◎情報セキュリティの目標
●機密性(Confidentiality)
情報システムは、権限のあるものが定められた方法に従ってアクセスする場合のみ
利用・開示されること。
●可用性(Availability)
権限のあるものが定められた方法で、情報システムに適時にアクセスできること。
●完全性(Integrity)
情報システムが正確かつ安全であり、その正確性、完全性が適切に維持されているこ
と。
◎脅威、脆弱性、攻撃手法
●コンピュータウィルスの種類
他人のコンピュータに勝手に入り込んで悪さをするプログラム。画面表示をでたらめ
にしたり、無意味な単語を表示したり、ディスクに保存されているファイルを破壊し
たりする。自動実行はせず、パソコン内に入り込んだ後でも駆除が可能。
○マクロウィルス
文書ファイルに感染するマクロ言語で書かれたウィルス。
○ワーム
自分自身をコピーして増殖する単独プログラム。
●コンピュータウィルスの対策
○コンピュータワクチン
コンピュータウィルスを発見・駆除するソフトウェア。すでに発見されたウィルス
パターンを登録したデータベース（パターンファイル）を用意し、ディスクやメモ
リをパターンと比較しながらコンピュータウィルスを検出する。
○ビヘイビア法
ウィルスを実際に動作させてその振る舞いからウィルスかどうか判断する手法。
●コンピュータ犯罪
○トロイの木馬
運用中のプログラムを改変し、特定の条件のときだけ実行される不正処理を隠して
おく手口。 ▲▲▲▲▲▲▲▲▲▲
○サラミ法
多数の資源からわずかずつ資産を奪取する。
○スキャビニング（ごみ箱あさり）
処理実行後の用済みの情報を奪取する。
○盗聴
音声だけでなくコンピュータデータの伝送中の通信回線に不正アクセスして相手に
知られないようにデータを奪取する。
○スパイウェア
パソコンにあるユーザ情報などを収集して回線経由で転送する仕組みを具備したソ
フトウェア。
○ソーシャルエンジニアリング
ネットワーク管理者から聞き出したり盗み見たりして重要情報を入手すること。
○ＳＱＬインジェクション
アプリケーションのセキュリティ上の不備を意図的に利用し、アプリケーションが
想定しないＳＱＬ文を実行させることにより、データベースシステムを不正に操作
する攻撃方法のこと。
○クロスサイトスクリプティング
動的にＷｅｂページを生成するアプリケーションのセキュリティ上の不備を意図的
に利用し、サイト間を横断して悪意のあるスクリプトを混入させること。
○ＤｏＳ攻撃
サーバなどのネットワークを構成する機器に対して攻撃を行い、サービスの提供を
不能な状態にすることである。
○フィッシング
金融機関などからの正規のメールやＷｅｂサイトを装い、暗証番号やクレジットカ
ード番号などを詐取する詐欺。
○標的型攻撃
「特定の情報」を狙って行われるサイバー攻撃の一種。
●コンピュータウィルス検出方法（高機能順）
○ファイルの内容を１バイトずつ比較
○ファイル内容の加算結果やサイズを記録しておき、変更が加えられていないか確認
○あらかじめ用意したウィルスのコードパターンと一致したところがあるか確認
◎暗号化技術
情報を一定の規則で組替えて第三者が利用できないようにすること。
メッセージが途中で失われることは防止できない。
盗聴を防止する。
▲▲
●秘密かぎ暗号方式（共通かぎ暗号方式）
送信者側と受信者側が暗号化かぎと複合化かぎを共有し、秘密にする方法。
例）ＤＥＳ(Data Encryption Standard)
Ｎ人での通信の場合、各人のかぎの個数はＮ－１個。
全体ではＮ（Ｎ－１）／２個必要。かぎは64bit(1/8はパリティビット)。
発信者 受信者
│発信者の │受信者の
│秘密かぎ │秘密かぎ
│ │
┌───┐ ↓ ┌───┐ 転送 ┌───┐ ↓ ┌───┐
│データ├──→│暗号化├───→│暗号化├──→│データ│
│ │暗号化│データ│ │データ│復号化│ │
