情報セキュリティ（科目B）

1. 場面で考える情報セキュリティ（インシデント対応・運用）

「こんなことが起きた。さあどうする」と問われたときに、迷わず正解の手順を選べるようになります。

科目Bの情報セキュリティは、用語の意味をそのまま尋ねる問題ではありません。職場で実際に起こりそうな場面が数行から十数行の文章で示され、「このとき最初に行うべきことはどれか」「原因として最も考えられるものはどれか」と問われます。知識そのものより、示された条件を読み取って、決められた手順のどこに当てはまるかを判断する力が問われます。逆に言えば、正しい手順を一度覚えてしまえば、場面が変わっても同じ考え方で解けます。

情報セキュリティインシデントとは、情報の機密性・完全性・可用性を損なう、または損なうおそれのある出来事のことです。マルウェア感染、不正アクセス、情報の紛失や誤送信、Webサイトの改ざんなどが該当します。対応は、検知（気付く）→初動（被害の拡大を止める）→分析（原因と影響範囲を調べる）→復旧（業務を元に戻す）→再発防止（原因を取り除き手順を直す）という流れで進みます。この順番が頭に入っていれば、「最初に行うべきこと」は初動の話だと分かります。

初動でいちばん大事なのは、被害を広げないことと、証拠を壊さないことです。マルウェア感染が疑われる端末は、まずネットワークから切り離します。有線ならLANケーブルを抜き、無線なら無線LANをオフにします。これで、ほかの端末への感染拡大や、外部への情報送信を止められます。一方で、電源は切りません。電源を切ると、メモリ上にしか存在しない実行中のプロセスや通信の状態といった揮発性の情報が消えてしまい、あとから原因を分析できなくなるからです。同じ理由で、自分の判断でウイルス対策ソフトの駆除を実行したり、ファイルを削除したり、端末を初期化したりしてはいけません。切り離したら、直ちに上長と情報システム部門、社内にCSIRT（シーサート：インシデント対応の専門チーム）があればCSIRTへ報告します。報告が遅れるほど被害は広がるので、「大したことではないかもしれない」と自分で判断して黙っていることが最悪の対応です。

対応と並行して、記録を残します。いつ何に気付いたか、どの端末で誰が使っていたか、何をしたか、その時刻はいつかを、時系列で書き留めます。記憶に頼って後からまとめると、時刻や順序が曖昧になり、原因の分析にも、監督官庁や取引先への報告にも使えません。記録は再発防止策を考えるときの材料にもなります。

人をだます攻撃も、場面問題の定番です。標的型攻撃メールは、業務に関係のありそうな件名や取引先を装った差出人で送られ、添付ファイルやリンクからマルウェアに感染させます。フィッシングは、銀行や通販サイトを装ったメールから偽サイトへ誘導し、IDやパスワードを入力させます。差出人の表示名やメールアドレスは簡単に詐称できるので、それらは本物である根拠になりません。判断の手掛かりになるのは、リンク先の実際のURLのドメインが正規のものと違う、といった詐称しにくい事実です。電話で情報システム部門を名乗ってパスワードを聞き出す、背後から画面をのぞき見る、ごみ箱の書類をあさるといった、技術ではなく人の隙を突く手口をソーシャルエンジニアリングといいます。共通の対処は、その場で答えず、いったん切って、社内の名簿にある正規の連絡先へ自分から掛け直して確認することです。

日々の運用にも決まりごとがあります。パスワードは使い回さないこと。ほかのサイトから流出したIDとパスワードの組合せをそのまま試すパスワードリスト攻撃が成立してしまうためです。退職者のアカウントは、人事の退職手続と連動させ、退職日をもって速やかに利用停止にします。離席するときは画面をロックし（クリアスクリーン）、机の上に書類や記録媒体を放置せず施錠できる場所にしまいます（クリアデスク）。会社が許可していない個人向けクラウドサービスや私物機器を業務に使うシャドーITは、会社が保護の状況を確認できないため禁止され、私物端末の業務利用（BYOD）を認める場合も、利用条件を定めた規程と管理のしくみが前提になります。業務を外部に委託するときは、契約に安全管理措置と再委託の条件を定め、委託先での実施状況を定期的に確認する責任が委託元に残ります。社外で公衆無線LANを使うときは、会社が用意したVPNで通信を暗号化してから社内システムに接続します。

