情報セキュリティ管理と対策

ITパスポート 無料テキスト 単元38／第10章　情報セキュリティ／テクノロジ系／重要度 ★★★★★／出題箇所 テクノロジ系／読む目安 55分　登録不要で読めます

CIAとISMS

組織が保有する情報資産を脅威から守り、安全に活用できる状態を維持する取り組みが情報セキュリティです。その目的を明確にする3つの基本要素がCIAで、許可された人だけが情報にアクセスできる機密性(Confidentiality)、内容が改ざんされず正確な状態に保たれている完全性(Integrity)、必要なときに問題なく利用できる可用性(Availability)を指します。機密性は誰にも開けられない金庫、完全性は書き換えを見抜くハンコ、可用性はいつでも使える24時間営業の店だとイメージすると区別しやすくなります。

このほか、本人が間違いなく本人であることを示す真正性、誰が何をしたかを追跡できる責任追跡性、後から「やっていない」と言わせない否認防止、システムが意図した通りに動作し続ける信頼性も、情報セキュリティが備えるべき要素として挙げられます。CIAの3要素に比べると出題頻度は下がりますが、意味だけは一言で言えるようにしておきましょう。

これらの要素を組織全体で継続的に維持・改善する仕組みがISMS(情報セキュリティマネジメントシステム)です。組織としての基本方針である情報セキュリティポリシーを定めたうえで、方針を決めて(Plan)、対策を実施し(Do)、実施状況を確認し(Check)、問題があれば改善する(Act)というPDCAサイクルを繰り返すことで、情報セキュリティの水準を継続的に高めていきます。この継続的な改善の姿勢がISMSの中心的な考え方です。

国際規格であるISO/IEC 27001に基づいて第三者機関の審査を受け、適切な体制が整っていると認められた組織は認証を取得できます。認証の取得は、取引先や顧客に対して自社のセキュリティ管理体制の信頼性を示す手段としても活用されています。情報セキュリティに関する事故やその兆候は情報セキュリティインシデントと呼ばれ、発生時の連絡経路や対応手順を関係者と共有するリスクコミュニケーションの体制を整えておくことも欠かせません。

リスクアセスメントとリスク対応

組織が保有する情報資産にどのような脅威が存在し、どの程度の被害につながる可能性があるかを分析・評価する一連のプロセスをリスクアセスメントと呼びます。情報資産を洗い出すリスク特定、脅威や脆弱性を分析するリスク分析、発生の可能性や影響の大きさから優先順位を決めるリスク評価という流れで進めます。

評価の結果、リスクへの対応は主に4つに整理されます。原因となる活動自体をやめるリスク回避、対策を講じて発生確率や被害の大きさを小さくするリスク低減、保険への加入などによって損失を第三者に移すリスク移転(リスク共有)、対策コストと想定される被害を比較したうえで、あえて対策をとらずそのまま受け入れるリスク保有の4つです。一言でいえば、回避は「やめる」、低減は「小さくする」、移転は「他人に肩代わりしてもらう」、保有は「受け入れる」対応です。すべてのリスクをゼロにすることは現実的に難しいため、リスクの大きさと対策コストのバランスを見ながら優先順位をつけることが重要です。

こうしたリスク対応の判断基準や手順をあらかじめ明文化したものが情報セキュリティポリシーです。組織の基本方針を示す基本方針、具体的な遵守事項を定める対策基準、日々の手順を示す実施手順という階層構造で整備されることが一般的です。方針だけを決めて終わりにせず、現場の実施手順まで落とし込むことで、実際に機能するリスク対応になります。

また、実際に事故が発生した際に慌てず対応できるよう、対応マニュアルの整備や、従業員への教育・訓練をあらかじめ準備しておくことも、リスクマネジメントの重要な一部です。とりわけ個人情報を扱う組織では、漏えい時の安全管理措置や、プライバシーマーク制度のような第三者認証の取得も、リスク低減の具体策として広く行われています。中小企業向けには、経済産業省やIPAが示すサイバーセキュリティ経営ガイドラインや中小企業の情報セキュリティ対策ガイドラインもあり、規模に応じた取り組みの目安として活用されています。

情報セキュリティ対策と組織・機関

情報セキュリティ対策は、対象によって3つに分類されます。教育や訓練で意識を高める人的セキュリティ対策、システムや機器で防御する技術的セキュリティ対策、入退室管理などで守る物理的セキュリティ対策です。