└───┘ └───┘ └───┘ └───┘
●公開かぎ暗号方式
暗号化（または複合化）のかぎを公開し、もう一方を秘密に保つ方式。
秘密かぎ方式に比べかぎのサイズを大きくする必要があり処理時間がかかる。
例）ＲＳＡ(Rivest Shamir Adleman Scheme)
大きい整数の素因数分解には手間がかかるという性質を利用。
かぎは1024bit。下図は暗号化モード。
▲▲▲▲▲▲
発信者 受信者
│受信者の │受信者の
│公開かぎ │秘密かぎ
│ │
┌───┐ ↓ ┌───┐ 転送 ┌───┐ ↓ ┌───┐
│データ├──→│暗号化├───→│暗号化├──→│データ│
│ │暗号化│データ│ │データ│復号化│ │
└───┘ └───┘ └───┘ └───┘
●ハイブリッド方式
共通かぎ暗号方式で平文を暗号化するとともに、その暗号化に用いたかぎを公開か
ぎ方式で暗号化し、両方を通信相手に送信する方式。
処理時間がかかるという公開かぎ方式の欠点と、共通かぎ方式の欠点であるかぎ配
布の問題を同時に解決して、情報を高速に暗号化することができる。
◎認証技術
間違いなく正当な利用者かどうかを確認すること。なりすましを防止する。
▲▲▲▲▲
●相手認証（本人確認）（ユーザ認証）
通信相手が正当であるかどうかを確認する技術。
○パスワード
システム管理者から与えられるユーザＩＤと、自己管理が必要なパスワードの
組み合わせによって認証が行われる。
○コールバック機能
受信者がいったんリスクを切断し、改めて発信者側を逆コールすることによって
認証が行われる。
●メッセージ認証
通信文やファイルに対して改ざんが行われたかどうかを検出する技術。通信におけ
る誤り検出符号に相当するメッセージ認証子（MAC:Message Athentication Code）
は、秘密かぎ暗号に基づくハッシュ関数で生成される。
●デジタル署名
メッセージダイジェスト（認証データ）を送信者しか知らない秘密かぎで暗号化
したもの。下図は認証モード。
▲▲▲▲▲
発信者が秘密かぎで暗号化し、受信者が相手の公開かぎで複合化する。公開かぎ
暗号方式を前提とした、文書の正当性を保証する技術。
発信した電子文書中に特定の発信者であることを示すデジタル署名を付加すること
によって、正当な受信者以外に電文の発信者がわからないようにする。
発信者 受信者
│ │
│自分の秘密かぎ │発信者の公開かぎ
│ │
┌───┐ ↓ ┌───┐ 転送 ┌───┐ ↓ ┌───┐
│データ├──→│暗号化├───→│暗号化├──→│データ│
│ │暗号化│データ│ │データ│復号化│ │
└───┘ └───┘ └───┘ └───┘
●認証局（ＣＡ：Certificate Authority）
ユーザの公開かぎの正当性を保証する証明書を発行する。
証明書フォーマットはＩＴＵ－ＴのＸ．５０９で規定されている。
※ＣＲＬ：証明書失効リスト
失効したデジタル証明書のリスト。認証局（ＣＡ）が管理する。
◎情報資産とリスクの概要
●リスクとは
ある脅威が資産の脆弱性を利用して損失、損害を与える可能性。
●リスクの種類
○投機リスク
新規事業、新製品開発、株式などによる損失
○純粋リスク
自然災害、人災などによる財産の損失
◎リスクの分析と評価
●リスク分析
○定量的手法
リスク評価損＝損失額×発生確立
○定性的手法
問題発生時の影響範囲、度合いを相対的数字で表す。
●リスク対策
リスクヘッジ：リスクに対する保険
○リスクコントロール（リスク損失の最小化）
・損失予防
・損失軽減
・リスク回避
・リスク分離
・リスク結合
・リスク移転：予想されるリスクをより少ないところへ移動・分散させる。
○リスクファイナンス（リスク管理のための資金調達）
・リスク保有
・リスク移転
◎情報セキュリティポリシ
企業などの組織における情報資産の情報セキュリティ対策について、総合的・体系的か
つ具体的にとりまとめたもの。
