過去に講義の補足教材として使っていたものが陳腐化したため、リライトして公開します。
セキュリティは暗記するより時事ネタを探そう！
情報がクイックに手に入るのでとりあえずxあたりを見ておくのが良さそう
業界人の見解だったりも見れるので、検索時はgrokを推奨
（ただし、外部からの意見や考察が多く含まれるため正確性には留意すること）
これらについて、AIとディスカッションするのが実は良い気づきになることが多い。
本題
セキュリティリスクは「受け入れるか避けるか」から考え、どれぐらいなら受け入れられるか？を考える
ウイルス感染を検知した時にまずやること
- ネットワークから切断する（ケーブルを引っこ抜く、無線LANスイッチを切る、場合によりWifiルータ本体を停止する）
- 接続している情報機器（HDD/SSD/USBメモリ類）をすべて外す
- 問題があったことを報告する
ウイルス感染を検知した後にやること
- ウイルスを除去する
- セキュリティパッチを当てる
- ウイルス定義ファイルを更新する
ウイルス感染をしないためにやること
- 信頼性のないネットワーク（ゲストWifiなど）につながない
- サードパーティソフトのダウンロード
- 信頼性のないサイトにアクセスしない
- ダークウェブは極端だが、海外サイトや日本のサイトでも安全性が低いもの。個人ページなどを含む
- 外部から持ち込んだ記憶媒体はウイルスチェック用の環境下で行う
- 社内環境につないだ状態で使わない
- 出来れば使わない。社内用の備品だったとしても、悪意のあるソフトを埋め込む事はできてしまう
- たとえば、貸出表で所有者を管理していたとしても、実際にウイルスソフトを埋め込むのは本人ではない可能性がある（本人にはできて監督不行届の注意ぐらい）
人的ミスによる不正が起こる条件（不正のトライアングル理論）
- 機会
- 動機
- 正当化
間違った正義が1番危険。
- 「悪い企業」から情報を盗むことは正義だと考える
- 「間違った」政策を実行するシステムをハッキングすることは正当だと信じる
そもそも「悪い」とか「間違った」という認識は主観的でしかない＝正義側が、自分自身が間違っているパターンを考えていない事もある。
情報資産
イメージしやすいように、コンビニや地域のスーパーマーケットで考える。
「情報」という言葉を聞いてイメージするのは、多くの目に見えない口伝（口頭説明）であったり、ただのテキストや表でしかないものだろう。
これを断片的に売り出す（陳列する）と提供するサービスということになる。「そのサービスが使える」事に価値を感じ、ユーザーはお金を出して購入する。
ただし、従業員にはこれらについて「業務上必要だから無料で提供されている」だけであって、そもそも有料または非売品であるということを忘れてはいけない。
当然だが、非売品は価値がないという意味ではない。少なくとも、情報資産という観点では万引き・窃盗（＝脆弱性を突く）を使ってでも欲しがる層が一定数存在している事もまた認識しておこう。
考えられるリスクは大きく分けると以下の通り
| 分類 | 事例 | 解説 |
|---|---|---|
| 物理的 | 自然災害、不正侵入 | 適切なゾーニングや監視カメラにより、入室者を制限・管理する。共連れのリスクにも注意 |
| 人的 | 単なるミス（確認漏れ、操作失敗）、盗み見や不正利用 | ソーシャルエンジニアリングの手法を知って対策する。ATMで他人の番号を知るには？ |
| 技術的 | なりすまし、盗聴、改ざん | アンチウイルスソフトが代表格。コンピュータウイルス（最近の代表格はマルウェア） |
単一ではなく、複合ケースも狙われている。
- 技術的物理的の複合系にスキミング＝PC以外も情報試算管理の対象になる
- フィッシングサイトなど偽造ページへの誘導＝1番の脆弱性は人間
対策が難しいものとして、ゼロデイ攻撃が考えられる。脆弱性が見つかって修正されるまでを指す。
一般にパッチ配布後にアップデートが適用されるまでのタイムラグがある場合は、これもゼロデイ攻撃になる。
サイバー攻撃
正しくはクラッキング。ハッキングは意味が違ってくる。不正侵入をしてデータをどうこうする、を総称する。
（昔はハッキング＝クラッキングだった）
色々な攻撃手法があるが、知っておくだけでは対策できないので実例で語る（要確認）
特定の攻撃手法が用いられる、というよりは使えるものはなんでも使ってくる。システムはすべて100%稼働していないと動かないのに対して、クラッキングは100発撃って1発当たれば目的が達成される
つまり、システムはうまく動かすより壊れないようにする方がずっと難しい。
システム的な攻撃とは、技術を駆使するようなお上品・芸術的なものだけでなく、泥臭いパターンマッチングの試行もある。
