Transcription
こんにちは。本日から情報セキュリティについて学習します。
このコースは午前試験向けとして作成していますが、午後試験と午前試験で必要となる知識はほぼ等しいので、このコースで5選5午後両方対策することが可能です。
初回の動画では、情報セキュリティの考え方について学習していきます。それでは早速内容を見ていきましょう。
脆弱性と脅威について。インターネットの発達により、私たちの生活は豊かになりましたが、それと同時にサイバー攻撃や情報漏洩などリスクも増えています。そのような危険から身を守るための考え方が情報セキュリティであり、今では非常に重視すべき項目です。
さて、この情報セキュリティのリスク要素は大きく脆弱性と脅威があります。脆弱性とは、OSやソフトウェアなどにおいて、設計上の不具合やプログラムのミスにより発生する情報セキュリティ上の重大な結果のことです。セキュリティホールとも呼ばれ、コンピューターウイルスの攻撃に利用されてしまいます。
一方、脅威とはその名前の通り、情報資産を脅かす存在のことで、物理的脅威、人的脅威、技術的脅威などがあります。物理的脅威とは、地震や火災などの災害による機器の故障や、侵入者による装置の破壊など、物理的に情報が壊されることです。
人的教育とは、操作ミスや情報の不正利用、開示など人的由来の脅威のことです。人的脅威の中でも、人の心理の隙をついて機密情報を入手する行為をソーシャルエンジニアリングと呼び、テストで出題されます。ソーシャルエンジニアリングの種類には、例えばパスワードを入力する画面をこっそりと覗き込んでログイン情報を入手したり、ゴミ箱に捨てられた紙から機密情報を抜き出すといったようなことです。
また、アメリカの犯罪学者が人が不正を働く際は、機械、動機、正当化という3つの要素が揃った時であるとするモデルを唱えました。このモデルを不正のトライアングルと呼び、たまにテストに出題されるため、それぞれの要素の具体例を簡単に説明していきます。機械とは、自分以外の会社のパソコンでも容易にログインできてしまうなど、不正が働ける環境のことです。動機とは、営業ノルマのプレッシャーにさらされているなど、不正を働く理由になり得る状況のことです。正当化とは、こんな状況なら不正を働いても仕方がないとか、これは会社のためでもあるんだなど、自分の行為を正当化する心理のことです。これら3つが揃った場合に人は不正を働くと言われています。
そして最後の技術的教育とは、コンピューターウイルスやサイバー攻撃のことであり、テストでは主にこの技術的脅威について問われます。具体的なコンピューターウイルスやサイバー攻撃の手法については、この後の動画で説明していきます。
情報セキュリティマネジメントについて。続いて情報セキュリティマネジメントの考え方を説明します。先ほど見たように、現在の情報社会では多くのリスクがあるため、適切に情報セキュリティ対策を実施する必要があります。
この情報セキュリティ対策として、ISMSという仕組みが用いられます。ISMSとは、Information Security Management Systemの頭文字を取ったものであり、企業が情報セキュリティを管理するための仕組みを指します。
ISMSには情報セキュリティに関する評価事項が定められており、第三者がこの評価事項に沿って企業の情報セキュリティを評価していきます。そして、その評価が高かった企業は情報を安全に取り扱っていると認められ、ISMS認証というものが発行されます。このISMS認証とは、情報セキュリティがしっかりしていることの証明書のようなものです。つまり、ISMS認証が発行された企業は情報セキュリティ意識が高いということで、私たち消費者や取引先企業は安心して個人情報を提供できるというわけです。
このような評価制度のことをISMS適合評価制度と呼びます。また、このISMS認証を発行するために必要な評価事項は、JIS Q 27000シリーズと呼ばれるもので定義されています。ISMSやJIS Q 27000という用語はなじみがない単語ですが、問題文で登場することが多いので、見かけてもびっくりしないようにこの場で知っておきましょう。
さて、このJIS Q 27000シリーズというものは、さらにいくつかの規格に細分化されており、例えばJIS Q 27000という規格では用語の定義をしています。また、先ほど説明したISMS認証の評価事項は、JIS Q 27001という規格に、情報セキュリティガバナンスはJIS Q 27004という規格に記載されています。その他にも色々な規格があるのですが、ここを細かく覚える必要はないので、ざっくりとJIS Q 27000シリーズというものの中にいろいろなものが書かれているんだと理解しておきましょう。
テストでは、このJIS Q 27000シリーズの中の規格の一つとして記載されている情報セキュリティに関する用語について出題されるので、その用語を説明していきます。JIS Q 27000では、情報セキュリティを考える際に大切な要素として、機密性、完全性、可用性という3つが定義されています。これを情報セキュリティの三要素と呼びます。機密性とは、許可された人だけが情報にアクセスできるようにすること。完全性とは、情報が正確で完全であること。可用性とは、利用者が必要なときにいつでも情報にアクセスできることを指します。
また、この情報セキュリティの三要素に加えて、4つの要素が加わることもあります。4つの要素の1つ目は、申請性と呼び、これは情報の偽造やなりすましがなく、情報が本物であることを意味します。続いて信頼性です。これは何かしらの処理をした時に、意図した通りの結果が返ってくることです。続いて3つ目は、責任追跡性です。これはその情報に対して誰が関与したのか追跡できるようにすることです。最後の否認防止とは、後で自分がやったわけではないんだよと否定されないようにすることです。これら7つの特徴は、言葉が似ていてややこしいのですが、テストに出題されるので頑張って覚えてください。
それでは最後に過去問を解いて終わりにしましょう。まず最初の問題です。ISMS適合評価制度について説明されている選択肢を選んでください。
それでは回答です。ISMS適合評価制度とは、JIS Q 27000シリーズに基づいて、企業の情報セキュリティを第三者が評価する制度のことでした。これを説明しているのはウとなります。なお、先ほど説明した通り、JIS Q 27000シリーズとは様々な規格があり、ISMS認証の要求事項は27001に記載されています。
続いて2問目です。JIS Q 27000における申請性の定義について聞かれています。なお、JIS Q 27000の後にコロンでつながっている2019とは、規格が更新された年のことで、ここも細かくは聞かれないので特に気にしなくてOKです。
それでは回答です。選択肢A、意図する行動と結果が一致している特性というものは、信頼性の定義です。続いてBの選択肢を見てみましょう。ここで出てくるエンティティという言葉は、ER図という考え方で登場する用語ですが、ここでは何かしらの実態と読み書きしてください。ちょっと意味がわからないと思いますが、ここは深く考えずになんとなくで乗り切ってしまいましょう。Bの選択肢では、何かしらの実態がそれが主張する通りのものであるという特性、つまり情報に嘘偽りがなく、それが本物であるという特性のことなので、申請性の定義のことです。よって答えはイとなります。
他の選択肢を見てみると、Cは要求された時にちゃんと使用できる特性なので可用性のこと。Dは許可されていない人には情報を与えない特性のことなので機密性のことです。この申請性とか可用性とかは少しややこしいのですが、テストに出題されるので頑張って覚えてください。僕もここら辺はあまり得意ではないのですが、他の事項に影響することはなく独立した内容ですので、少し大変だと思いますが丸暗記で乗り切ってしまいましょう。
それでは本日の内容は以上です。最後までご視聴ありがとうございました。質問はコメント欄に記載いただければ、できる限り回答しますのでお気軽にご記載ください。
[音楽]