◎ＩＳＭＳ（Information Security Management System）
組織における情報セキュリティを管理するための仕組み。
●ＰＤＣＡサイクル
○Plan：情報セキュリティ対策の具体的計画・目標を策定する。
○Do：計画に基づいて対策の導入・運用を行う。
○Check：実施した結果の監視・見直しを行う。
○Act：経営陣による改善・処置を行う。
◎ISO/IEC15408（コモンクライテリア）
セキュリティ製品（ハード/ソフトウェア）およびシステムの開発や製造、 運用などに
関する国際標準。
◎JISEC（ITセキュリティ評価及び認証制度）
IT関連製品のセキュリティ機能の適切性･確実性を、セキュリティ評価基準の国際標準
であるISO/IEC 15408に基づいて第三者（評価機関）が評価し、その評価結果を認証機
関が認証する日本の制度。
◎JCMVP（暗号モジュール試験及び認証制度）
電子政府推奨暗号リスト等に記載されている暗号化機能、ハッシュ機能、署名機能等の
承認されたセキュリティ機能を実装したハードウェア、ソフトウェア等から構成される
暗号モジュールが、その内部に格納するセキュリティ機能並びに暗号鍵及びパスワード
等の重要情報を適切に保護していることを、第三者による試験及び認証を組織的に実施
することにより、暗号モジュールの利用者が、暗号モジュールのセキュリティ機能等に
関する正確で詳細な情報を把握できるようにするために設置されている。
◎不正アクセス対策
●アクセス管理、ログ管理
コンピュータシステムの資源を正当な利用者、プログラム、プロセスなどに限定して
アクセスさせ、それを管理すること。
○個人の知識
パスワードなど。
○個人の所有物
ＩＤカード、ＩＣカード、光カードなど。
○個人の特徴
指紋、手形、声紋、網膜、署名など。
◎マルウェア
不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードの
総称。
◎ファイアウォール、ＷＡＦ
●ファイアウォール
インターネットでのセキュリティ確保のために外部との通信を制限する装置。
直訳は「防火壁」。
○パケットフィルタリング方式
ＩＰ、ＴＣＰ／ＵＤＰのヘッダチェックのみを行う。
○アプリケーションゲートウェイ方式
アプリケーション層を含むより詳細な条件設定が可能。
●ＷＡＦ（Web Application Firewall）
外部ネットワークからの不正アクセスを防ぐためのソフトウェア（あるいはハードウ
ェア）であるファイアーウォールの中でも、Webアプリケーションのやり取りを把握
・管理することによって不正侵入を防御することのできるファイアウォール。
◎侵入検知/侵入防止
●ＩＤＳ（Intrusion Detection System）
通信回線を監視し、ネットワークへの侵入を検知して管理者に通報するシステム。
ネットワーク上を流れるパケットを分析し、パターン照合により不正アクセスと思わ
れるパケットを検出して、管理者に通知する。
○ネットワーク監視型
コンピュータネットワークの通信内容を積極的に検査し、ネットワークの攻撃など
といった、不正アクセスの疑いがあると思われるものについては、ただちにネット
ワークの管理者へ攻撃の事実を通知する。
○ホスト監視型
サーバマシンにソフトウェアとして組み込まれ、対象のサーバに異常が発生してい
ないかを監視する。
◎無線ＬＡＮセキュリティ
●ＥＳＳ－ＩＤ
IEEE802.11シリーズ無線ＬＡＮにおけるネットワークの識別子の一つで、混信を避け
るために付けられるネットワーク名のようなもの。
●ＷＥＰ（Wired Equivalent Privacy）
IEEE 802.11無線ネットワークのセキュリティのための暗号化アルゴリズム。
●ＭＡＣアドレスフィルタリング
特定のＭＡＣアドレスからしか接続できないようにする機能。
◎ディジタルフォレンジックス
