U
情報セキュリティって「なんとなく大切」はわかるけど、試験で問われる用語が多くて整理しづらいですよね。CIA・リスク対応4類型・ISMS——これを体系的に図解で整理します。
情報セキュリティの基本——なぜ今重要なのか
- CIAトライアド（機密性・完全性・可用性）の定義と具体例
- リスク対応4類型（回避・低減・移転・受容）の使い分け
- ISMS・ISO27001の概要と認証の意味
- 認証と認可の違い・多要素認証の仕組み
- 主要なサイバー攻撃手法とその対策
- セキュリティポリシー3層構造
情報セキュリティとは、情報資産を脅威から守り、その価値を維持するための活動全般です。デジタル化が進む現代では、企業の競争力の源泉である顧客データ・技術ノウハウ・財務情報を守ることが経営の根幹課題になっています。
診断士試験では「CIA」「リスク対応4類型」「ISMS」が頻出です。これらは単なる暗記事項ではなく、経営者として情報リスクに対処するための思考フレームワークとして理解することが重要です。
CIAトライアド——情報セキュリティの3つの柱
情報セキュリティの基本概念は「CIA」の3要素で構成されます。このCIAトライアド（三角形）は、ISO27001（ISMS）の定義でも使われる国際標準の枠組みです。
機密性
完全性
可用性
| CIA要素 | 脅威の例 | 対策技術・手段 | 侵害された状態の例 |
|---|---|---|---|
| 機密性（C） | 不正アクセス・盗聴・情報漏えい | 暗号化・アクセス制御・認証・VPN | 顧客の個人情報が外部流出する |
| 完全性（I） | 改ざん・破壊・ウイルス感染 | ハッシュ関数・デジタル署名・バージョン管理 | 財務データが書き換えられている |
| 可用性（A） | DDoS攻撃・システム障害・災害 | 冗長化・RAID・バックアップ・UPS | サービスが停止し業務が止まる |
情報リスクの概念——脅威・脆弱性・リスクの関係
情報セキュリティにおけるリスクを理解するには、「脅威」「脆弱性」「情報資産」の3つの関係を整理することが重要です。
| 用語 | 定義 | 具体例 |
|---|---|---|
| 情報資産 | 保護すべき価値ある情報・システム | 顧客データ・設計書・Webシステム・社員の知識 |
| 脅威 | 情報資産に損害を与えうる事象・行為 | サイバー攻撃・内部不正・自然災害・システム障害 |
| 脆弱性 | 脅威につけ込まれやすい弱点・欠陥 | 未パッチのOS・弱いパスワード・セキュリティ意識の低い社員 |
| リスク | 脅威と脆弱性が組み合わさって生じる損害の可能性 | リスク = 脅威 × 脆弱性 × 資産価値（の組み合わせ） |
リスク対応の4類型——どう対処するかを決める
情報リスクを特定・評価したら、次は「どう対応するか」を決めます。リスク対応には4つの類型があり、リスクの大きさとコストのバランスで選択します。
| 類型 | 別名 | 選択する状況 | 具体例 |
|---|---|---|---|
| 回避 | リスク排除 | リスクが非常に大きく、活動継続の価値がない | セキュリティリスクの高い国でのサービス提供を中止 |
| 低減 | リスク軽減 | コストに見合った対策でリスクを許容範囲内に収められる | ファイアウォール導入・パッチ適用・社員教育 |
| 移転 | リスク共有 | 自社で対処しにくく、第三者への移転が合理的 | 情報漏えい保険・セキュリティ専門企業への委託 |
| 受容 | リスク保有 | リスクが小さく対策コストが割に合わない | 発生確率が極めて低く、影響も軽微なリスクを容認 |
ISMS（情報セキュリティマネジメントシステム）とISO27001
ISMSは「Information Security Management System」の略で、組織が情報セキュリティを継続的に管理・改善するための仕組み（マネジメントシステム）です。ISO/IEC 27001は、ISMSを認証するための国際規格です。
| 項目 | 内容 |
|---|---|
| 目的 | CIAの維持・向上を通じて、情報リスクを組織的・継続的に管理する |
| 対象 | 技術的対策だけでなく、人・プロセス・物理的環境を含む総合的な管理 |
| PDCAサイクル | Plan（リスク評価・目標設定）→Do（対策実施）→Check（監査・レビュー）→Act（改善）の継続 |
| 認証機関 | 第三者認証機関が審査。取得することで対外的な信頼性を証明できる |
- 情報セキュリティポリシー
- 情報資産の管理（分類・ラベリング）
- 人的資源のセキュリティ（採用前・在職中・退職後）
- 物理的・環境的セキュリティ
- アクセス制御
- 暗号化
- インシデント管理
- 事業継続管理（BCM）
- コンプライアンス
認証と認可——似て非なる2つの概念
「認証（Authentication）」と「認可（Authorization）」は混同しやすい用語ですが、情報セキュリティでは明確に区別されます。
| 概念 | 英語 | 意味 | 具体例 |
|---|---|---|---|
| 認証 | Authentication | 「あなたは誰か」を確認する。本人であることを証明する | ログイン時のパスワード入力・指紋認証・IDカード |
| 認可 | Authorization | 「何ができるか」を制御する。アクセス権限を与える | 管理者は全データ閲覧可・一般ユーザーは自分のデータのみ |
多要素認証（MFA）
多要素認証とは、異なるカテゴリの認証要素を2つ以上組み合わせる認証方法です。1つの要素が漏えいしても、他の要素があれば不正アクセスを防げます。
| 認証要素の種類 | 内容 | 例 |
