セキュリティ

1. 情報セキュリティの基本と脅威

情報セキュリティで守るべき3つの性質（機密性・完全性・可用性）と、それを脅かすマルウェアや攻撃手法の見分け方が分かります。

情報セキュリティとは、組織が持つ情報を「見られてはいけない人に見られない」「勝手に書き換えられない」「使いたいときに使える」状態に保つことです。この3つをそれぞれ機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）といい、頭文字をとって情報セキュリティの3要素、またはCIAと呼びます。機密性が損なわれる例は顧客名簿の流出、完全性が損なわれる例はWebページの改ざんや金額データの書き換え、可用性が損なわれる例は攻撃や機器故障でサーバが使えなくなることです。

JIS Q 27000では、この3要素に加えて4つの性質も挙げています。真正性（なりすましでなく本人・本物であること）、責任追跡性（誰がいつ何をしたかを後から追えること）、否認防止（あとから「やっていない」と言い逃れできないこと）、信頼性（システムが意図したとおりに動くこと）の4つです。合わせて7要素と覚えます。

情報セキュリティの世界では、原因側を脅威、こちら側の弱点を脆弱性と呼び、その組合せで実際に損害が起きる可能性をリスクといいます。脅威には、攻撃者やマルウェアなどの技術的脅威、地震や停電などの物理的脅威、操作ミスや持ち出しなどの人的脅威があります。脆弱性は、修正プログラムを当てていないソフトウェアの欠陥（セキュリティホール）だけでなく、施錠されていない書庫や、教育不足の従業員も含みます。

マルウェアは悪意のあるソフトウェアの総称です。ほかのファイルに寄生して増える狭義のコンピュータウイルス、単独で自己増殖してネットワークを広がるワーム、便利なソフトを装って侵入し裏で悪さをするトロイの木馬、ファイルを勝手に暗号化して元に戻す代わりに金銭を要求するランサムウェア、利用者の情報をこっそり集めて送信するスパイウェア、攻撃者の遠隔命令で動く手先となるボットなどがあります。

人をだます手口も重要です。技術ではなく人の心理や行動の隙を突いて情報を得る手口をソーシャルエンジニアリングといい、電話で担当者になりすます、肩越しに画面をのぞく（ショルダハッキング）、ごみ箱をあさる（スキャベンジング）などが該当します。特定の組織だけを狙う標的型攻撃、偽サイトへ誘導する フィッシング、取引先や役員になりすまして送金させるビジネスメール詐欺（BEC）も、入口は人です。

内部の人間による情報の持ち出しを内部不正といいます。米国の研究者クレッシーが示した不正のトライアングルでは、機会（やろうと思えばできる状況）・動機（借金などの事情）・正当化（これくらいいいはずだという言い訳）の3条件がそろうと不正が起きやすいとされ、対策では特に「機会」をなくすことが重視されます。また、会社が許可していない私物端末やクラウドサービスを業務で使うことをシャドーITといい、管理の目が届かないため大きなリスクになります。

用語

情報セキュリティ

情報を、見せてよい人だけに見せ、正しい内容のまま保ち、必要なときに使えるように保つこと。機密性・完全性・可用性の3つを維持することと定義されている。

機密性

許可された人だけが情報にアクセスできる性質。アクセス権の設定や暗号化で守る。名簿が外部に流出した場合は機密性が損なわれたことになる。

完全性

情報が正確で、勝手に書き換えられたり壊されたりしていない性質。Webページの改ざんや、金額データの不正な書換えは完全性が損なわれた状態である。

可用性

使いたいときにいつでも情報やシステムを使える性質。DDoS攻撃や停電、機器故障でサーバが止まってサービスが使えなくなるのは可用性が損なわれた状態。

真正性

利用者や情報が「本人・本物である」と確かめられる性質。なりすましを防ぐことにあたり、パスワードやディジタル署名で確保する。

責任追跡性

誰がいつどの操作をしたかを、あとから追跡できる性質。利用者ごとのIDの付与とアクセスログの取得・保存によって確保する。

否認防止

ある行為を行った本人が、あとから「自分はやっていない」と否定できないようにする性質。ディジタル署名やログの保全によって確保する。

脅威と脆弱性

脅威は情報を危険にさらす原因（攻撃者、マルウェア、災害、操作ミスなど）。脆弱性はそれを許してしまう弱点（未修正の欠陥、施錠していない部屋、教育不足など）。

マルウェア

利用者に害を与える目的で作られたソフトウェアの総称。ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、ボットなどをまとめて指す。

