当サイトを訪れていただきありがとうございます、スマ☆ハピです！
「情報セキュリティって、言葉は聞いたことがあるけれど、何を覚えればいいの？」そんなふうに感じていませんか。
ITパスポートでは、情報セキュリティに関する問題が出題されます。
しかも、ただ用語を暗記するだけでは、少しひねった問題で迷ってしまいます。
そこでこの記事では、情報セキュリティの基本から、脅威、脆弱性、マルウェア、フィッシング、認証、暗号などをやさしく説明します。
身近な例を使いながら、「なぜその答えになるのか」まで理解できるようにまとめました。
試験前に覚えておきたいポイントも整理しています。
この記事を読み終えるころには、バラバラだったセキュリティ用語が、ひとつの大きな地図として見えてくるはずです。
情報セキュリティとは？まず基本を理解しよう
情報セキュリティの目的は「情報を守ること」
情報セキュリティとは、簡単にいうと情報を安全に守ることです。
会社には、たくさんの大切な情報があります。
たとえば、
顧客の名前や住所
商品の価格
売上データ
社員の情報
新商品の設計情報
パスワード
などです。
これらの情報が外へ漏れると、大きな問題になります。
そこで、情報を守るためにさまざまな対策を行います。
試験で重要な「機密性・完全性・可用性」
情報セキュリティでは、特に重要なのが次の3つです。
| 用語 | 意味 | 身近な例 |
|---|---|---|
| 機密性 | 許可された人だけが見られる | パスワード |
| 完全性 | 情報が正しく保たれる | 売上データを勝手に変更させない |
| 可用性 | 必要なときに使える | システムを止めない |
この3つは、CIAと呼ばれることがあります。
覚え方は、
機密性＝見せない
完全性＝変えさせない
可用性＝使える
です。
ここは試験でも狙われやすいポイントです。
身近な例で3つを理解する
たとえば、銀行の口座情報を考えてみましょう。
知らない人に口座情報を見られたら困ります。
これは機密性の問題です。
残高を勝手に書き換えられたら困ります。
これは完全性の問題です。
必要なときに銀行のサービスが使えなかったら困ります。
これは可用性の問題です。
この3つをイメージできれば、暗記だけに頼らず問題を解けます。
脅威と脆弱性の違いを理解しよう
脅威とは「危険を起こすもの」
脅威とは、情報やシステムに被害を与える可能性があるものです。
たとえば、
ウイルス
不正アクセス
フィッシング
内部不正
自然災害
誤操作
などがあります。
「何が悪さをするのか？」
と考えると分かりやすいです。
脆弱性とは「弱点」のこと
脆弱性とは、システムなどに存在する弱点です。
たとえば、家の玄関に鍵がなかったとします。
泥棒は「脅威」です。
鍵がない状態は「脆弱性」です。
つまり、
脅威＝危険
脆弱性＝弱点
と覚えましょう。
脅威と脆弱性を組み合わせて考える
たとえば、会社のパソコンに古いソフトが入っているとします。
古いソフトにセキュリティ上の弱点があれば、攻撃に使われる可能性があります。
この場合、
脆弱性＝ソフトの弱点
脅威＝その弱点を狙う攻撃
と考えられます。
そのため、OSやソフトを最新の状態にすることが重要です。
これは脆弱性管理につながります。
マルウェア・ウイルス・ランサムウェアを覚えよう
マルウェアとは何か
マルウェアとは、悪意のあるソフトウェアの総称です。
代表的なものには、
コンピュータウイルス
ワーム
トロイの木馬
スパイウェア
ランサムウェア
などがあります。
ここで大切なのは、マルウェアという大きな箱の中に、さまざまな種類があると考えることです。
ランサムウェアは「身代金」を要求する
ランサムウェアは、データなどを使えない状態にして、元に戻すことと引き換えに金銭を要求する攻撃です。
たとえば、「このファイルを開けません」という状態にされます。
そして、「元に戻したければ金銭を払ってください」と要求されます。
この特徴を知っていれば、問題文を読んだときに判断しやすくなります。
ウイルスとワームの違い
ウイルスとワームは混同しやすい用語です。
ざっくり覚えるなら、
ウイルス＝他のファイルなどに寄生して広がる
ワーム＝単独でネットワークなどを使って広がる
というイメージです。
試験では細かな仕組みより、特徴を見分ける問題に注意しましょう。
フィッシング・なりすまし・ソーシャルエンジニアリング
フィッシングとは？
フィッシングは、本物そっくりのメールやWebサイトなどを使って情報を盗む手口です。
たとえば、「あなたのアカウントに問題があります」というメールが届いたとします。
メールにあるリンクを押すと、本物そっくりの偽サイトが表示されます。
そこでIDやパスワードを入力すると、攻撃者に情報を盗まれてしまいます。
これがフィッシングです。
ソーシャルエンジニアリングとは？
ソーシャルエンジニアリングは、人の心理や行動を利用して情報を盗む手口です。
たとえば、電話で、「システム担当です。本人確認のためパスワードを教えてください」と言われたとします。
相手を信用して教えてしまえば、情報が盗まれます。
つまり、技術ではなく、人をだまして情報を得るという点がポイントです。
フィッシングとの違い
| 用語 | ポイント |
| フィッシング | 偽メールや偽サイトなどで情報を盗む |
