Transcription
皆さんこんにちは。皆さんはセキュリティが保たれている状態とはどういったことを指すと思いますか。鍵のかかった部屋に大事な情報が書かれたノートがぽつんと置かれている状態は、セキュリティが保たれている状態でしょうか。
ビジネスの世界では、情報とは会社の資産です。会社の経営資産であるヒト、モノ、カネ、情報のうち、この情報が外部の人間に覗き見られたり改ざんされない状態について、具体例と一緒に定義していきましょう。
まず、情報が守られている状態とは、明確にISOのIEC 27001で国際規格として定められています。この動画では、ISO IEC 27001で情報が守られている状態を定義する「機密性」「完全性」「可用性」「真正性」「信頼性」「責任追跡性」「否認防止」を示す情報セキュリティマネジメントシステム（ISMS）についてご紹介していきます。
まずは最も代表的な情報セキュリティマネジメントの3要素、機密性、完全性、可用性について理解しましょう。これらはそれぞれ、頭文字「Confidentiality」「Integrity」「Availability」からCIAと略したりもします。
それでは、この3つはとにかく混ざりやすいと有名ですが、混ぜるな危険な用語なので、しっかり意味を見ていきましょう。
まず一つ目は機密性です。機密性とは、第三者に情報が渡らないよう守りたい情報へのアクセスを制限する状態です。アクセス権限のある許可された人だけが情報を利用できます。つまり、盗難や漏洩、不正アクセスを防ぐ要素が機密性となります。機密性が保たれることで回避できる状態とは、社内向け情報が社外の人に見られてしまう、機密情報が格納されたUSBメモリが盗難に遭うなどが該当します。アクセス権限を管理することも、機密性を保持する対策の一つです。
続いての完全性とは、情報が書き換えられない正確な状態を保つことです。第三者によって改ざんされることを防ぐ状態を完全性と言います。取引先企業に請求データを送付したが、ネットワーク経由で悪意ある人物により改ざんされ、請求金額を書き換えられてしまうなど、本来維持したい情報でなくなることを回避した状態です。こうした被害から完全性を保つためには、デジタル署名など暗号化を利用したセキュリティ技術が有効です。
最後に可用性です。必要なときに情報にアクセスしたり、使いたいときにシステムが正しく稼働することを指します。万が一停電したり、災害が起きてサーバーが破壊されても、情報が利用できる状態です。こうした状況下でも可用性を保つための対策として、停電しても自家発電が可能なインフラを整えたり、システムを三重化することで、一方が破壊されてももう片方で代替できる状態が望ましいです。
ここまでの3つは必ず試験に出る内容なので、しっかり取り返しておきましょう。
それでは、残りの4つも順番に知っていきましょう。
真正性とは、利用者や情報の内容が本物であることを明確にすることです。IT隙間教室のブログサイトにアクセスした時、その先が本物の正しいサイトなのか、なりすましや偽のサイトではないことを証明できるようにします。こちらもデジタル署名や二段階認証、生体認証などが対策となります。
信頼性とは、情報処理が欠陥や不具合無く正しく処理されることです。簡単な例でいうと、計算機アプリで1+1と入力して、きちんと結果を返す動作をしていても、結果が「客」と出てきている状態では、信頼できる計算アプリとは言えないですよね。信頼性とは、文字通り信頼できるシステムであることを示します。
責任追跡性とは、情報が編集や更新されたりしたデータのログが、誰によって行われたかを明確にすることです。インターネットを介したデータ操作だけではなく、オフィスの入室管理履歴も、同じように誰がどこの部屋にいつ入って何をしたか分かるようにすることが責任追跡性となります。
否認防止とは、情報の作成者が作成した事実を後から否定できないようにすることです。こちらも責任追跡性と同様に、誰がいつ何を行ったのかログを取ることで担保できます。例えば、「この日までにサイトの更新よろしくね」と上司に頼まれて、「調子が確認するまでにやっておけばいいや」というダメな担当者がいても、タイムスタンプを見れば作業状況が一目瞭然となるため、今日は否認防止ができる状態といえますね。仮に上司が更新時間を知らなかったとしても、証跡はバッチリなので、部下の仕事の怠慢も否認することはできなくなるといったものです。
ISMSで示されている7つのセキュリティ状態は、機密性を完璧に守ろうとすると可用性が満たされず、機密性を高くすればするほどアクセスできず、更新や修正もできない状態となってしまいます。これでは情報として会社組織では活用しづらいものとなってしまいますよね。
これら7つの状態は、ISMSという会社組織が情報セキュリティを管理するためのガイドラインの中で、情報資産が管理すべき特性であると定めており、この7つはバランス強く担保して情報を管理することが求められます。
また、これら7つの状態をどのように実現するのかは、セキュリティ技術に関する動画でも広く詳しく紹介しています。
今日も動画をご視聴いただきありがとうございました。次のIT隙間教室でお会いしましょう。