ワーム

ほかのプログラムに寄生せず、単独で自分の複製を作ってネットワーク経由で次々に感染を広げるマルウェア。感染拡大の速さが特徴。

トロイの木馬

便利なソフトウェアやファイルを装って利用者自身にインストールさせ、裏で情報の窃取や遠隔操作を行うマルウェア。自己増殖しない点がワームと異なる。

ランサムウェア

パソコン内のファイルを勝手に暗号化して使えなくし、元に戻すことと引換えに身代金を要求するマルウェア。バックアップの分離保管が有効な備えになる。

ボット

感染した機器を攻撃者の遠隔命令どおりに動かすマルウェア。多数のボットをまとめた集団（ボットネット）はDDoS攻撃や迷惑メールの送信に悪用される。

ソーシャルエンジニアリング

技術的な手段ではなく、人の心理や不注意につけ込んで情報を盗む手口。電話でのなりすまし、のぞき見（ショルダハッキング）、ごみあさりなどがある。

標的型攻撃

不特定多数ではなく、特定の企業や官公庁だけを狙う攻撃。業務に関係がありそうなメールで信用させ、添付ファイルやリンクからマルウェアに感染させる。

ビジネスメール詐欺（BEC）

取引先や自社の経営者になりすました偽メールで担当者をだまし、攻撃者の口座へ送金させる詐欺。電話など別の手段での確認が有効な対策となる。

SQLインジェクション

Webの入力欄にデータベースへの命令文（SQL）を紛れ込ませ、本来見えないデータを盗んだり書き換えたりする攻撃。入力値の検査で防ぐ。

クロスサイトスクリプティング（XSS）

掲示板などの投稿欄に不正なスクリプトを埋め込み、そのページを見た人のブラウザ上で勝手に実行させる攻撃。入力・出力時の無害化（エスケープ）で防ぐ。

DoS攻撃・DDoS攻撃

大量の要求を送りつけてサーバを応答できなくする攻撃。多数の乗っ取り端末から一斉に行うものをDDoS攻撃という。可用性を直接おびやかす。

ゼロデイ攻撃

脆弱性が見つかってから修正プログラムが提供されるまでの、対策がない期間を狙う攻撃。パッチが当てられないため、多層防御や不要機能の停止で被害を抑える。

パスワードリスト攻撃

どこかのサイトから流出したIDとパスワードの一覧を使い、別のサイトへログインを試みる攻撃。パスワードの使い回しをやめることが最大の対策。

ブルートフォース攻撃

総当たり攻撃ともいい、考えられる文字の組合せを片端から試してパスワードを破る手口。長く複雑なパスワードとアカウントロックが有効。

不正のトライアングル

内部不正は「機会」「動機」「正当化」の3条件がそろったときに起きやすいという考え方。対策では、まず不正ができる機会をなくすことが重視される。

シャドーIT

会社が把握・許可していない私物端末や無料クラウドサービスを、従業員が勝手に業務で使うこと。管理が及ばず、情報漏えいの温床になる。

例題

出典・根拠：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ／JIS Q 27000（情報セキュリティマネジメントシステム－用語）

2. 情報セキュリティ管理とリスクマネジメント

リスクを洗い出して対応方針を決める手順と、組織としてセキュリティを回す仕組み（ポリシ・ISMS・CSIRT）が分かります。

セキュリティ対策は、思いついたものから買いそろえるのではなく、リスクマネジメントの考え方に沿って進めます。まずリスクアセスメントを行い、リスク特定（どんな危険があるか洗い出す）、リスク分析（起きる可能性と被害の大きさを見積もる）、リスク評価（あらかじめ決めた基準と比べて対応が必要か判断する）の順で整理します。そのうえでリスク対応を決めます。

リスク対応は4つに分類されます。リスク回避は、危険のもとになる業務や仕組みそのものをやめること。リスク移転（リスク共有）は、保険をかけたり外部に委託したりして、損失の負担を他者と分け合うこと。リスク低減（リスク軽減）は、対策を打って発生の可能性や被害の大きさを小さくすること。リスク保有（リスク受容）は、被害が小さいなどの理由で、対策せずに受け入れると決めることです。すべてのリスクをゼロにはできないため、費用と効果を見て組み合わせます。