| なりすまし | 他人になったふりをする |
| ソーシャルエンジニアリング | 人の心理や行動を利用する |
| 不正アクセス | 権限のない人がシステムへ侵入する |
問題文の「何を使って攻撃しているのか」を見ることが大切です。
認証・暗号・セキュリティ対策を整理しよう
認証とは「あなたは誰？」を確認すること
認証とは、利用者が本人であることを確認することです。
代表例は、
パスワード
暗証番号
指紋
顔認証
ワンタイムパスワード
などです。
「誰なのかを確認する」と覚えましょう。
多要素認証とは？
多要素認証は、異なる種類の要素を組み合わせて本人確認をする方法です。
代表的な認証要素には、
| 要素 | 例 |
| 知識情報 | パスワード |
| 所持情報 | スマートフォン |
| 生体情報 | 指紋・顔 |
があります。
たとえば、「パスワードを入力する」だけではなく、
「スマートフォンに届いた確認コードを入力する」方法があります。
これが多要素認証の考え方です。
暗号化とは？
暗号化とは、データを第三者に読みにくい形へ変換することです。
たとえば、大切な手紙をそのまま送るのではなく、暗号に変えて送るイメージです。
受け取った人は、正しい方法を使って元の情報へ戻します。
これを復号といいます。
覚え方は、
暗号化＝読めなくする
復号＝元に戻す
です。
デジタル署名とは？
デジタル署名は、電子データについて、
- 誰が作ったのか
- 内容が改ざんされていないか
などを確認するために使われます。
ここで注意したいのが、暗号化とデジタル署名は同じではないことです。
暗号化は「読まれないようにする」ことが中心です。
デジタル署名は「本人が作ったことや改ざんされていないことを確認する」ことが中心です。
ITパスポートで狙われる情報セキュリティ問題
過去問形式で確認してみよう
問題
ある企業では、従業員が使用するパソコンについて、OSやソフトウェアを常に最新の状態に保つ対策を行っています。
この対策の主な目的として、最も適切なものはどれでしょうか。
A．脆弱性を悪用されるリスクを減らす
B．すべての通信を暗号化する
C．利用者の本人確認を行う
D．情報をバックアップする
正解
A．脆弱性を悪用されるリスクを減らす
なぜAが正解なの？
OSやソフトウェアを更新すると、セキュリティ上の弱点が修正されることがあります。
つまり、
更新する
↓
弱点を減らす
↓
攻撃されるリスクを下げる
という流れです。
そのため、Aが正解になります。
ほかの選択肢が違う理由
Bの暗号化は、通信やデータを第三者に読まれにくくするための対策です。
Cの本人確認は、認証に関する内容です。
Dのバックアップは、データが失われたときに復旧できるようにする対策です。
どれも重要なセキュリティ対策ですが、問題文の「OSやソフトウェアを最新にする」という内容とは一致しません。
試験直前に覚えたい重要キーワード
最後に、ここだけは押さえておきましょう。
| キーワード | 覚えるポイント |
| 機密性 | 見せない |
| 完全性 | 正しく保つ |
| 可用性 | 必要なとき使える |
| 脅威 | 危険 |
| 脆弱性 | 弱点 |
| マルウェア | 悪意のあるソフトウェア |
| ランサムウェア | データなどを使えなくして身代金を要求 |
| フィッシング | 偽メールや偽サイトで情報を盗む |
| 認証 | 本人か確認する |
| 多要素認証 | 異なる要素を組み合わせる |
| 暗号化 | 読めない形にする |
| 復号 | 元に戻す |
| デジタル署名 | 本人性や改ざんを確認 |
| 脆弱性管理 | 弱点を見つけて対処する |
Q &A
Q．セキュリティは全部暗記すればいい？
いいえ。
用語だけでなく、その言葉が何を守るためのものなのかを理解しましょう。
「これは何を防ぐ？」と考えると、問題を解きやすくなります。
Q．フィッシングとウイルスは同じ？
違います。
フィッシングは、人をだまして情報を盗む手口です。
ウイルスは、マルウェアの一種です。
Q．パスワードを複雑にすれば安全？
複雑なパスワードは重要ですが、それだけで十分とは限りません。
多要素認証やソフトウェア更新など、複数の対策を組み合わせることが大切です。
まとめ｜情報セキュリティは「何を守るか」で考えよう
情報セキュリティは、用語を丸暗記すると混乱しやすい分野です。
まずは、それぞれの役割を理解しましょう。
- 機密性＝見せない
- 完全性＝正しく保つ
- 可用性＝必要なとき使える
- 脅威＝危険
- 脆弱性＝弱点
- マルウェア＝悪意のあるソフトウェア
- フィッシング＝偽サイトなどで情報を盗む
- 認証＝本人確認
- 暗号化＝読めない形にする
- 復号＝元に戻す
- デジタル署名＝本人性や改ざんを確認
ITパスポートでは、単語だけを聞かれるとは限りません。
「この状況では、どの用語が当てはまる？」という形で考える力が大切です。
試験前は、用語を見たら意味を言えるようにしておきましょう。
そして、問題文を読んだら、
「何が起きているのか？」
「何を守ろうとしているのか？」を考えてください。
この2つを意識するだけでも、セキュリティ問題はかなり解きやすくなりますよ。
最後までお読みいただき、ありがとうございます！
これからも一緒に成長し、共に学んでいきましょうね！
次回もお楽しみに！