不正アクセスや機密情報漏洩などコンピュータに関する犯罪や法的紛争が生じた際に、
原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証拠性
を明らかにする手段や技術の総称。
◎安全対策
火災や地震など際の情報セキュリティ対策。
●ハウジングセキュリティ
ユーザの通信機器を通信事業者やインターネットプロバイダの建物内に設置する。
●無停電電源装置(ＵＰＳ:Uninterrruptible Power Supply)
商用電源の瞬間的な電圧低下や突然の停電でデータが失われることを防ぐ予備電源
装置。
●定電圧定周波数装置(ＣＶＣＦ:Constant Voltage Cnstant Frequency)
安定的な電圧や周波数の電源を提供する装置。
◎プライバシ保護
●個人情報保護法
行政機関の保有する電子計算機にかかわる個人情報の保護に関する法律。
公的部門（社会保険、雇用保険、運転免許、犯罪暦、住民票、税金など）で保有
する情報のみが対象で、民間部門（電気、ガス、水道、電話、クレジットなど）
は対象外である。
◎セキュアプロトコル
●ＩＰＳｅｃ
ＶＰＮで使用されるＩＰパケットの暗号化と認証を行う技術。
＜ＶＰＮの種類＞
・トンネルモード
┌───┬──────┬─┐
│ＩＰ │ パケット │Ｂ│
│ヘッダ│ │Ｘ│
├───┴──────┼─┘
│←─ 暗号化 ─→│↑新しいＩＰヘッダ
│ │
─┬─ＶＰＮ ────ＶＰＮ ─┬─
│ 装置ＡＸ 装置ＢＸ │
│ │ │ │
ＰＣＡ │ │ ＰＣＢ
│ ←暗号化→ │
・トランスポートモード
全ての端末に暗号化ソフトを導入する必要がある。
┌───┬────────┐
│ＩＰ │ パケット │
│ヘッダ│ │
└───┼────────┤
│←─ 暗号化 ─→│
│ │
─┬──ルータ─────ルータ─┬─
│ │
│ │
ＰＣＡ ＰＣＢ
│←──── 暗号化 ───→│
●ＳＳＬ(Secure Sockets Layer)
ＷＷＷブラウザおよびＷＷＷサーバ間における業界標準プロトコル(通信規約)。
公開かぎ暗号方式と秘密かぎ方式を組み合わせて認証と暗号化の機能を実現。
電子商取引上信頼できる相手であるかどうかを判断するのに有効な情報を与えて
くれる。
●ＳＳＨ（Secure Shell）
暗号や認証の技術を利用して、安全にリモートコンピュータと通信するためのプロト
コル。パスワードなどの認証部分を含むすべてのネットワーク上の通信が暗号化され
る。
●ＰＧＰ(Pretty Good Privacy)
インターネットで使われる公開かぎ方式の暗号、または暗号化のためのプロ
グラム。電子メールなどで使用されている。ディジタル署名の仕組みを採用
しているので改ざんなども防止できる。
◎認証プロトコル
●ＳＰＦ（Shortest Path First）
ネットワークにおけるダイクストラ法による経路計算法。
●ＤＫＩＭ（DomainKeys Identified Mail）
電子署名を利用した、電子メールの送信ドメイン認証技術の一つ。
●ＳＭＴＰ－ＡＵＴＨ
メール送信に使うプロトコルであるSMTPにユーザ認証機能を追加した仕様。
●ＯＡｕｔｈ
デスクトップ、モバイル、WebアプリケーションなどにセキュアなAPI認可の標準的手
段を提供するオープンプロトコル。
●ＤＮＳＳＥＣ（DNS Security Extensions）
ＤＮＳにおける応答の正当性を保証するための拡張仕様。
◎セキュアＯＳ
●セキュアＯＳ
セキュリティを強化したオペレーティングシステムのこと。強制アクセス制御（
Mandatory Access Control：ＭＡＣ）機能及び、最小特権を実現する機能を備えて
いる。
◎ネットワークセキュリティ
●ファイアウォール
インターネットと社内ＬＡＮなどとの境目に設置され、不正なアクセスを防ぎ、セキ