組織の方針は情報セキュリティポリシとして文書化します。ふつうは3階層で作り、最上位が基本方針（なぜ・何を守るのかという経営者の宣言）、次が対策基準（守るべきルールや基準を分野ごとに定めたもの）、最下位が実施手順（具体的な操作や作業の手順書）です。上位ほど変わりにくく、下位ほど現場に近い内容になります。

この一連の活動を継続的に回す仕組みがISMS（情報セキュリティマネジメントシステム）で、要求事項はJIS Q 27001（ISO/IEC 27001）に定められています。計画（Plan）・実行（Do）・点検（Check）・改善（Act）のPDCAを回して、対策を作りっぱなしにしないことが要点です。第三者機関の審査に合格するとISMS認証を取得できます。個人情報の取扱いについてはJIS Q 15001にもとづくプライバシーマークがあり、こちらは個人情報に特化した認定制度である点が違います。

体制としては、経営者を中心とした情報セキュリティ委員会が方針を決め、CSIRT（シーサート）が事故発生時の受付・原因調査・復旧・関係先への連絡といったインシデント対応を担当します。SOCは、ネットワークや機器のログを24時間監視して攻撃の兆候をいち早く見つける専門組織で、「見つける」のがSOC、「対応する」のがCSIRTと役割が分かれます。定めたルールが守られているかを独立した立場で点検するのが情報セキュリティ監査です。

用語

リスクマネジメント

組織にとっての危険を洗い出し、評価して、対応方針を決め、継続的に見直していく一連の管理活動。対策の優先順位を決めるための土台になる。

リスクアセスメント

リスク特定・リスク分析・リスク評価の3つからなる作業。どんなリスクがあり、どれくらい大きく、対応が必要かどうかを判断するところまでを指す。

リスク回避

リスクの原因となる活動そのものをやめて、危険をなくす対応。例えば、事故が心配な機能を提供しない、扱いの難しい個人情報を最初から集めない、など。

リスク移転（リスク共有）

保険への加入や業務の外部委託によって、損失の負担を他者と分け合う対応。リスクそのものが消えるわけではない点に注意する。

リスク低減（リスク軽減）

対策を実施して、リスクが起こる可能性や起きたときの被害を小さくする対応。暗号化、バックアップ、社員教育などが該当する。

リスク保有（リスク受容）

被害が小さい、対策費用のほうが高いなどの理由で、あえて対策せずリスクを受け入れると決めること。何もしないのではなく「決めて受け入れる」点が重要。

情報セキュリティポリシ

組織のセキュリティに関する方針とルールをまとめた文書。基本方針・対策基準・実施手順の3階層で作るのが一般的で、最上位は経営者が承認する。

基本方針

情報セキュリティポリシの最上位文書。何を、なぜ守るのかという組織の考え方と経営者の意思を示すもので、社外にも公開されることが多い。

対策基準

基本方針を実現するために、守るべきルールや基準を分野ごとに定めた文書。「何をしなければならないか」を示し、具体的な操作手順までは書かない。

実施手順

対策基準を現場で実行するための具体的な手順書やマニュアル。担当者が見ながら作業できるレベルまで細かく書かれる。

ISMS

情報セキュリティマネジメントシステムの略。組織が方針を定め、対策を実行し、点検して改善するPDCAの仕組み全体のこと。要求事項はJIS Q 27001。

JIS Q 27001

ISMSの要求事項を定めた日本産業規格（国際規格ISO/IEC 27001に対応）。この規格に基づく審査に合格すると、第三者からISMS認証を受けられる。

CSIRT

コンピュータセキュリティに関する事故が起きたときに、報告を受け付け、原因を調べ、復旧と情報連携を行う専門チーム。企業内に設ける場合が多い。

SOC

セキュリティオペレーションセンターの略。機器やネットワークのログを常時監視して攻撃の兆候を検知する組織。検知はSOC、対応はCSIRTと役割が分かれる。

情報セキュリティ監査

定めたポリシや基準が守られ、有効に機能しているかを、被監査部門から独立した立場で点検し、意見を述べる活動。助言型と保証型がある。

プライバシーマーク

JIS Q 15001に基づき、個人情報を適切に扱う体制が整っている事業者に付与される認定制度。対象が個人情報に絞られている点がISMS認証と異なる。

情報セキュリティ委員会

経営層を含む組織横断の会議体で、セキュリティ方針の決定、予算や体制の承認、重大事故時の判断などを担う。特定の部署任せにしないための仕組み。

例題

出典・根拠：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ／JIS Q 27001（ISMS要求事項）／JIS Q 15001（個人情報保護マネジメントシステム）