人的対策では、標的型メールを見分ける訓練などの情報セキュリティ啓発・訓練、利用者ごとに権限を絞るアクセス権の設定が代表的です。物理的対策では、監視カメラ、施錠管理、社員証で入退室を記録する入退室管理、離席時に画面や机の上に情報を残さないクリアデスク・クリアスクリーンなどがあります。

技術的対策には多くの仕組みがあります。ネットワークの出入口で不正な通信を遮断するファイアウォール、社内ネットワークとインターネットの間に置く緩衝地帯であるDMZ(非武装地帯)、不正な通信を検知して知らせるIDS(侵入検知システム)、検知に加えて自動的に遮断まで行うIPS(侵入防止システム)があります。IDSとIPSの違いは、検知だけで終わるか、遮断まで行うかという対応範囲の広さです。このほか、端末の操作を監視し侵入後の被害拡大を防ぐEDR、重要な情報の持ち出しを検知するDLP、様々な機器のログを集めて異常を分析するSIEM、外部との通信を暗号化するVPN、スマートフォンなどを一元管理するMDMもよく使われます。

組織的な対応の要となるのが、社内でセキュリティ事故に対応するCSIRTと、24時間体制で監視・分析を行うSOC(Security Operation Center)です。国レベルでは、IPAが不正アクセスやウイルスの届出を受け付けているほか、政府情報システムの安全性を評価するISMAP、業界横断で脅威情報を共有するJ-CSIPなどの制度も整備されています。中小企業でも取り組みやすいよう、IPAが定める自己宣言の仕組みであるSECURITY ACTIONも用意されています。

このほか、ランサムウェア対策としては、バックアップを複数の媒体・世代・保管場所に分けて保持する3-2-1ルールや、一度書き込んだデータを書き換えられないようにするWORM(Write Once Read Many)機能を活用したイミュータブルバックアップも有効です。ソフトウェアの脆弱性に関する情報は、公表前に関係者間で共有する届出制度が整えられており、修正プログラム(パッチ)が公開され次第すみやかに適用する運用が、被害の予防につながります。

暗号化技術と認証技術

通信内容を第三者に読み取られないようにする技術が暗号化で、元に戻すことを復号と呼びます。共通鍵暗号方式は暗号化と復号に同じ鍵を使う方式で、処理速度が速い一方、通信相手ごとに鍵を安全に受け渡す必要があります。公開鍵暗号方式は、暗号化に使う公開鍵と復号に使う秘密鍵という異なる2つの鍵を使います。公開鍵は誰にでも配れる南京錠、秘密鍵は自分だけが持つ本物の鍵とイメージすると分かりやすく、鍵をかける(暗号化する)のは誰でもできますが、開けられる(復号できる)のは秘密鍵を持つ本人だけです。共通鍵暗号方式は「鍵は1つ」、公開鍵暗号方式は「鍵は2つで役割が別」というのが両者の違いです。両方の長所を組み合わせたハイブリッド暗号方式もよく使われます。

公開鍵暗号方式を応用したのがデジタル署名です。送信者は自分の秘密鍵で署名し(署名鍵)、受信者は送信者の公開鍵で確認します(検証鍵)。暗号化とデジタル署名は鍵の使い方が逆になる点に注意してください。暗号化は「相手の公開鍵で鍵をかけ、相手の秘密鍵で開ける」のに対し、デジタル署名は「自分の秘密鍵で署名し、相手が自分の公開鍵で確認する」向きです。これにより、なりすましの防止と改ざんの検知の両方ができます。公開鍵が本人のものであることを証明する認証局(CA)がデジタル証明書を発行する仕組みをPKI(公開鍵基盤)と呼び、信頼のよりどころとなる大元の存在をトラストアンカー(信頼の基点)といいます。

本人確認を行う認証の要素には、パスワードのように本人だけが知っている知識情報、ICカードのように本人だけが持っている所持情報、指紋や顔のような生体情報の3種類があり、異なる種類を2つ以上組み合わせる方法が多要素認証です。同じ種類を2段階に分けて聞くだけの多段階認証とは区別されます。

利用者認証には様々な技術があります。1回限り使える使い捨てのパスワードであるワンタイムパスワード、パスワードを使わずICカードや生体情報だけで認証するパスワードレス認証、普段と異なる場所やデバイスからのアクセス時に追加確認を求めるリスクベース認証、一度の認証で複数のシステムを利用できるシングルサインオンなどが挙げられます。クレジットカードのオンライン決済で、カード番号に加えてパスワードや生体認証で本人確認を行うEMV 3-Dセキュア(3Dセキュア2.0)は、なりすましによる不正利用を防ぐ仕組みとして広がっています。

