セキュリティ対策と実装

要点と定義

情報セキュリティ対策は、脅威と守る対象に合わせて選びます。人をだまして情報を得たり、不正な操作をさせたりするソーシャルエンジニアリングには、従業員への教育が役立ちます。たとえば、急な依頼を受けたら手順を確認し、別の連絡手段で依頼元を確かめる訓練ができます。

認証方式は、何を使って本人を確かめるかで整理します。パスワードは知識、カードは所持品、指紋や虹彩などは身体的・行動的特徴を使うバイオメトリクス認証です。この方式では認証情報を覚えたり認証用の物を持ったりする必要はありませんが、読み取り装置が必要です。

公開鍵基盤（PKI）は、公開鍵証明書を使って公開鍵の正当性を保証する仕組みです。認証局（CA）は証明書を発行・管理する中核的な構成要素です。

公開鍵暗号方式で受信者だけが機密データを読めるようにする場合、送信者は受信者の公開鍵で暗号化し、受信者は対応する自分の秘密鍵で復号します。公開鍵は送信者に渡せますが、秘密鍵は受信者が管理します。

シングルサインオン（SSO）は、最初の認証後、許可された複数のサービスを都度認証せずに利用できる仕組みです。

適用条件と例

セキュリティパッチは、既知の脆弱性を修正し、攻撃や感染のリスクを下げるために適用します。現在の機能に不満がなくても、脆弱性を直す目的は別にあります。サポート終了後は新たな修正が提供されない可能性があり、過去のパッチをすべて適用済みでも安全とは限りません。

Webサイトの入力に含まれる有害な文字列を、意図しない処理を起こさない形に置き換える処理をサニタイジングといいます。たとえば、入力を画面に表示する前に、HTMLとして解釈される記号を無害な表現に変換します。

無線LANのアクセスポイントでESSIDの発信を止める機能はステルス機能です。これは識別名の発信を抑える設定で、通信の暗号化や接続機器の制限とは役割が異なります。