3. 情報セキュリティ対策（人的・技術的・物理的）

セキュリティ対策を人的・技術的・物理的の3つに分けて整理し、ファイアウォールや多要素認証など代表的な仕組みが分かります。

セキュリティ対策は、人的対策・技術的対策・物理的対策の3つに分けて考えると整理しやすくなります。どれか1つだけでは守れないため、複数を重ねる多層防御が基本になります。

人的対策の中心は教育と権限管理です。定期的な研修や標的型メールの訓練で気づく力を育てます。権限は必要最小限にとどめる（必要最小権限の原則）、担当者が辞めたり異動したりしたらすぐアカウントを削除・停止する、パスワードを使い回さない、といった運用が欠かせません。従業員との秘密保持契約（NDA）や、机上に書類を放置しないルールづくりも人的対策に含まれます。

技術的対策では、まず出入口を守ります。ファイアウォールは通信の宛先や種類を見て、許可した通信だけを通す仕組みです。外部に公開するWebサーバやメールサーバは、社内LANとインターネットのどちらからも隔離したDMZ（非武装地帯）に置き、公開サーバが乗っ取られても社内に被害が及ばないようにします。WAFはWebアプリケーションへの通信内容を検査してSQLインジェクションなどを防ぐ専用の仕組み、IDSは不正の兆候を検知して知らせる仕組み、IPSは検知に加えて通信の遮断まで行う仕組みです。

端末側ではウイルス対策ソフトを導入し、パターンファイル（定義ファイル）とOS・ソフトウェアの修正プログラム（パッチ）を常に最新に保ちます。社外から持ち込まれた端末をいきなり社内LANにつながせず、検査用のネットワークに隔離して安全を確認してから接続させる仕組みを検疫ネットワークといいます。スマートフォンやタブレットを会社が一括管理し、紛失時に遠隔ロックやデータ消去を行う仕組みがMDMです。

本人確認（認証）では、知識（パスワード）・所持（ICカードやスマートフォン）・生体（指紋や虹彩）という性質の異なる要素を2つ以上組み合わせる多要素認証が有効です。一度しか使えないワンタイムパスワードや、1回のログインで複数のサービスを使えるようにするシングルサインオン、機械による自動入力を防ぐCAPTCHAもよく使われます。生体認証では、本人なのに拒否してしまう割合を本人拒否率（FRR）、他人を本人と誤って受け入れる割合を他人受入率（FAR）といい、判定を厳しくするとFRRが上がりFARは下がるという逆の関係にあります。

物理的対策では、サーバ室の施錠とICカードによる入退室管理、共連れの防止、監視カメラ、パソコンを机に固定するセキュリティケーブルなどを使います。離席時に書類を片付けるクリアデスク、画面をロックするクリアスクリーンも重要です。ICカードなどが分解・解析されにくいように作られている性質を耐タンパ性といいます。近年は、社内ネットワークだからといって信用せず、通信のたびに本人確認と権限確認を行うゼロトラストという考え方が広まっています。

