情報セキュリティ対策

要点と定義

情報セキュリティ対策は、脅威の対象と原因に合わせて選びます。人の心理や不注意につけ込む手口には教育・訓練などが関係し、廃棄物から情報を探すトラッシングには、機器の記憶装置を物理的に破壊する対策が有効です。通信の暗号化は盗聴への対策、マルウェア対策ソフトは感染への対策であり、人を狙う手口そのものへの対策とは異なります。

ソフトウェアの脆弱性を修正するセキュリティパッチは、その弱点を悪用する攻撃への対策になります。バッファオーバーフローは、入力などが確保された記憶領域の境界を越えて書き込まれる事象です。その事象を起こす脆弱性にパッチを適用できる場合、悪用を防ぐのに有効です。総当たり攻撃、ソーシャルエンジニアリング、流出した認証情報を使う攻撃は、原因が異なるためパッチだけでは対処できません。

技術的対策は対象と役割で区別します。WAFはWebアプリケーションへの通信を検査し、アプリケーションの脆弱性を狙う攻撃などを検知・防御します。 ランサムウェアはファイルを暗号化するなどして使えなくし、復旧と引き換えに金銭を要求するマルウェアです。 DNSキャッシュポイズニングでは、DNSサーバに偽のドメイン名とIPアドレスの対応情報を登録させ、利用者を偽の接続先へ誘導することがあります。

CA（認証局）は公開鍵証明書の発行や失効を行います。証明書は公開鍵と主体との結び付きを確かめる手掛かりです。 デジタル署名の検証では、署名後にファイルが改ざんされていないことを確認できます。署名者の身元を確かめるには、証明書などで署名鍵と信頼できる発行元との結び付きを確認します。ハッシュ値だけでは発行元を特定できません。

PINは本人確認に使う数字列の暗証番号です。 生体認証は身体的特徴または行動的特徴を使います。打鍵の速度やタイミング、筆跡・筆圧・運筆速度は行動的特徴です。文字を読み取る確認や、記憶した順に点をなぞる方式は、生体特徴を使う認証とは異なります。

生体認証の他人受入率（FAR）は他人を誤って受け入れる割合、本人拒否率（FRR）は本人を誤って拒否する割合です。他人受入率を下げるため判定を厳しくすると安全性が高まる方向です。本人拒否率を下げるため判定を緩めると利便性が高まる方向ですが、他人を受け入れる可能性も高まり得ます。