選択肢を選ぶときのコツを挙げておきます。まず、被害の拡大を止める→証拠を残す→報告する、の順に考えます。次に、自分ひとりの判断で処理を完結させる選択肢、証拠を消す選択肢、相手の言い分をそのまま信じる選択肢は、ほぼ誤りです。「不審なメールの送信元に返信して確認する」「感染が疑われる端末の電源を切って再起動する」「気付いたファイルを削除して様子を見る」は、いずれもやってはいけない対応の代表例です。

【インシデント記録の例】10:12  営業部Aが取引先を装ったメールの添付ファイル(見積書.xlsm)を開いた10:14  画面が一瞬暗転し、見覚えのないウィンドウが表示された10:15  Aが端末PC-0412のLANケーブルを抜いた（電源は入れたまま）10:17  Aが上長Bへ口頭で報告、BがCSIRTへ電話連絡10:30  CSIRTが現地確認を開始（端末はそのまま、Aの操作は中止）10:45  同一メールが営業部の12名へ届いていることをメールログから確認11:00  該当メールの受信者へ、開かないよう全社周知

用語

情報セキュリティインシデント

情報の機密性・完全性・可用性を損なう、または損なうおそれのある出来事。マルウェア感染、不正アクセス、情報の紛失・誤送信、Webサイトの改ざんなどが含まれる。

CSIRT

Computer Security Incident Response Team。インシデントの報告を受け付け、初動の指示、原因分析、関係先への連絡を担う専門チーム。利用者はまずここへ報告する。

初動対応（封じ込め）

被害の拡大を止めるための最初の措置。感染が疑われる端末をネットワークから切り離す、不正利用が疑われるアカウントを停止するなど。復旧より先に行う。

証拠保全

原因分析や報告のために、機器やログの状態を変えずに残すこと。感染端末の電源を落とさない、ファイルを削除しない、初期化しないといった行動がこれに当たる。

揮発性情報

電源が切れると失われる情報。実行中のプロセス、メモリ上のデータ、確立中の通信の状態などが該当し、これらが消えると感染の経路や動作を追えなくなる。

標的型攻撃メール

特定の組織や担当者を狙い、業務に関係がありそうな件名や実在の取引先を装って送るメール。添付ファイルやリンクを開かせてマルウェアに感染させることを狙う。

フィッシング

金融機関や通販サイトを装ったメールやSMSから偽サイトへ誘導し、IDやパスワード、カード番号を入力させて盗む手口。差出人表示やメール本文は容易に偽装できる。

ソーシャルエンジニアリング

技術ではなく人の心理や行動の隙を突いて情報を得る手口。電話でのなりすまし、肩越しに画面をのぞくショルダーハッキング、ごみをあさるトラッシングなど。

クリアデスク・クリアスクリーン

離席や退社の際に、机の上に書類や記録媒体を放置せず施錠保管すること（クリアデスク）と、画面をロックして内容を見られないようにすること（クリアスクリーン）。

シャドーIT

会社が把握・許可していない機器やクラウドサービスを、従業員が業務に使うこと。会社が保護の状況を確認できず、退職時の回収や漏えい時の追跡もできない。

BYOD

Bring Your Own Device。私物の端末を業務に使うこと。認める場合は、利用条件を定めた規程、端末管理のしくみ、紛失時の対応手順を整えたうえで運用する。

委託先の監督

業務を外部に委託しても、情報を守る責任は委託元に残るという考え方。契約に安全管理措置と再委託の条件を定め、実施状況を定期的に確認する必要がある。

パスワードリスト攻撃

ほかのサイトから流出したIDとパスワードの組合せを、そのまま別のサイトで試す攻撃。正しいパスワードで一度で成功するため、使い回しをやめることが最大の対策になる。

内部不正

従業員や委託先の関係者が、権限を悪用して情報を持ち出したり改ざんしたりすること。最小限の権限付与、操作ログの取得、持出しの制限で機会を減らす。

例題

出典・根拠：IPA 基本情報技術者試験 試験要綱 Ver.5.6 出題範囲（科目B試験）インシデント対応・情報セキュリティ啓発／JIS Q 27002（情報セキュリティ管理策の実践）