ュリティを守るためのソフトウェア（ハードウェア）のことをいう。ファイアウォー
ルは、必要なパケットは通し、不必要なパケットは遮断する仕組みを持つ。
●パケットフィルタリング
パケットの内容をチェックして、必要なパケットは通過させ、不必要なパケットは遮
断する仕組み。パケットの中の送信元IPアドレス・送信先IPアドレス・使用するアプ
リケーションなどによりフィルタリングを行う。
●ＩＤＳ（Intrusion Detection System：侵入検知システム）
コンピュータやネットワークに対する不正行為を検出し、管理者に通知するシステム
のこと。
●ＩＰＳ（Intrusion Protection System：侵入防止システム）
ＩＤＳの機能を持ちながら、不正アクセスを検知すると通信を遮断したり、ファイア
ーウォールと連携してファルタリングのルールを変更する機能を持つもの。
●認証サーバ
システムやネットワークへのログインを一元的に管理するサーバー。
●ＷＥＰ（Wired Equivalent Privacy）
ＲＣ４と呼ばれる暗号化アルゴリズムを元にした共有鍵暗号方式で、秘密鍵には４０
ビットまたは１２８ビットのデータを使用する、無線上のデータを保護するための仕
組み。
●ＷＰＡ（Wi-Fi Protected Access）
従来採用されてきたＷＥＰの弱点を補強し、セキュリティ強度を向上させたもの。
ＷＰＡは、従来のＳＳＩＤとＷＥＰキーに加えて、ユーザ認証機能を備えた点や、暗
号鍵を一定時間毎に自動的に更新するＴＫＩＰ（Temporal Key Integrity Protocol）
と呼ばれる暗号化プロトコルを採用するなどの改善が加えられている。
●ＬＡＮアナライザ
ＬＡＮ上を通過するトラフィックを監視したり記録するためのハードウェアやソフト
ウェアのこと。
●ＷＡＦ（Web Application Firewall）
Ｗｅｂアプリケーションのやり取りを把握・管理することによって不正侵入を防御す
ることのできるファイアウォールのこと。
●リバースプロキシ
特定のサーバの代理として、そのサーバへの要求を中継するプロキシサーバ。代行さ
れているサーバにアクセスしようとしたユーザは全てリバースプロキシを経由するこ
とになるため、サーバが直接アクセスを受けることはなくなる。
●ＵＴＭ（Unified Threat Management：統合脅威管理）
ファイアウォールとＶＰＮ機能をベースに、アンチウイルス、不正侵入防御、Ｗｅｂ
コンテンツフィルタリングといった複数のセキュリティ。
◎データベースセキュリティ
●ＤＢセキュリティ対策
○不正行為を防御する為の対策
・アカウント管理
・パスワード管理
・アクセス制御
・外部媒体の利用制御
○不正行為を検知する為の対策
・不正アクセス検知
○不正行為を追跡する為の対策
・ログの取得
◎アプリケーションセキュリティ
●Ｗｅｂシステムのセキュリティ対策
ネットワークで通信を行うＷｅｂシステムでは、システムに対する攻撃は、プログラ
ムのセキュリティホールを利用して悪意のあるデータを送り込み、これを利用して不
正な行為を行う場合が多い。そのため、特にＷｅｂシステムのプログラミングでは、
セキュリティホールのない安全なソフトウェアを構築するセキュアプログラミングの
原則に従ってプログラム開発を行うことが重要になる。
●バッファオーバーフロー攻撃
確保したメモリ領域（バッファ）を超えてデータが入力された場合に、データがあふ
れてプログラムが暴走してしまうこと。バッファオーバーランともいう。
●クロスサイトスクリプティング攻撃
攻撃者が対象となるサイトとは異なるサイトからスクリプトを送り込み、訪問者に実
行せしめることから、クロスサイト（サイトを横断した）スクリプティング（スクリ
プト処理）と呼ばれる。
◎セキュアプログラミング
●セキュアプログラミング
セキュリティホールを作りこまない、安全なアプリケーションを開発する技術。