指紋認証や顔認証などの生体認証(バイオメトリクス認証)は、身体的特徴を利用するため忘れたり他人に教えたりする心配が少ない一方、体調やケガの影響で認証に失敗することもあります。精度を示す指標として、本人なのに拒否してしまう割合を本人拒否率(FRR)、他人なのに誤って通してしまう割合を他人受入率(FAR)と呼び、両者はトレードオフの関係にあります。

アカウント管理と権限の運用

情報セキュリティの事故は、外から破られるより、内側の権限が緩いまま放置されて起きるほうが多いのが実情です。ここでは、誰にどこまで許すかを決めて運用する話を整理します。

まず言葉を分けます。認証は「この人が本人かどうか」を確かめることで、認可は「本人だと分かったうえで、どこまで触ってよいかを許すこと」です。ログインできることと、人事データを見てよいことは別の話で、この2つを混ぜて考えると権限設計が雑になります。

権限の与え方の原則が最小権限の原則です。仕事に必要な範囲だけを与え、それ以外は与えません。「念のため広めに」と与えた権限は、その人が退職しても異動しても誰も気づかず、事故が起きたときの被害範囲だけを広げます。同じ考え方は業務側では職務分掌と呼ばれ、内部統制の柱にもなっています。

特に扱いが重いのが、システムの設定を変えられる特権ID(管理者アカウント)です。特権IDは人数を絞り、共有せず、使った記録を残すのが基本です。全員が同じ管理者アカウントを使い回していると、何かあったときに誰の操作か分からなくなり、責任追跡性が失われます。

そして忘れられがちなのがアカウントの棚卸しです。退職者や異動者のアカウントを定期的に確認して、不要なものを止めます。退職者のIDが有効なまま残っていると、辞めた人が社内データにアクセスでき、しかもそのアクセスは形式上「正規の利用者」として記録されるため、不正だと気づくのが遅れます。

利用者側の運用では、パスワードの使い回しをやめることが最大の対策です。どこか1つのサービスから漏れたIDとパスワードの組を、他のサービスで順に試す攻撃をパスワードリスト攻撃と呼びます。使い回しをしていなければ、この攻撃は成立しません。覚えきれない場合はパスワード管理ソフトを使い、サービスごとに違う文字列を持たせます。近年は「定期的に全員へ強制変更させる」運用は推奨されず、使い回しをやめることと多要素認証を組み合わせるほうが有効とされています。

このほか、規定回数を間違えたら一時的に使えなくするアカウントロック、機械による自動入力を弾くCAPTCHAも、総当たり攻撃への基本的な備えです。

脆弱性管理とマルウェア対策

攻撃の多くは、ソフトウェアの弱点を突いて入ってきます。その弱点が脆弱性で、設計や実装の不備によって生まれた「攻撃に使える穴」を指します。脆弱性は次々に見つかるものなので、無くすのではなく、見つかったものを速やかに塞ぐ体制を作ることが対策になります。

見つかった脆弱性には世界共通の番号が振られます。これがCVEで、同じ穴を各社が別々の呼び名で話すことを防ぎます。さらに、その穴がどれくらい危ないかを数値で表す共通の物差しがCVSSです。0.0から10.0までのスコアで深刻度を示し、数字が大きいほど危険です。手元のシステムに関わる情報は、日本ではJVNという脆弱性対策情報のデータベースで確認できます。

塞ぐ手段が、開発元から配布される修正プログラム、いわゆるセキュリティパッチです。パッチを当てるまでの間は穴が開いたままなので、適用は早いほど安全になります。そして、修正プログラムがまだ出ていない段階で、その脆弱性を突いて行われる攻撃をゼロデイ攻撃と呼びます。守る側に猶予日数がゼロ、という意味です。

もう一つ見落とされやすいのが、サポート期間の終了です。開発元のサポートが終わった機器やソフトウェアには、新しい脆弱性が見つかってもパッチが出ません。動いているから使い続ける、という判断が、そのまま塞げない穴を抱え続ける選択になります。

マルウェアへの備えでは、ウイルス対策ソフトの仕組みを知っておくと使い分けが分かります。既知のマルウェアの特徴を集めたパターンファイル(定義ファイル)と照合して見つける方式が基本で、これは知られているものには強い一方、まだ登録されていない新しいマルウェアやゼロデイ攻撃には無力です。そこを補うのが、プログラムの動きが怪しいかどうかで判断するふるまい検知や、隔離された仮想環境で実際に動かして安全性を確かめるサンドボックスです。パターンファイルは最新の状態に保つことが前提になります。