2. 設定と設計で守る（アクセス権・ログ・脆弱性）

アクセス権の表やファイアウォールのルール表を読んで、危ない設定を見つけられるようになります。

場面問題のもう一つの型が、設定の表を見せて「この中で見直すべきものはどれか」「この通信は許可されるか」と問うものです。表は難しく見えますが、読み方の型が決まっています。アクセス権の表なら「誰に」「どの資源に」「どこまでの権限を」与えているかを一行ずつ確かめ、ファイアウォールのルール表なら「送信元」「宛先」「プロトコルとポート」「許可か拒否か」を上から順に照合します。

アクセス権を設計するときの原則は三つです。第一に最小権限の原則で、業務に必要な最小限の権限だけを与えます。「念のため全社員に読み書きを与える」は原則違反です。第二に知る必要性（need-to-know）で、給与や人事評価のように、担当者以外が見る必要のない情報は、担当部門だけに限定します。第三に職務分掌（職務分離）で、不正が成立しないように、一連の処理を一人に完結させません。発注の登録と承認、伝票の起票と承認、プログラムの開発と本番環境への適用は、それぞれ別の人が行います。加えて、誰が使ったか分からなくなる共有アカウントは使わず、人事異動や退職に合わせて権限を棚卸しします。

ファイアウォールの通信許可ルールは、表の上から順に照合し、最初に一致した行の動作を適用して、そこで判定を終えます。最後の行に「すべて→すべて→拒否」を置き、明示的に許可した通信だけを通す方式（ホワイトリスト方式、暗黙の拒否）が基本です。設計の要点は、インターネットから内部LANへの通信を直接許可しないことです。外部に公開するサーバはDMZ（非武装地帯）に置き、インターネットからはDMZまで、DMZから内部へは必要な相手と必要なポートだけを許可します。もし「インターネット→内部のファイルサーバ」を許可する行があれば、それは直ちに削除すべき危険な設定です。

ログは、何かが起きた後に事実を再現するための唯一の手掛かりです。取得しているだけでは足りず、突き合わせられる状態と、消されない状態が要ります。複数の機器のログを時系列に並べるには、NTPで各機器の時計を同期させておく必要があります。時刻がずれていると、同じ通信が別々の時刻で記録され、前後関係が分からなくなります。また、ログが対象機器の中にだけあり、その機器の管理者が自由に消せる状態では、監査証跡（誰が何をしたかを後から追える記録）として信頼できません。ログは別のログ管理サーバへ随時転送し、運用担当者には変更・削除の権限を与えない、という権限の分離が有効です。保存期間もあらかじめ決めておきます。

脆弱性への対応は、優先順位の付け方が問われます。判断材料は、危険度・公開範囲・悪用の有無の三つです。危険度の目安になるのがCVSS（共通脆弱性評価システム）の基本値で、0.0〜10.0の数値で表し、9.0以上が緊急、7.0以上が重要、4.0以上が警告とされます。ただし数値だけで決めません。インターネットに公開しているサーバの脆弱性は、社内からしか触れないサーバより危険ですし、実際に悪用が確認されている脆弱性は最優先です。パッチはできれば検証環境で確認してから適用し、すぐ適用できない場合は、通信の制限や機能の停止といった暫定の回避策で危険をいったん下げます。

バックアップはランサムウェア対策の要です。指針としてよく使われるのが3-2-1ルールで、原本を含めてデータを3つ（原本と複製2つ）持ち、2種類の異なる媒体に保存し、そのうち1つは別の場所に置く、というものです。ここで重要なのは、常時ネットワークにつながったバックアップだけでは足りないという点です。ランサムウェアは接続されている共有フォルダやNASもまとめて暗号化するため、少なくとも一つはネットワークから切り離したオフラインの媒体、または書換えができないイミュータブルな保管にします。世代管理をして複数時点に戻せるようにし、実際に復元できるかを定期的に試すところまでが対策です。