|---|---|---|
| 知識情報（Something you know） | 本人だけが知っている情報 | パスワード・暗証番号・秘密の質問 |
| 所持情報（Something you have） | 本人だけが持っているもの | スマートフォン・ICカード・ワンタイムパスワードトークン |
| 生体情報（Something you are） | 本人の身体的特徴 | 指紋・虹彩・顔・声紋 |
二要素認証の例：「パスワード（知識）＋スマホのSMSコード（所持）」の組み合わせ。
主要なサイバー攻撃手法とその対策
| 攻撃手法 | 仕組み | 狙われるCIA要素 | 主な対策 |
|---|---|---|---|
| フィッシング | 偽メール・偽サイトで認証情報を騙し取る | 機密性（C） | メールフィルタリング・社員教育・多要素認証 |
| ソーシャルエンジニアリング | 人間の心理的弱点を突いて情報を引き出す（電話・なりすまし等） | 機密性（C） | 本人確認手順の徹底・情報公開範囲の管理・教育 |
| ランサムウェア | システムのファイルを暗号化し、復号と引き換えに金銭を要求 | 可用性（A）・完全性（I） | 定期バックアップ・OSパッチ適用・不審メール対策 |
| SQLインジェクション | Webフォームから悪意のあるSQL文を入力し、DBを不正操作する | 機密性（C）・完全性（I） | 入力値のバリデーション・プリペアドステートメント・WAF |
| XSS（クロスサイトスクリプティング） | Webページに悪意のあるスクリプトを埋め込み、閲覧者のブラウザで実行させる | 機密性（C） | 出力時のエスケープ処理・CSPヘッダー設定 |
| DDoS攻撃 | 大量の通信でサーバーをパンクさせ、サービスを停止させる | 可用性（A） | CDN・DDoS対策サービス・帯域制限 |
| マルウェア（ウイルス・ワーム） | 悪意のあるソフトウェアがシステムに感染し、破壊・情報窃取・拡散 | C・I・A全て | ウイルス対策ソフト・パッチ管理・メールフィルタリング |
| 標的型攻撃（APT） | 特定組織を長期間かけて攻撃。スピアフィッシング・ゼロデイ脆弱性を利用 | 機密性（C） | EDR・SIEM・ネットワーク分離・インシデント対応訓練 |
暗号化技術の基礎
| 技術 | 仕組み | 特徴 | 用途 |
|---|---|---|---|
| 共通鍵暗号（対称鍵） | 暗号化と復号に同じ鍵を使う | 高速・鍵の安全な共有が課題 | 大容量データの暗号化（AES等） |
| 公開鍵暗号（非対称鍵） | 公開鍵で暗号化・秘密鍵で復号 | 鍵配送問題を解決・処理が遅い | 鍵交換・デジタル署名（RSA等） |
| ハッシュ関数 | データを固定長のハッシュ値に変換（一方向） | 改ざん検知・逆算できない | パスワード管理・データ整合性確認 |
| デジタル署名 | 送信者が秘密鍵でハッシュを署名・受信者が公開鍵で検証 | 送信者認証＋改ざん検知 | 電子文書の真正性確認・メール署名 |
| PKI（公開鍵基盤） | 認証局（CA）が公開鍵の正当性を証明する仕組み | なりすまし防止 | SSL/TLS（HTTPS）・電子証明書 |
セキュリティポリシーの3層構造
情報セキュリティポリシーは、組織の情報セキュリティに対する方針と具体的ルールを文書化したものです。一般的に3層構造で体系化されます。
経営トップが示す「なぜ情報セキュリティに取り組むか」の宣言。抽象的・方向性を示す。全社員・取引先・顧客に向けた文書。
基本方針を実現するための具体的なルール・基準。「何をしてはいけないか・何をすべきか」を定める。部門別・システム別に作成することもある。
対策基準を実際に守るための具体的な操作手順・手続き。「どうやって実施するか」を定める。担当者が実際の業務で参照する文書。
情報セキュリティ管理の主要フレームワーク・法規制
| 名称 | 概要 | 試験での出題ポイント |
|---|---|---|
| ISO/IEC 27001 | ISMS認証の国際規格。PDCAによる継続的改善が特徴 | ISMSの定義・認証の意味・PDCAサイクル |
| 個人情報保護法 | 個人情報の取得・利用・保管・提供に関するルールを定める日本の法律 | 要配慮個人情報・第三者提供の制限・安全管理措置 |
| 不正アクセス禁止法 | 不正アクセス行為とその助長行為を禁止する日本の法律 | 不正アクセスの定義・罰則規定 |
| サイバーセキュリティ基本法 | 日本のサイバーセキュリティ戦略の基本を定める法律。NISCの設置根拠 | サイバーセキュリティ戦略本部・NISC |
| NIST CSF | 米国NIST発行のサイバーセキュリティフレームワーク。識別・保護・検知・対応・回復の5機能 | 5機能の名称と意味 |
試験対策まとめ——頻出パターンと覚え方
① CIA = 機密性（C）・完全性（I）・可用性（A）。それぞれの定義と侵害例を答えられるように
② リスク対応4類型：回避・低減・移転・受容。「移転はリスクをなくさない」という点に注意
③ ISMSはPDCAサイクルで継続改善する仕組み。ISO27001は認証規格
④ 認証（誰か確認）≠ 認可（何ができるか制御）
⑤ セキュリティポリシー3層：基本方針→対策基準→実施手順（上が抽象、下が具体）
よくある質問（FAQ）
情報セキュリティ管理は「技術的な話」と思われがちですが、診断士として重要なのは「経営的な意思決定」の視点です。CIAのトレードオフをどう判断するか、4つのリスク対応から何を選ぶか——これらは経営リソースの配分問題です。技術の詳細よりも、経営判断の枠組みとして体系を身につけることが合格への近道です。
