情報セキュリティ

情報セキュリティの基本概念

CIA三要素

1. 機密性（Confidentiality）

• データ暗号化 - 誰でも見れる状態にしない
  • 例：AES-256暗号化、SSL/TLS通信、データベース暗号化
• アクセス制御 - アクセス権限を管理する
  • 例：RBAC（役割ベースアクセス制御）、最小権限の原則
• 認証と認可 - ログイン画面でその人が操作していることを保証する
  • 例：多要素認証（MFA）、SSO（シングルサインオン）

権利を持った人のみ情報を使うことができる状態

2. 完全性（Integrity）

• データの改ざん防止 - データの完全性を保証する機構を持つこと
  • 例：チェックサム、CRC、データベーストランザクション
• デジタル署名 - 第三者機関により、そのデータの完全性が保証される
  • 例：RSA署名、楕円曲線暗号（ECC）、PKI（公開鍵基盤）
• ハッシュ関数 - ある情報をハッシュ化することにより元には戻せないが、そのデータがあるかを確率的に保証する
  • 例：SHA-256、MD5（非推奨）、bcrypt

情報が破損、改ざんされない、つまり正しい状態を保証する

3. 可用性（Availability）

• データの冗長化 - アクセスできるサーバを複数用意して、片方がアクセスできないときにもう片方にアクセスする
  • 例：RAID構成、クラスター構成、ロードバランサー
• データのバックアップ - データをバックアップすることで、何かがあったときの原因究明、復旧に役立つ
  • 例：3-2-1ルール（3つのコピー、2つの異なるメディア、1つはオフサイト）
• DDoS攻撃対策 - BOTによって高頻度アクセスによって遅くなるこの対策の機構を持つこと
  • 例：CDN、レート制限、IP制限、CAPTCHA

情報をいつでも使える状態を保証する

その他の重要な概念

真正性（Authenticity）

• 相手の人や機器、情報が本物であることを保証する

責任追跡性（Accountability）

• 操作や事象をあとから追跡できる機能（ログ保存、改ざん防御など）

否認防止（Non-repudiation）

• 活動や事象をあとから否定させない特性

信頼性（Reliability）

• 操作や処理が意図と実行結果が一貫している特性

上記を維持することがセキュリティの定義となる

脆弱性とは

脆弱性の発生要因

脆弱性は人と環境によって生まれる。

環境要因

• 自然災害 - データセンターを分散する対策がある
• システム障害 - ハードウェアやソフトウェアの不具合

人的要因

• システムの脆弱性を突く攻撃 - セキュリティの要素を侵害する
• 内部犯行 - 組織内部からの情報漏洩や不正アクセス
• 人的ミス - 設定ミスや操作ミスによるセキュリティホール

脆弱性による影響

• 情報改ざんにより損害が起きる可能性がある
• 機密情報の漏洩
• システムの停止やサービス障害

サイバーセキュリティ

サイバーセキュリティの特徴

• 情報セキュリティの特性が含まれる
• 安全性 - 情報システムの利用者が身体的な危害を受けることのない特性

  例：ロボットなどで人間に危害を加えないようにする

情報セキュリティの重要性

保護すべき対象

• 個人情報の保護 - 個人情報保護法、GDPR対応
• 企業の機密情報の保護 - 営業秘密、特許情報、顧客データ
• サイバー攻撃からの防御 - マルウェア、フィッシング、ランサムウェア
• 法規制の遵守 - 個人情報保護法、金融商品取引法、医療法

問題が起こった場合の影響

• 経済的損失 - 不安により利用者が減少し、経済的損失になる
  • 例：ランサムウェア被害の平均復旧費用は約400万円
• 信用の失墜 - ブランドが崩壊する
  • 例：情報漏洩事件後の顧客離れ、株価下落
• 法的責任 - 会社の責任があり、法的に罰せられる恐れがある
  • 例：個人情報保護法違反で最大1億円の課徴金

中小企業向けセキュリティ対策（コスト別）

情報セキュリティの歴史

• 1970年代 - 初期のコンピュータセキュリティ
• 1980年代 - ウイルスとアンチウイルスソフトの登場
• 1990年代 - インターネットの普及とファイアウォール
• 2000年代 - サイバー攻撃の高度化とセキュリティ対策の進化

現代のセキュリティ課題

主要な課題

• サーバー攻撃の高度化 - AIによる高度なボット攻撃
• IoTデバイスのセキュリティ - IoTセキュリティは今後重要
• クラウドセキュリティ - クラウド上のデータを安全に使えること
• プライバシー保護 - 個人情報の適切な管理と保護

業界別セキュリティ要件

金融業界

• PCI DSS - クレジットカード情報の保護基準
• 金融商品取引法 - 顧客情報の適切な管理
• リスク管理 - リアルタイム監視、異常検知

医療業界

• HIPAA - 患者情報の保護基準（米国）
• 医療法 - 診療記録の適切な管理
• IoMT - 医療機器のセキュリティ

Web開発・デザイン業界

• OWASP Top 10 - Webアプリケーションの脆弱性
  • SQLインジェクション、XSS、CSRF対策
• SSL/TLS - HTTPS通信の実装
• セキュリティヘッダー - CSP、HSTS、X-Frame-Options

セキュリティフレームワーク

ISO 27001

• 情報セキュリティマネジメントシステム（ISMS）
• リスクアセスメント、管理策の実装
• 継続的改善（PDCAサイクル）

NIST Cybersecurity Framework

• 5つの機能：識別、防御、検知、対応、復旧
• 組織のセキュリティ成熟度評価

CIS Controls

• 20の重要セキュリティ制御
• 実装優先度の明確化

今後の展望

• ゼロトラストセキュリティ - 「信頼しない、常に検証する」
• 量子暗号技術 - 量子コンピュータに対抗する暗号
• AIを活用したセキュリティ対策 - 機械学習による異常検知
• SASE - セキュアアクセスサービスエッジ

セキュリティチェックリスト