残る守りは、暗号化と認証と作り方です。通信はTLSで暗号化し、持ち出す端末や媒体はストレージ全体を暗号化しておきます。OSのログインパスワードだけでは、ディスクを取り外して別の機器につながれると読まれてしまいます。認証は、パスワードに加えて所持（ワンタイムパスワードやICカード）や生体情報を組み合わせる多要素認証が有効で、パスワードが流出しても不正ログインを防げます。プログラムを作るときは、入力値の検査を必ずサーバ側でも行うこと（画面側の検査は迂回できます）、SQLはプレースホルダに値として渡すこと、画面に出す値はエスケープ処理をすること、エラー画面に内部の情報を出さないことを守ります。

No  送信元          宛先           プロトコル/ポート  動作----------------------------------------------------------1   インターネット  DMZ:Webサーバ  TCP/443            許可2   内部LAN         DMZ:Webサーバ  TCP/443            許可3   DMZ:Webサーバ   内部:DBサーバ  TCP/1521           許可4   すべて          すべて         すべて             拒否

用語

最小権限の原則

利用者やプログラムに、業務の遂行に必要な最小限の権限だけを与える考え方。余分な権限は、誤操作による事故と、内部不正や乗っ取り時の被害範囲を広げる。

知る必要性

need-to-know。その情報を業務上知る必要がある人だけに開示するという原則。給与や人事評価などは、権限があっても必要のない者には見せない。

職務分掌

職務分離ともいう。一連の処理を一人で完結させず、登録と承認、開発と本番適用のように担当を分けること。不正やミスが一人の操作だけでは成立しなくなる。

アクセス権の棚卸し

現在誰にどの権限が付いているかを定期的に洗い出し、異動や退職で不要になった権限を外す作業。放置すると権限が積み上がり、最小権限が崩れる。

暗黙の拒否

ファイアウォールで、明示的に許可していない通信をすべて拒否する方式。ルール表の最後に「すべて→すべて→拒否」を置いて実現する。ホワイトリスト方式ともいう。

DMZ

非武装地帯。インターネットと内部LANのどちらからも切り離して設ける中間の区画。公開サーバをここに置き、インターネットから内部LANへ通信が直接届かないようにする。

NTP

Network Time Protocol。機器の時計をネットワーク越しに合わせるプロトコル。複数機器のログを時系列で突き合わせるには、時刻の同期が前提になる。

監査証跡

いつ誰が何をしたかを後から追跡できる記録。取得していることに加え、当事者が改ざん・削除できないよう保護されていて初めて証跡として信頼できる。

CVSS

共通脆弱性評価システム。脆弱性の深刻度を0.0〜10.0の数値で表す指標で、9.0以上が緊急、7.0以上が重要、4.0以上が警告の目安。公開範囲や悪用の有無と併せて判断する。

パッチ管理

脆弱性情報を収集し、対象資産を特定し、検証してから修正プログラムを適用する一連の運用。すぐ適用できないときは通信制限などの暫定的な回避策を取る。

3-2-1ルール

バックアップの指針。原本を含めてデータを3つ（原本と複製2つ）持ち、2種類の異なる媒体に保存し、そのうち1つは別の場所（遠隔地）に置く、という考え方。

オフラインバックアップ

取得後にネットワークや機器から切り離して保管するバックアップ。常時接続のNASはランサムウェアに一緒に暗号化されるため、切り離した複製が必要になる。

世代管理

複数の時点のバックアップを残しておくこと。最新の1本だけだと、改ざんや暗号化に気付く前に上書きしてしまい、正常な状態に戻せなくなる。

多要素認証

知識（パスワード）、所持（ワンタイムパスワード、ICカード）、生体（指紋、顔）のうち2種類以上を組み合わせる認証。パスワードが流出しても不正ログインを防げる。

サーバ側の入力値検証

利用者から届いた値を、サーバ側の処理でも必ず検査すること。画面側（ブラウザ）の検査は、攻撃者が直接リクエストを送れば迂回されるため、単独では対策にならない。

プレースホルダ

SQL文の値の部分を記号で置いておき、実行時に値として渡すしくみ（バインド機構）。入力値がSQL文の一部として解釈されなくなり、SQLインジェクションを防げる。

例題

出典・根拠：IPA 基本情報技術者試験 試験要綱 Ver.5.6 出題範囲（科目B試験）アクセス制御・ログ管理・脆弱性管理・バックアップ／JIS Q 27002（情報セキュリティ管理策の実践）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。