連絡先、商談情報を保存したノートPCを出張へ持ち出しています。PCにはパスワードがありますが、ディスク暗号化はなく、顧客ファイルをローカルへ保存しています。
リスクを分解する
- 情報資産：顧客情報、商談情報、会社アカウント
- 脅威：置き忘れ、盗難、不正利用
- 脆弱性：ディスク未暗号化、ローカル保存、持出しルール不足
- 影響：情報漏えい、顧客への連絡、信用低下、業務停止
対応を選ぶ
- ディスクを暗号化する。
- 多要素認証と画面自動ロックを設定する。
- 必要なデータだけを持ち出し、クラウド上で権限管理する。
- MDMで端末を管理し、紛失時に遠隔ロック・消去できるようにする。
- 紛失報告手順と連絡先を教育する。
- 端末台帳と定期的な棚卸しを行う。
パスワードだけでは、記憶装置を取り外して直接読み取られる可能性を十分に下げられません。複数の対策を組み合わせます。
5. リスク対応の四つの考え方
| 対応 | 内容 | 例 |
|---|---|---|
| 回避 | リスクの原因となる活動をやめる | 機密情報を端末へ保存しない運用へ変える |
| 低減 | 発生可能性または影響を小さくする | 暗号化、多要素認証、教育を実施する |
| 移転 | 損失負担や対応の一部を第三者へ移す | サイバー保険、専門サービスとの契約 |
| 保有 | 対策費と影響を比較し、残るリスクを受け入れる | 低影響のリスクを監視しながら受容する |
外部委託や保険を利用しても、自社の説明責任や委託先管理が全てなくなるわけではありません。対策後に残るリスクを残留リスクとして把握します。
6. セキュリティポリシと管理体制
情報セキュリティポリシは、組織が情報を守るための方針とルールです。
| 階層 | 主な内容 | 例 |
|---|---|---|
| 基本方針 | 経営者の考え方、目的、責任 | 情報資産を重要な経営資源として守る |
| 対策基準 | 組織として満たすべき基準 | 権限、端末、委託、バックアップの基準 |
| 実施手順 | 現場で行う具体的な方法 | アカウント発行、事故報告、媒体廃棄の手順 |
経営者は方針と資源を示し、情報セキュリティ責任者は全体を管理し、各部門はルールを業務へ組み込みます。CSIRTは、インシデントへの対応、情報収集、関係者との調整などを担う組織・機能です。
7. インシデント対応の流れ
- 検知・受付：アラート、利用者報告、ログなどから事象を把握します。
- 初動判断：重大度、対象、影響範囲を確認し、対応体制を開始します。
- 封じ込め：感染端末の隔離、アカウント停止などで被害拡大を防ぎます。
- 証拠保全：ログ、メール、端末状態を適切に保存します。
- 根絶・復旧：原因を除去し、安全を確認してサービスを戻します。
- 報告・通知：経営者、顧客、委託先、関係機関などへ必要な連絡を行います。
- 事後分析：原因、対応、再発防止、手順の改善を記録します。
ケース：不審な通信を検知した
監視システムが社員PCから外部への大量通信を検知しました。担当者はすぐにPCを初期化するのではなく、ネットワークから隔離し、ログと端末状態を保全して影響範囲を調査します。初期化を先に行うと、侵入経路や漏えい範囲を判断する証拠を失う可能性があります。
8. よくある誤りと理由
- 機密性だけ守れば安全と考える：改ざん、停止、なりすまし、追跡性も重要です。
- 脅威と脆弱性を同じと考える：攻撃者や災害は脅威、未更新ソフトや権限過大は脆弱性です。
- 対策を導入すればリスクはゼロになる：残留リスクを評価し、継続的に見直します。
- 外部委託すれば責任も移る：委託先の選定、契約、監督が必要です。
- 事故時に証拠より復旧を優先して全て削除する：封じ込めと証拠保全を両立します。
- 規程を作れば運用できると考える：教育、点検、監査、改善が必要です。
9. セルフチェック
- 守るべき情報資産は何か。
- 脅威、脆弱性、起こり得る損害を分けて説明できるか。
- 発生可能性と影響度の両方を評価したか。
- 回避、低減、移転、保有のどれを選んだか。
- インシデント時に封じ込め、証拠保全、復旧、報告の順序を確認したか。
理解を確認したら、第3章の練習問題と第3章の知識カードでリスクを分類してください。具体的な攻撃は脅威と攻撃手法、対策技術は暗号・認証・セキュリティ対策で学びます。
公式範囲との対応
本節は、IPA「ITパスポート試験シラバス Ver.6.5」の情報セキュリティ、情報セキュリティ管理、リスクマネジメント、情報セキュリティ組織・機関に対応しています。2026年の脅威動向は学習背景として参照し、試験範囲の判断はシラバスを基準にします。