用語

多層防御

入口・内部・出口など複数の段階に異なる対策を重ねる考え方。1つの対策が破られても次の対策で被害を食い止められるようにする。

必要最小権限の原則

利用者には業務に必要な最小限のアクセス権だけを与えるという原則。異動や退職の際は速やかに権限を見直し、不要なアカウントは削除する。

ファイアウォール

内部ネットワークと外部の境界に置き、あらかじめ決めた条件に合う通信だけを通して、それ以外を遮断する仕組み。防火壁が名前の由来。

DMZ

非武装地帯。外部に公開するサーバを、インターネットとも社内LANとも切り離した区画に置く構成。公開サーバが侵入されても社内への被害を抑えられる。

WAF

Webアプリケーションファイアウォールの略。通信の中身を検査し、SQLインジェクションやクロスサイトスクリプティングなどWeb特有の攻撃を防ぐ。

IDSとIPS

IDSは不正な通信の兆候を検知して管理者に知らせる仕組み。IPSは検知に加えてその通信の遮断まで自動で行う仕組みで、「防ぐ」ところまで担う。

パターンファイル

ウイルス対策ソフトが持つ、既知のマルウェアの特徴を集めた定義ファイル。新種に対応するため常に最新へ更新する必要がある。

ペネトレーションテスト

侵入テスト。専門家が実際に攻撃者と同じ手口で侵入を試み、システムに突破できる弱点がないかを確かめる検査。

多要素認証

知識（パスワード）・所持（ICカード、スマートフォン）・生体（指紋など）のうち、種類の異なる要素を2つ以上組み合わせて本人確認する方式。

ワンタイムパスワード

一定時間または1回限りしか使えない使い捨てのパスワード。盗み見られても再利用できないため、パスワードの使い回しや盗聴に強い。

シングルサインオン（SSO）

一度の認証で、連携している複数のシステムを追加のログインなしに使える仕組み。利便性は上がるが、その1つの認証情報が漏れたときの影響は大きい。

本人拒否率（FRR）

生体認証で、正しい本人であるのに誤って拒否してしまう割合。判定を厳しくすると高くなり、利用者にとっては使いにくくなる。

他人受入率（FAR）

生体認証で、他人を誤って本人と認めてしまう割合。判定を緩くすると高くなり、安全性が下がる。FRRとは一方を下げると他方が上がる関係にある。

CAPTCHA

ゆがんだ文字や画像選択の課題を出し、操作しているのが人間かプログラムかを判別する仕組み。自動プログラムによる大量登録やログイン試行を防ぐ。

MDM

モバイルデバイス管理の略。業務で使うスマートフォンやタブレットの設定を一括管理し、紛失時に遠隔ロックやデータ消去を行える仕組み。

検疫ネットワーク

持ち込まれた端末をいったん検査専用のネットワークに隔離し、修正プログラムやウイルス対策の状態を確認してから社内LANへの接続を許す仕組み。

ゼロトラスト

社内ネットワークだからという理由で信用せず、アクセスのたびに利用者と端末を確認して必要な権限だけを与える考え方。境界だけを守る発想からの転換。

クリアデスク・クリアスクリーン

離席時に机の上の書類や記憶媒体を片付けること（クリアデスク）と、画面をロックして内容を見せないこと（クリアスクリーン）。のぞき見や持ち去りを防ぐ。

耐タンパ性

ICカードや機器が、内部を分解・解析されたり、不正に読み出されたりしにくい性質。破壊を検知して内部情報を消す仕組みなどで実現する。

例題

出典・根拠：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ（情報セキュリティ対策・情報セキュリティ実装技術）

4. 暗号技術とディジタル署名・認証

共通鍵暗号と公開鍵暗号の違い、そして「どの鍵で暗号化し、どの鍵で復号するのか」が確実に判断できるようになります。

暗号化とは、決められた手順と鍵を使って、そのままでは読める文（平文）を読めない形（暗号文）に変えることです。元に戻すことを復号といいます。暗号方式は、使う鍵の仕組みによって共通鍵暗号方式と公開鍵暗号方式に大きく分かれます。

共通鍵暗号方式は、暗号化と復号に同じ1つの鍵（共通鍵）を使う方式です。処理が速く大量のデータ向きですが、鍵を相手に安全に届けなければならないという鍵配送問題があります。また、n人が互いに通信するにはn(n-1)/2個の鍵が必要になり、人数が増えると鍵の管理が急に大変になります。代表的な方式はAESです。

公開鍵暗号方式は、対になった2つの鍵、すなわち誰に配ってもよい公開鍵と、本人だけが持つ秘密鍵を使う方式です。片方の鍵で暗号化したものは、もう片方の鍵でしか復号できません。鍵を配る必要がないので鍵配送問題が起きにくく、1人が1対の鍵を持てばよいので鍵の総数も少なくて済みます。ただし処理が遅いという弱点があります。代表的な方式はRSAです。

ここが試験で最もよく問われるところです。内容を他人に読まれないようにする目的（機密性）で送る場合は、送信者は受信者の公開鍵で暗号化し、受信者は自分の秘密鍵で復号します。受信者の秘密鍵は受信者しか持っていないので、ほかの誰にも読めません。一方、ディジタル署名は目的が逆で、送信者は自分の秘密鍵で署名を作り、受信者は送信者の公開鍵で検証します。送信者の公開鍵で正しく検証できたということは、対になる秘密鍵を持つ本人が作った証拠になり、なりすましの防止（真正性）と否認防止につながります。

