【ITパスポート】情報資産と脅威、サイバー攻撃、情報セキュリティマネジメントについて（5-1～5-3）
まえがき
ITパスポートの勉強をしているので、復習として記事にまとめました。
理解しやすいようにまとめたため、教材と一部説明が異なります。
今回は、5章の「情報資産と脅威」「サイバー攻撃」についてまとめます。
使用教材
令和８年 イメージ＆クレバー方式でよくわかる
かやのき先生のITパスポート教室
https://gihyo.jp/book/2025/978-4-297-15243-7
5-1 情報資産と脅威
情報資産
組織が保持しているすべての情報を指す。
例：顧客情報、営業情報、知的財産情報。
脆弱性とは、情報資産に内在している弱点を指す。
脅威の種類
脅威は大きく3種類に分類される。
| 種類 | 内容 |
|---|---|
| 物理的脅威 | 設備の破壊や盗難など、物理的な要因による脅威 |
| 人的脅威 | 誤操作や内部不正など、人の行動に起因する脅威 |
| 技術的脅威 | コンピュータウイルスなど、技術的な手段による脅威 |
物理的対策
| 用語 | 内容 |
|---|---|
| ゾーニング | 情報資産の重要性に応じてエリア分けすること |
| 共連れ | 正規の認証を受けた人についてきて入室すること |
| アンチパスバック | 入室記録のない人を退室させない仕組み |
ソーシャルエンジニアリング
人の心理や行動の隙をついて機密情報を入手する手法を指す。
| 用語 | 内容 |
|---|---|
| ショルダーハッキング | 画面をのぞき見する手法 |
| クリアスクリーン | 離席時に画面をロックする対策 |
| クリアデスク | 盗まれたらわかるように机を整頓しておく対策 |
| トラッシング | ゴミ箱から機密情報を入手する手法 |
主なマルウェア
マルウェアとは、悪意を持って作成されたソフトウェアの総称を指す。
| マルウェア | 特徴 |
|---|---|
| コンピュータウイルス | 他のプログラムやファイルに寄生して感染を広げる。実行されることで活動を開始する |
| ワーム | 他のプログラムに寄生せず、単独でネットワークを通じて自己増殖する |
| マクロウイルス | WordやExcelなどのマクロ機能を悪用して感染するウイルス |
| トロイの木馬 | 正常なソフトウェアを装って侵入し、情報漏えいや不正操作を行う。自己増殖はしない |
| スパイウェア | 利用者に気付かれないように個人情報や利用状況を収集し、外部へ送信する |
| キーロガー | キーボードの入力内容を記録し、IDやパスワードなどを盗み取る |
| ボット | 外部からの命令によって遠隔操作されるマルウェア。ボットネットを構成し、DDoS攻撃などに利用される |
| ランサムウェア | ファイルを暗号化して利用できなくし、復旧と引き換えに身代金を要求する |
| RAT（Remote Access Trojan） | 遠隔操作機能を持つトロイの木馬を指し、感染した端末を外部から自由に操作できる |
ウイルス対策とゼロデイ攻撃
ウイルス対策ソフトとは、コンピュータウイルスの検知・駆除・隔離ができるソフトウェアを指す。
| 用語 | 内容 |
|---|---|
| パターンファイル（ウイルス定義ファイル） | 既知のウイルスの特徴を識別できるシグネチャコードを記録したもの |
| 振る舞い検知機能 | 不審な動きをあらかじめ検知する機能 |
| ゼロデイ攻撃 | ソフトウェアの脆弱性を修正するセキュリティパッチの提供前に攻撃すること |
ウイルス感染の予防と対処法
| 端末 | 対策 |
|---|---|
| PC | セキュリティソフトを利用する／メールの添付ファイルに注意する／USBメモリに注意する |
| スマートフォン | 公式ストアからのみアプリをインストールする／SMSに注意する／画面ロックを設定する |
5-2 サイバー攻撃
サイバー攻撃の手口
クラッキングとは、コンピュータに不正侵入し、データの盗難、改ざんをする行為を指す。
標的型攻撃
特定の組織を標的に、電子メールにマルウェアを仕込む攻撃を指す。
取引先や知人に偽装する手法。
水飲み場攻撃
対象の組織がよく使うWebサイトにマルウェアを仕込む攻撃手法。
ビジネスメール詐欺（BEC）
標的型攻撃の中で、金銭の窃取を目的とするもの。
フィッシング詐欺
電子メールで実在する会社を装い、偽のWebサイトにアクセスさせ、個人情報をだまし取る攻撃を指す。
不正侵入の手口
| 手口 | 内容 |
|---|---|
| 辞書攻撃 | よく利用される単語や数字のパスワードで試す方法 |
| 総当たり攻撃 | 英数字、記号の組み合わせを総当たりで試す方法 |