組織のネットワークに持ち込まれる端末には、検疫ネットワークという考え方があります。社内ネットワークにつなぐ前に別の区画へ入れ、ウイルス対策ソフトの状態や修正プログラムの適用状況を確認し、条件を満たした端末だけを本来のネットワークに通します。

インシデント対応とデジタルフォレンジックス

どれだけ備えても事故は起きます。そこで問われるのが、起きたあとの動き方です。情報セキュリティインシデントが起きたときの流れは、検知と報告、初動での封じ込め、原因の調査、復旧、再発防止策の実施、という順で進みます。この流れをあらかじめ決めておき、社内の窓口としてCSIRTを置くのが一般的な形です。

初動で最も大事なのは、被害を広げないことです。マルウェア感染が疑われる端末は、まずネットワークから切り離します。社内の他の端末やサーバへ感染が広がるのを止めるためで、LANケーブルを抜く、無線を切る、といった対応が該当します。

ここで注意したいのが、電源についてです。慌てて電源を落とすと、メモリ上にしか残っていない情報が消え、あとから何が起きたのかを追えなくなります。原則は、ネットワークからは切り離すが、勝手に電源を落としたり初期化したりせず、担当部門の指示を仰ぐことです。

事故のあと、何が起きたのかを機器に残った記録から明らかにする作業をデジタルフォレンジックスと呼びます。フォレンジックスは「法科学」を意味する言葉で、ログ、通信記録、ディスクの内容などを、改ざんされていないことを保てる形で集めて調べます。この「あとから証拠として使える状態で保存すること」を証拠保全といい、対象の端末を通常どおり使い続けてしまうと、記録が上書きされて成立しなくなります。

法律で定められた対応もあります。個人データの漏えいが起きた場合、個人情報取扱事業者は個人情報保護委員会への報告と、本人への通知を行う義務があります。社内で収めてよい話ではない、という点が実務では重要です。

最後に、事故のあとで元の業務をどう戻すかは、事業継続計画(BCP)の領域とつながります。システムを復旧させる手順、代替手段で業務を回す方法、どこまで戻れば復旧といえるのかを決めておくことで、インシデント対応は「止める」だけでなく「戻す」ところまで一続きになります。

境界の外側を守る考え方（ゼロトラストとテレワーク）

ここまでの対策は、社内と社外の間に境界を引き、そこを固める考え方が土台にありました。社内は安全、社外は危険という前提です。この前提が崩れたのが、クラウド利用とテレワークの広がりです。データは社外のサービスに置かれ、社員は社外から接続します。守るべきものが境界の内側に収まらなくなりました。

そこで出てきたのがゼロトラストという考え方です。「社内だから信用する」をやめ、どこからの通信であっても、その都度、利用者と端末を確認してから許す、という立場を取ります。境界を作らないという意味ではなく、境界の内側を無条件に信用しない、という意味です。実際の運用では、多要素認証、端末の状態確認、最小権限、通信やアクセスの記録といった、これまで見てきた対策を組み合わせて成り立ちます。

一方で、境界を固める考え方が無くなったわけではありません。入口を破られても次で止まるように、対策を何段にも重ねることを多層防御といいます。ファイアウォールだけ、ウイルス対策ソフトだけ、と1つに頼らないという発想です。ゼロトラストと多層防御は対立するものではなく、どちらも「1か所が破られても終わりにしない」ための工夫です。

クラウドサービスを使うときに押さえたいのが、責任共有モデルです。設備やサーバの安全確保はサービス提供者が担い、利用者側の設定、権限の与え方、預けるデータの管理は利用者が担います。クラウドに置いたから安全、ではなく、公開設定の誤りによる情報漏えいは利用者側の責任範囲で起こります。

働き方に関わる論点も2つあります。会社が把握しないまま業務に使われるサービスや機器をシャドーITといい、管理の外にあるため事故が起きても気づけません。これに対し、私物端末を会社が認めた条件のもとで業務利用することをBYODと呼びます。BYODは、認めるかどうかではなく、認めるなら何を条件にするか、業務データをどう分離するかを決めることが対策になります。

テレワークでは、通信を暗号化するVPNの利用、のぞき見を防ぐ画面の管理、公衆無線LANの扱い、端末を紛失したときに遠隔で消去できる仕組みなど、持ち出すことを前提にした備えが必要になります。