実際のディジタル署名では、まず送信者が文書全体からハッシュ関数でハッシュ値（メッセージダイジェスト）を求めます。ハッシュ値は元の文書が少しでも変わるとまったく違う値になり、ハッシュ値から元の文書を復元することはできません。この値を送信者の秘密鍵で暗号化したものが署名です。受信者は、送信者の公開鍵で署名から取り出したハッシュ値と、受け取った文書から自分で計算したハッシュ値を比べ、一致すれば改ざんされておらず本人が送ったと確認できます。なお署名は文書自体を秘密にするものではないため、内容を隠したいときは別に暗号化が必要です。

その公開鍵が本当に本人のものかを保証するのが、認証局（CA）とディジタル証明書からなる公開鍵基盤（PKI）です。認証局は申請者を確認したうえで、公開鍵と持ち主の情報を結び付けた証明書を発行します。この仕組みを使い、Webブラウザとサーバの通信を暗号化するのがSSL/TLSで、TLSを使うWeb通信がHTTPS（URLがhttps://で始まる）です。TLSでは、最初に公開鍵暗号方式で共通鍵を安全に受け渡し、本文のやり取りは速い共通鍵暗号方式で行うハイブリッド暗号方式が使われています。無線LANでは通信の暗号化にWPA2やWPA3を使い、より新しく安全なのはWPA3です。

用語

平文と暗号文

平文はそのまま読める元のデータ、暗号文は鍵と手順によって読めない形に変換されたデータ。暗号文を元に戻す操作を復号という。

共通鍵暗号方式

暗号化と復号に同じ鍵を使う方式。処理が速い反面、鍵を相手へ安全に渡す必要があり（鍵配送問題）、人数が増えると必要な鍵の数が急増する。

公開鍵暗号方式

公開鍵と秘密鍵という対の鍵を使い、片方で暗号化したものはもう片方でしか復号できない方式。鍵配送問題が起きにくいが、処理は共通鍵方式より遅い。

公開鍵

誰に知られてもよい、広く配ってよい鍵。他人がその人あてに暗号文を作るときや、その人のディジタル署名を検証するときに使う。

秘密鍵

本人だけが持ち、絶対に他人に渡してはいけない鍵。自分あての暗号文を復号するときや、自分のディジタル署名を作るときに使う。

ハイブリッド暗号方式

本文は速い共通鍵暗号で暗号化し、その共通鍵だけを受信者の公開鍵で暗号化して渡す方式。速さと鍵配送のしやすさを両立でき、TLSで使われている。

ハッシュ関数

データから決まった長さの値（ハッシュ値）を求める関数。元データが少しでも違えば値が大きく変わり、値から元データは復元できない。改ざん検出に使う。

ディジタル署名

文書のハッシュ値を送信者の秘密鍵で暗号化したもの。受信者は送信者の公開鍵で検証し、本人が作成したことと改ざんされていないことを確認できる。

公開鍵基盤（PKI）

公開鍵が確かに本人のものだと保証するための、認証局・ディジタル証明書・運用ルールからなる社会的な仕組み。

認証局（CA）

申請者の実在を確認したうえでディジタル証明書を発行・失効させる第三者機関。証明書には認証局自身のディジタル署名が付けられる。

ディジタル証明書

公開鍵と、その持ち主の情報を結び付けて認証局が発行する電子的な証明書。これにより、通信相手の公開鍵が本物かどうかを確かめられる。

SSL/TLS

インターネット上の通信を暗号化し、通信相手を確認するための仕組み。現在使われているのはTLSで、SSLはその旧称として今も併記される。

HTTPS

TLSによって暗号化されたWeb通信。URLがhttps://で始まり、盗聴や改ざん、偽サイトへの誘導を防ぐ。ブラウザは証明書の正当性も確認する。

WPA2・WPA3

無線LANの通信を暗号化して盗聴や不正接続を防ぐ規格。WPA3のほうが新しく安全性が高い。暗号化しない運用は、電波を傍受されると内容が丸見えになる。

S/MIME

電子メールの暗号化とディジタル署名を行う方式。公開鍵暗号とディジタル証明書を利用し、盗み見となりすまし・改ざんの両方に対応する。

例題

出典・根拠：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ（情報セキュリティ実装技術・暗号技術・認証技術）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。