第10章 情報セキュリティ

補足

• 守る対象は「データ」だけでなく，端末，ネットワーク，人の行動も含む．機密性・完全性・可用性（CIA）で説明できる．

具体例

• 不正アクセス対策，データの暗号化，バックアップ，ウイルス対策，アクセス権の設定．

補足

• 目的，守る範囲，責任者，具体的な運用ルール（パスワード規則，持ち出し禁止など）を明確にする．

具体例

• パスワードの複雑さ要件，USBメモリの利用禁止，社外端末の接続条件，持ち出し時の暗号化義務．

補足

• 漏えいを防ぐ観点．アクセス権管理，認証，暗号化が代表的な手段．

具体例

• 成績データを担任だけが閲覧できるようにする，通信を暗号化して盗み見を防ぐ．

補足

• 改ざん検知や正当性確認が重要．ハッシュ，デジタル署名，更新履歴管理などが関係する．

具体例

• 提出レポートが途中で書き換えられていないことを確認する，送金データの改ざんを検知する．

補足

• 停止や障害，攻撃（大量アクセスなど）への備えが必要．冗長化，バックアップ，復旧計画が有効．

具体例

• サーバ故障に備えて予備機を用意する，重要データを定期的にバックアップする．

補足

• 知識情報（パスワード），所持情報（ICカード），生体情報（指紋）などを組み合わせると強くなる（多要素認証）．

具体例

• IDとパスワードでログイン，スマホの認証アプリで追加確認．

補足

• ユーザIDは「誰か」を示し，パスワードは「本人か」を確かめる要素．他人に推測されやすいID設計にも注意．

具体例

• 学籍番号ID，社員番号ID，メールアドレスをIDとして利用．

補足

• 短い，単純，同じ使い回しは危険．長く複雑にし，推測されにくいものを使う．

具体例

• 辞書にある単語だけのパスワードは避ける，サービスごとに別のパスワードを設定する．

補足

• 覚える必要がない一方，完全に同じ値を再現できないため誤認識が起きうる．漏えいすると変更が難しい点にも注意．

具体例

• スマホの指紋認証，顔認証でロック解除．

補足

• 復元には鍵が必要．通信中の盗み見対策や，紛失端末の情報漏えい対策に有効．

具体例

• Web通信の暗号化，PCのディスク暗号化，メール本文の暗号化．

補足

• 平文のまま送ると盗み見で内容が漏れる危険が高い．暗号化は平文を暗号文に変換する操作．

具体例

• パスワードを平文で保存してしまい，流出時にそのまま悪用される．

補足

• 「暗号化＝秘密にする」「署名＝正しさと本人性を示す」で役割が違う．

具体例

• ソフトウェア配布元が正規であることの確認，電子契約の本人確認と改ざん検知．

補足

• コピーされても情報が残りやすく，違法複製の抑止や出所追跡に使われる．

具体例

• 配布画像に購入者IDを埋め込み，流出元を特定する．

補足

• 許可する通信だけを通す設定が重要．外部からの侵入だけでなく，内部から外部への不正通信の抑止にも使う．

具体例

• 特定のポートへのアクセスを拒否する，社内ネットワークへの外部接続を制限する．

補足

• 感染経路は添付ファイル，USB，危険なWebサイトなど多様．被害はデータ破壊だけでなく情報窃取もある．

具体例

• メール添付を開いて感染し，勝手にファイルを改ざんされる．

補足

• 拡散が速く，大量感染でネットワークが混雑しサービス停止につながることがある．

具体例

• 脆弱性を突いて社内PCに連鎖的に感染し，通信が遅くなる．

補足

• 定義ファイルの更新が重要．未知の脅威に備える仕組み（振る舞い検知など）もあるが万能ではない．

具体例

• ダウンロードしたファイルを自動スキャンする，感染ファイルを隔離する．

補足

• 脆弱性を放置すると攻撃に悪用されやすい．更新を先延ばしにすると被害リスクが上がる．

具体例

• OS更新を怠り，既知の弱点を突かれて不正侵入される．

補足

• 便利だが，著作権侵害や，設定ミスによる公開範囲の拡大，マルウェア拡散の温床になる場合がある．

具体例

• 共有設定の誤りで個人フォルダが公開される，交換ファイルにウイルスが混入する．

補足

• 原因は，不正アクセスやマルウェアなどの外部要因だけでなく，記録媒体の紛失・置き忘れ，宛先の誤り，設定ミス，持ち出しといった人的要因も多い．事業者には，被害拡大の防止や原因調査などの対応が求められ，個人データの漏えい等が法令で定める条件に該当する場合は，個人情報保護委員会等への報告や，原則として本人への通知が必要になる．対策は技術的対策と，規程・教育などの運用面の対策の両輪で考える．

具体例

• 顧客名簿の入ったUSBメモリの紛失，メールの宛先をBCCにせず一斉送信，クラウドの公開設定の誤り．

補足

• 利用者の情報をひそかに収集する機能に着目した呼び方である．ウイルスやワームにも情報を盗む機能を持つものがあり，これらの分類は重なることがある．無料ソフトに同こんされて入り込むことがある．

具体例

• 閲覧したサイトの記録を勝手に送信する，入力したIDとパスワードを外部へ送る．

補足

• 悪用されると，入力したIDやパスワード，クレジットカード番号がそのまま漏れるため被害が大きい．利用者に無断で入力情報を収集するソフトウェア型のものは，スパイウェアの一種として扱われる．公共のコンピュータでの入力に注意する．

具体例

• 共用パソコンに仕込まれ，入力したパスワードが盗まれる．

補足

• 「不正アクセス」とほぼ重なる行為を指し，不正アクセス禁止法の対象になり得る．技術的な探究を指す「ハッキング」と区別して使われることが多い．

具体例

• 他人のIDとパスワードでサーバに侵入してデータを書き換える．

補足

• 放置すると不正侵入やマルウェア感染の入り口になる．セキュリティアップデート（更新プログラム）の適用が基本的な対策．

具体例

• OSの弱点を突かれて外部から操作される，更新を怠ったアプリから侵入される．

補足

• ユーザIDで「誰か」を識別し，パスワードなどで「本人か」を確かめる．利用を始める操作がサインイン（ログイン），終える操作がサインアウト（ログアウト）．複数人で共有すると，操作履歴が残っていても，実際に誰が操作したのかを特定しにくくなる．

具体例

• 学校で一人ずつ配られる学習用アカウント，SNSのアカウント．

補足

• TLSはSSLを基に改良された後継のプロトコルで，現在使われているのはTLS．慣用的に「SSL/TLS」とまとめて呼ぶ．HTTPをこれで保護した通信がHTTPS．

具体例

• HTTPSのWebページで入力した内容が暗号文で送られる，電子証明書でサーバを確認する．