| パスワードリスト攻撃 | 以前入手したIDとパスワードを別のサービスで試す方法 |
DoS攻撃
特定のサーバなどに大量のパケットを送り、負荷を与えることで処理できなくする攻撃を指す。
Webサイトに対する攻撃手法
SQLインジェクション
データベースと連携しているWebサイトの入力欄に、悪意のあるSQLの命令を入力して、データベースを不正に操作する攻撃を指す。
クロスサイトスクリプティング（XSS）
攻撃者が悪意のあるスクリプトを、利用者のWebブラウザ上で実行させる攻撃を指す。
クロスサイトリクエストフォージェリ（CSRF）
悪意のあるスクリプトを仕掛けたWebサイトを利用者に閲覧させ、利用者の認証情報を悪用して意図しない操作を行わせる攻撃を指す。
クリックジャッキング
Webサイトのコンテンツに透明化した標的サイトのコンテンツを配置してクリックさせる攻撃手法。
ドライブバイダウンロード
Webサイトを閲覧しただけで、マルウェアをダウンロードさせる攻撃を指す。
サイバー攻撃の準備
ポートスキャン
サーバに対して開いているポートを調べる行為を指す。
ルートキット
不正侵入後に、侵入の痕跡を隠蔽したり、遠隔地から再侵入できる裏口（バックドア）を設置する手法。
5-3 情報セキュリティマネジメント
情報セキュリティ
組織の情報資産を脅威から守るための取り組みを指す。
以下の3要素を維持することを目的とする。
機密性
許可された人だけが情報にアクセスできる状態を保つこと。
完全性
情報が改ざんや破壊をされず、正確な状態を保つこと。
可用性
必要なときに情報やシステムを使用できる状態を保つこと。
| 要素 | 内容 |
|---|---|
| 機密性 | 許可された人だけがアクセスできること |
| 完全性 | 情報が正確で改ざんされていないこと |
| 可用性 | 必要なときに使用できること |
ISMS適合評価制度
ISMS（情報セキュリティマネジメントシステム）とは、組織が情報セキュリティを維持・改善していくための管理の仕組みを指す。
ISMS適合評価制度は、組織のISMSが国際規格（JIS Q 27001／ISO/IEC 27001）に適合しているかを第三者機関が審査し、認証する制度。
情報セキュリティポリシー
組織の情報セキュリティに関する方針や行動指針をまとめた文書を指す。
基本方針・対策基準・実施手順の3階層で構成される。
情報セキュリティ基本方針
組織の情報セキュリティに対する考え方や姿勢を示す、最上位の方針。
経営者が承認し、社内外に公表される。
SECURITY ACTION
IPA（情報処理推進機構）が中小企業向けに実施している、情報セキュリティ対策への取り組みを自己宣言する制度。
取り組み内容に応じて一つ星・二つ星のロゴマークが与えられる。
情報セキュリティ組織・機関
情報セキュリティに関する対応や普及啓発を行う組織・機関を指す。
- CSIRT：組織内でセキュリティインシデントに対応する専門チーム
- IPA（情報処理推進機構）：情報セキュリティ対策の普及啓発などを行う独立行政法人
- JPCERT/CC：組織の枠を超えてセキュリティインシデント対応の調整を行う機関
試験によく出るポイント
| カテゴリ | 頻出項目 |
|---|---|
| 脅威の種類 | 物理的脅威／人的脅威／技術的脅威 |
| 物理的対策 | ゾーニング／共連れ／アンチパスバック |
| ソーシャルエンジニアリング | ショルダーハッキング／クリアデスク／トラッシング |
| マルウェア | ウイルス／ワーム／トロイの木馬／ランサムウェア／RAT |
| ウイルス対策 | パターンファイル／振る舞い検知機能／ゼロデイ攻撃 |
| サイバー攻撃 | 標的型攻撃／水飲み場攻撃／BEC／フィッシング詐欺／DoS攻撃 |
| 不正侵入の手口 | 辞書攻撃／総当たり攻撃／パスワードリスト攻撃 |
| Web攻撃 | SQLインジェクション／XSS／CSRF／クリックジャッキング |
| 情報セキュリティの3要素 | 機密性・完全性・可用性 |
| ISMS適合評価制度 | JIS Q 27001／ISO/IEC 27001への適合を第三者認証する制度 |
| 情報セキュリティポリシー | 基本方針・対策基準・実施手順の3階層 |
| SECURITY ACTION | 中小企業向けの自己宣言制度（一つ星・二つ星） |
あとがき
今回は、5章のうち「情報資産と脅威」「サイバー攻撃」「情報セキュリティマネジメント」についてまとめました。
マルウェアや攻撃手法は名称が似ているものも多く、特徴を整理しながら覚えていく必要があると感じました。
次回はリスクマネジメントからまとめていきます。