情報セキュリティの基礎 | 中小企業診断士1次試験経営情報システム

「情報セキュリティの3要素ってCIA？」と聞いて最初は戸惑いますよね。機密性・完全性・可用性の意味と、認証・暗号化・マルウェアの全体像を一気に整理しましょう。

情報セキュリティの3要素（CIA）——基礎の基礎

機密性（Confidentiality）

許可された人だけが情報にアクセスできること。

脅威：不正アクセス・盗聴・情報漏洩

対策：暗号化・アクセス制御・認証

完全性（Integrity）

情報が正確で改ざんされていないこと。

脅威：データ改ざん・なりすまし

対策：デジタル署名・ハッシュ・バックアップ

可用性（Availability）

許可された人が必要なときに情報を利用できること。

脅威：DoS攻撃・システム障害

対策：冗長化・バックアップ・UPS

⚠️ CIA以外の追加要素：真正性（Authenticity）・責任追跡性（Accountability）・否認防止（Non-repudiation）・信頼性（Reliability）も情報セキュリティの特性として定義されています（JIS Q 27000）。試験でも問われることがあります。

認証の種類——知識・所持・生体の3要素

本人確認の3つのアプローチ

「あなたは誰ですか？」を確認する認証には、大きく3種類の要素があります。これらを組み合わせることを多要素認証（MFA）といいます。

認証要素	内容	具体例	弱点
知識認証（What you know）	本人だけが知っている情報	パスワード、PIN、秘密の質問	盗まれる・忘れる・推測される
所持認証（What you have）	本人だけが持っているもの	ICカード、スマートフォン、ワンタイムパスワードトークン	紛失・盗難
生体認証（What you are）	本人の身体的特徴	指紋、虹彩、静脈、顔認証	偽造リスク・プライバシー問題

多要素認証（MFA）と二段階認証の違い

多要素認証：上記3要素のうち異なる種類を2つ以上組み合わせる（例：パスワード＋指紋）

二段階認証：2回の確認を行うが、同一要素でも可（例：パスワード＋SMS認証コードは厳密にはどちらも「知識」の側面がある）

アクセス制御モデル——MAC・DAC・RBACの比較

誰が「誰に何の権限を与えるか」を決めるのか

情報へのアクセス権限をどのように管理するかによって、3つの主要なアクセス制御モデルがあります。

モデル	英語名	制御の決定者	特徴・用途
MAC 強制アクセス制御	Mandatory Access Control	システム（管理者）が一元的に決定	軍や政府など高セキュリティ環境。機密レベルによる分類。ユーザーは変更不可
DAC 任意アクセス制御	Discretionary Access Control	データの所有者が自由に設定	一般的なOSのファイル権限管理。柔軟だが管理が分散
RBAC 役割ベースアクセス制御	Role-Based Access Control	役割（ロール）に権限を割り当て	企業システムに最適。人事異動時も役割変更だけで対応できる

⚠️ 試験頻出：RBACは「ロールに権限を割り当て、ユーザーにロールを割り当てる」2段階構造が特徴です。大規模な組織でのアクセス管理に適しています。

暗号化の種類——共通鍵・公開鍵・ハイブリッド

共通鍵暗号（対称鍵暗号）

送信者と受信者が同じ鍵を使って暗号化・復号する方式。

長所：処理が高速、大量データの暗号化に向く

短所：鍵の安全な受け渡しが困難（鍵配送問題）

代表的アルゴリズム：AES、DES（現在は非推奨）

公開鍵暗号（非対称鍵暗号）

公開鍵（誰でも知ってよい）で暗号化し、秘密鍵（本人だけが持つ）で復号する方式。

長所：鍵配送問題を解決。なりすまし防止

短所：処理が遅い、大量データに不向き

代表的アルゴリズム：RSA、楕円曲線暗号（ECC）

ハイブリッド暗号方式

実際のHTTPS（SSL/TLS）で使われる方式。両者の長所を組み合わせます。

セッション鍵（共通鍵）をランダムに生成
セッション鍵を公開鍵暗号で安全に送付（鍵配送問題を解決）
実際のデータ通信は共通鍵暗号で高速に処理

比較項目	共通鍵暗号	公開鍵暗号
処理速度	高速	低速（数十〜数百倍遅い）
鍵の管理	n人で n(n-1)/2 本必要	n人で 2n 本（公開鍵・秘密鍵）
鍵の配送	問題あり（安全な経路が必要）	問題なし（公開鍵は公開可）
主な用途	大量データの暗号化	鍵交換・デジタル署名

