情報セキュリティの目的と脅威

要点と定義

情報セキュリティは、情報や情報システムを脅威から保護し、信頼して利用できる状態を保つ考え方です。基本となる三要素は、機密性・完全性・可用性です。機密性は許可された人だけが情報を見られること、完全性は情報が正確で不正に変更されていないこと、可用性は必要なときに情報やサービスを利用できることを指します。

情報資産に損害を与える可能性のある事象や行為が脅威です。攻撃者による侵入や盗聴のほか、誤操作、故障、災害も脅威になり得ます。脆弱性は、システムの欠陥や、組織の手順・職務分担の不備など、脅威が損害につながりやすくなる弱点です。脅威と脆弱性が結び付くと、情報漏えいやサービス停止などの事故が起こる可能性があります。

マルウェアは悪意あるソフトウェアの総称です。スパイウェアは利用者の意図に反して情報を集めます。ルートキットは侵入後の痕跡を隠したり、バックドアを設けたりするのに使われます。ボットに感染した端末は遠隔操作されることがあり、C&Cサーバは感染端末に指令を送ります。

攻撃手法は、利用する手掛かりや狙う対象によって区別できます。パスワードリスト攻撃は、流出したIDとパスワードの組合せを別サービスでも試し、認証情報を使い回す利用者を狙います。 SEOポイズニングは、検索結果の上位に悪意あるサイトが表示されるよう細工し、利用者を誘導する手法です。

適用条件と例

三要素を見分けるときは、情報やサービスに起きる直接の変化を考えます。権限のない人が情報を読める、または盗聴されるなら機密性が脅かされます。Webページの内容が書き換えられるなら完全性が脅かされます。サービスが停止して利用できなくなるなら可用性が脅かされます。中断時間に関するサービス水準を保つ管理は、必要なときに利用できる状態を支えるため、可用性の確認に当たります。

自作の例として、通販サイトの在庫数を攻撃者が変更すれば、在庫情報の完全性が損なわれます。権限のない人が顧客情報を閲覧できれば機密性の問題です。アクセス集中で注文画面が応答しなくなれば可用性の問題です。Webサーバを複数台で構成し、一台の故障後もサービスを続ける方法は可用性を高める例です。コンテンツの定期確認は改ざんの発見に役立ち、完全性を支えます。社員IDとパスワードによるログインは利用者を認証し、権限に応じた閲覧を可能にすることで機密性を支えます。

認証情報の使い回しがあると、あるサービスから流出した組合せが別サービスでも悪用される可能性があります。流出した組合せを別のサービスで試すのがパスワードリスト攻撃です。候補パスワードを一つのアカウントに次々試す総当たり攻撃とは、試す材料が異なります。サービスごとに異なる認証情報を使うことは、使い回しによる被害を避けるための基本的な対策です。