委託先とサプライチェーンの管理

自社の対策をどれだけ固めても、業務を任せた相手が緩ければ、そこから情報は漏れます。実際の大きな漏えい事故の多くは、委託先や取引先が起点です。守る範囲は自社の中だけでは終わらない、というのがここでの要点です。

まず押さえるのが、委託しても責任は移らないという考え方です。個人データの取扱いを外部に任せた場合、委託した側には委託先の監督義務があります。任せたのだから相手の責任、とはなりません。監督とは、任せる相手を選ぶ段階での確認、契約での取り決め、そして任せたあとの状況確認までを含みます。

契約では、秘密保持契約(NDA)を結び、何を秘密として扱うか、どこまで使ってよいか、終わったあとにデータをどうするかを決めます。あわせて確認したいのが再委託です。任せた相手がさらに別の会社へ回している場合、こちらの目の届かない先にデータが渡ります。再委託を認めるかどうか、認めるなら事前の承諾を必要とするか、同じ条件を守らせるかを契約で決めておきます。

任せる前の確認では、相手の情報セキュリティの取り組み状況を見ます。ISMS(ISO/IEC 27001)などの第三者認証を取得しているか、作業場所や持ち出しの扱いはどうか、といった点です。任せたあとも、報告を受ける、必要に応じて監査するなど、状況を確かめ続けることが監督にあたります。

こうした「取引先を経由して被害が及ぶ」危険をサプライチェーンリスクと呼びます。攻撃する側から見れば、対策の固い大企業を正面から狙うより、つながっている中小の取引先を踏み台にするほうが容易です。そのため、自社が守られているかだけでなく、自社が誰かの踏み台になっていないかも問われるようになりました。IPAが中小企業向けにSECURITY ACTIONの仕組みを用意しているのは、この鎖の弱い環を減らすためです。

なお、クラウドサービスの利用も、外部に業務とデータを預けるという意味では同じ構図です。提供者の対策状況、データの保存場所、契約終了時のデータの扱いを、使い始める前に確認しておきます。

鍵と証明書の管理、通信の暗号化

暗号化は、仕組みを知っているだけでは守れません。実際に事故が起きるのは、鍵や証明書の扱いが緩んだときです。ここでは運用の側を見ます。

共通鍵暗号方式には、鍵をどうやって相手に渡すか、という鍵の配送問題があります。鍵そのものを盗まれれば暗号の意味がなくなるのに、その鍵を送る経路も危険だからです。この問題を解くために、鍵の受け渡しには公開鍵暗号方式を使い、本文のやり取りは処理の速い共通鍵暗号方式で行う、という組み合わせが使われます。これがハイブリッド暗号方式で、両方式の弱点を互いに補う形になっています。

暗号の強さは、鍵の長さである鍵長にも左右されます。計算機の性能が上がると、かつて安全とされた鍵長でも現実的な時間で破れるようになります。この、時間の経過によって暗号や鍵の安全性が落ちることを危殆化といいます。暗号は一度決めたら終わりではなく、推奨される方式や鍵長へ入れ替え続ける必要がある、という点が実務上の要点です。

証明書にも運用があります。ウェブサイトの正当性を示すサーバ証明書には有効期限があり、切れたまま放置すると、利用者のブラウザに警告が出て利用されなくなります。また、秘密鍵が漏れた場合など、期限より前に証明書を無効にする必要が生じます。この手続きが失効で、失効した証明書の一覧を配布して、利用者側で確認できるようにします。信頼の出発点となるルート証明書は、あらかじめ端末やブラウザに組み込まれており、ここを起点に証明書の正しさをたどっていきます。

通信そのものの保護では、TLSが使われます。ウェブの通信をTLSで保護したものがHTTPSで、内容の暗号化に加え、接続先が本物かどうかの確認も行います。サイト全体をHTTPSで提供することを常時SSLと呼び、いまはこちらが標準です。入力欄のあるページだけを保護する形では、閲覧内容そのものが読み取られてしまうためです。

社外から接続する場面では、公衆無線LANの扱いに注意します。提供元の分からないアクセスポイントには接続しない、業務で使う場合はVPNを併用する、といった備えが必要です。無線LANの暗号化方式では、古いWEPは安全ではなく、WPA2以降、可能であればWPA3を使います。

この単元の確認問題

答えを見る前に、まず自分の言葉で答えてみてください。言葉にできないところが、そのまま本試験で止まるところです。

「第10章　情報セキュリティ」の他の単元

• 単元37　情報セキュリティの脅威と攻撃

← 単元一覧へ