デジタル署名の仕組みと用途

デジタル署名は「本人確認」と「改ざん検知」を同時に実現する

公開鍵暗号を「逆向き」に使うのがデジタル署名です。通常の暗号化とは逆に、秘密鍵で署名し、公開鍵で検証します。

デジタル署名の手順

送信者がメッセージをハッシュ関数でダイジェスト（要約）に変換
ダイジェストを送信者の秘密鍵で暗号化→これが「デジタル署名」
メッセージ＋デジタル署名を受信者に送付
受信者は送信者の公開鍵で署名を復号し、ダイジェストを取り出す
受信したメッセージから同じハッシュ関数でダイジェストを計算
2つのダイジェストが一致 → 本人性と完全性が確認できる

確認できること	理由
送信者の本人性（なりすまし防止）	秘密鍵は本人しか持っていないため
メッセージの完全性（改ざん検知）	改ざんされるとハッシュ値が変わるため
否認防止	秘密鍵での署名は本人のみ可能なため「送っていない」と言えない

PKIと電子証明書——公開鍵の信頼性を担保する仕組み

「この公開鍵は本当に本人のものか」という問題

公開鍵はインターネット上に公開されていますが、悪意ある第三者が偽の公開鍵を配布する可能性があります（中間者攻撃）。これを解決するのがPKI（公開鍵基盤）です。

用語	内容
CA（認証局）	公開鍵の正当性を保証する第三者機関。電子証明書を発行する
電子証明書（デジタル証明書）	「この公開鍵はこの組織・個人のものである」とCAが保証した文書
PKI（公開鍵基盤）	電子証明書の発行・管理・失効を行う仕組み全体
ルート証明書	信頼の起点となる最上位のCA証明書。OSやブラウザに事前インストール

マルウェアの種類と特徴

種類	特徴	感染経路
ウイルス	他のプログラムに寄生して自己複製。宿主ファイルが必要	感染ファイルの実行
ワーム	宿主なしで自己複製・拡散する。ネットワークを通じて自律的に感染拡大	ネットワーク脆弱性
トロイの木馬	有用なソフトを装って侵入。バックドアを開けたりデータを送信する	不正ソフトのインストール
スパイウェア	ユーザーの行動・情報を収集して外部に送信する	フリーソフトへの組み込み
ランサムウェア	ファイルを暗号化し、復号の対価として身代金を要求する	メール添付・不正サイト
ボット	遠隔操作可能な不正プログラム。スパム送信・DDoS攻撃に悪用される	脆弱性の悪用
ルートキット	管理者権限を取得し、自分の存在を隠蔽する	権限昇格攻撃

⚠️ ウイルスとワームの違いが頻出：ウイルスは「宿主ファイルが必要」、ワームは「宿主なしで自己複製・拡散する」という違いを確実に区別してください。

主な攻撃手法とその対策

攻撃手法	内容	主な対策
フィッシング	偽サイト・メールで認証情報を騙し取る	URLの確認・多要素認証
DoS/DDoS攻撃	大量リクエストでシステムを麻痺させる	ファイアウォール・IDS/IPS・CDN
SQLインジェクション	入力フォームに不正なSQL文を入力しDBを操作する	入力値のバリデーション・プリペアドステートメント
クロスサイトスクリプティング（XSS）	悪意あるスクリプトをWebページに埋め込みユーザーの情報を盗む	エスケープ処理・CSP
ブルートフォース攻撃	パスワードをすべて試す総当たり攻撃	アカウントロック・強力なパスワードポリシー
ソーシャルエンジニアリング	人間の心理を利用して認証情報を取得する	教育・訓練・本人確認の徹底
中間者攻撃（MITM）	通信を傍受・改ざんする	TLS/SSL・デジタル証明書

