情報セキュリティの基本

要点と定義

情報セキュリティの基本要素は、許可された人だけが情報を使える「機密性」、情報が正確で改ざんされていない「完全性」、必要なときに利用できる「可用性」です。真正性や責任追跡性などを加えて扱う場合もあります。

脅威は情報資産に損害を与える原因となる事象や主体、脆弱性は脅威につけ込まれる弱点です。落雷による停電は脅威です。暗号化されていない通信、統一されていない機密文書の取扱方法、施錠できないドアは脆弱性の例です。

適用条件と例

コンピュータやネットワークを悪用する行為はサイバー攻撃です。サーバへ侵入してデータを改ざんする、大量のアクセスでサービスを停止させる、バックドアから他人の端末を遠隔操作する、といった行為が該当します。廃棄された記録媒体を物理的に探る行為は情報を狙う脅威ですが、サイバー攻撃ではありません。

対策の目的から、三要素を見分けます。アクセス制限は機密性、改ざん防止や入力チェックは完全性、システムや設備の二重化は可用性を高めます。バックアップはデータ消失時の復旧に役立ち、主に可用性を支えます。機密性を高めるアクセス制限が利用のしやすさに影響する場合もあるため、運用ではバランスを考えます。

ISMSの説明では、機密性・完全性・可用性を維持・改善することと、リスクを適切に管理することを押さえます。 ブロックチェーンは、データを直前のデータのハッシュ値と連鎖させ、記録の改ざんを困難にする技術です。これは完全性に関わります。

攻撃やマルウェアは、起きることや感染のきっかけで見分けます。Webサイトを閲覧したことをきっかけに感染させる攻撃はドライブバイダウンロードです。 ランサムウェアはファイルなどを使えない状態にし、復旧と引き換えに金品を要求します。 ウイルスはOSやアプリケーションだけでなく、機器のファームウェアにも感染することがあります。感染端末が判明したら、拡大防止のためネットワークから切り離します。外部記憶媒体など感染経路は複数あるため、メール添付を避けるだけでは十分とは限りません。

機器への不正な解析や改ざん、内部データの読み出しを困難にする性質は耐タンパ性です。