また、システムを壊さなくてもサーバーを落とせばシステムが止まる（DoS/DDoS）ので、それでも目的は達成できる。
また、ユーザーを便利にする仕組みを悪用して攻撃する手法もある。内部的には不正なデータを送りつけるか、コピーサイトを作ってユーザーをそちらに誘導し、なりすます手法がよく使われる。
情報セキュリティマネジメント
| シリーズ | 概要 | 内容 |
|---|---|---|
| ISO9000 | 品質マネジメントシステム | 品質マネジメントシステムの要求事項 |
| ISO14000 | 環境マネジメントシステム | 環境マネジメントシステム（EMS）の規格 |
| ISO27000 | 情報セキュリティマネジメントシステム | 情報セキュリティマネジメントシステム（ISMS）の規格 |
- 機密性
- 完全性
- 可用性
- 真正性
- 信頼性
- 責任追跡性
- 否認防止
この単元で取り上げている「PDCAサイクル」の方が重要。情報セキュリティ以外でも普通に使われる。
情報セキュリティポリシーの策定から学ぶ、人の行動制御フレームワーク
重要なのは内容ではなく、考え方。
具体的には、人の行動を促すための取り組みとして見つめる。
- Why: なぜ？＝基本方針で定義
- What: どうする？＝対策基準で案内
- How: どのように？＝実施手順
ここでは細かい位置付けをなされているが、多くの事柄に同じ考え方のフレームワークが適用できる。
リスクに向き合う
リスクマネジメント、というと管理という面が大きいと思ったので、敢えて「リスクに向き合う」とする。
まずリスクアセスメントから考える。
- リスク（損害可能性）ーアセスメント（試験）
そもそも、リスクを許容できる・できない（深刻）なのかが分からないとどうにもならない。
その上で「リスクを受け入れて推進する」か「リスクを回避する方法を考える」か、ビジネス戦略が変わってくる。
ログインの仕組み
基本用語は省略、パスワードの管理も解説不要だろう。
ICカードやPIN、バイオメトリクス（生体）が新しいか。
- 身体的特徴
- 指紋
- 顔
- 声紋
- 静脈
- 瞳の虹彩
- 行動的特徴
- 筆跡
- キーストローク
ワンタイムパスワード
認証アプリやメールアドレスにログイントークンを送って、トークンを入れてログインする形式。
毎回固有のパスワードを使わない上に、短い時限式で新しいトークンが生成されるため非常にセキュア。
これとは別に、位置と順序によるマトリクス認証（ログイントークンは予め通知される。端末に通知された文字列を入れる）や画像認証（読みにくい文字を読み取って入力する）=CAPTCHA
シングルサインオン（他のサービスのログイン情報を使う）や多要素認証（複数の認証システムを活用する）のほか、SMS（ショートメッセージでトークンを送る）を使うのもここ。
なお、リスクベース認証はいつもと違う環境・端末からのログインを検出する仕組み。
ネットワークセキュリティの用語だけ抜粋
どれも試験を度外視して重要な項目だが、泣く泣くカットしている。
- ファイアーウォール＝防火壁。何かあったらここをみる
- VPN＝仮想の専用回線
- DMZ＝外からアクセス可能とした公開環境。レストランを考えた時に、お手洗いがDMZでキッチン・スタッフルームが内部ネットワーク
暗号化技術
データは傍受される。が、第三者にデータが解析されなければ良いという考え方による。
暗号化（暗号文を作る）に対し、復号（平文。復文ではない）で読めるようにする。
暗号方式は大きく２つに分けられ
- 共通鍵：家の鍵
- 公開鍵：秘密鍵（鍵）と公開鍵（鍵穴）を作る。鍵穴は公開する。鍵穴を持ってきたユーザーと自分の鍵が合致すれば開錠する
鍵穴は公開するが、鍵は流出したら一発アウトなので、今回のように共通鍵を確実に相手に渡す方法としてハイブリッドで組み合わせる方法が使われる。
- 「自分の共通鍵」を「相手の鍵穴」で暗号化する
- 「相手の秘密鍵」で開錠すると、相手は「自分の共通鍵」を持つ事ができる
- 「自分の共通鍵」を使ってファイルのやり取りをする
ログイン認証をするために鍵を使う方法もある。
デジタル署名となりすまし
RSAを活用する。送信者が自分の秘密鍵を使って暗号化したものを、自分の公開鍵を使って復号すると所在が明確になる。
重要なのは身分証明ができるということで「受信者目線で誰が送ったのかを確実に知る事ができる」のがポイント。
また、鍵穴自体が改竄されていないという正当性を認証する仕組みもある。
執筆当時の状態であり、内容が陳腐化している可能性があることにご留意ください。
最新の出題傾向などシラバスを確認しましょう。