情報セキュリティ管理の枠組み——ISMS・ISMSとリスクマネジメント

ISMS（情報セキュリティマネジメントシステム）

組織的に情報セキュリティを管理するための仕組みの総称。

国際標準：ISO/IEC 27001
PDCAサイクルで継続的改善
情報資産のリスクアセスメントが中核
ISMS適合性評価制度（JIPDEC）による認証

リスクマネジメントの4対応

リスク回避：リスクの原因となる活動をやめる
リスク低減（軽減）：対策を施してリスクを小さくする
リスク移転（転嫁）：保険・外部委託でリスクを第三者に移す
リスク保有（受容）：許容できるリスクはそのまま受け入れる

よくある疑問——FAQ

Q1. 機密性・完全性・可用性（CIA）のうち、どれが最も重要ですか？

状況によって異なります。銀行の口座情報なら機密性、医療記録なら完全性、電力制御システムなら可用性が最優先されます。3つはトレードオフの関係にあることも多く（暗号化は機密性を高めるが可用性を下げる場合がある）、バランスの取れた管理が重要です。

Q2. 共通鍵暗号でn人が通信するとき、なぜ n(n-1)/2 本の鍵が必要なのですか？

共通鍵暗号では1対1の通信ごとに専用の鍵が必要です。n人の中の2人の組み合わせ数はnC2 = n(n-1)/2通りです。例えば10人なら45本の鍵が必要になり、人数が増えるほど鍵管理が複雑になります。一方、公開鍵暗号では1人が公開鍵・秘密鍵のペアを1組持つだけでよいので、n人で2n本で済みます。

Q3. デジタル署名でなぜ「秘密鍵で暗号化」するのですか？通常の暗号化と逆では？

通常の暗号化は「公開鍵で暗号化→秘密鍵で復号」ですが、デジタル署名は逆の「秘密鍵で署名→公開鍵で検証」です。目的が違うからです。通常の暗号化は「本人だけが読める」ことが目的、デジタル署名は「本人だけが作れる（でも誰でも確認できる）」ことが目的です。秘密鍵は本人しか持っていないので、秘密鍵で作られた署名は本人のものと確認できます。

Q4. ウイルスとマルウェアはどう違いますか？

マルウェアはウイルス・ワーム・トロイの木馬・ランサムウェアなどを含む悪意あるソフトウェアの総称です。ウイルスはマルウェアの一種で「他のプログラムに寄生して自己複製する」ものを指します。つまりウイルスはマルウェアに含まれます（マルウェア⊃ウイルス）。

Q5. RBACがDACより優れている点は何ですか？

DACはデータ所有者が個別に権限を設定するため、組織が大きくなると管理が複雑になります。RBACは「役割（ロール）」に権限を割り当て、ユーザーにロールを付与する2段階構造なので、人事異動があっても役割の付け替えだけで対応でき、管理効率が大幅に向上します。特に従業員数が多い企業でのアクセス管理に適しています。

Q6. ハッシュ関数とはどのようなものですか？暗号化と何が違いますか？

ハッシュ関数は任意の長さのデータを固定長の値（ハッシュ値・ダイジェスト）に変換する一方向関数です。暗号化が「鍵を使って復号できる変換」であるのに対し、ハッシュは「元に戻せない（一方向の）変換」です。同じ入力からは常に同じハッシュ値が生成されるため、データの改ざん検知に使われます（デジタル署名・パスワード保存など）。

試験対策——情報セキュリティの頻出ポイント

試験直前チェックリスト

論点	キーポイント
CIA 3要素	機密性・完全性・可用性の定義と脅威・対策
認証の3要素	知識・所持・生体（多要素認証は異なる要素を2つ以上）
アクセス制御モデル	MAC（システム）、DAC（所有者）、RBAC（ロール）の決定者の違い
共通鍵暗号 vs 公開鍵暗号	速度・鍵管理・用途の違い／ハイブリッド方式の仕組み
デジタル署名	秘密鍵で署名・公開鍵で検証。本人性・完全性・否認防止
ウイルス vs ワーム	ウイルスは宿主必要・ワームは宿主不要で自律拡散
ISMS	ISO/IEC 27001・PDCAサイクル・リスクアセスメント