関連分野（技術・管理・戦略）

1. ネットワークの基礎（守るために知っておくこと）

ネットワークの仕組みを、セキュリティを守る立場から必要な範囲で押さえます。どこで区切ればどこまで守れるのか、どの通信を止めればよいのかが判断できるようになります。

ネットワークは、つながる範囲によってLANとWANに分けられます。LANは事業所や建物の中など、自分たちで管理できる範囲のネットワーク。WANは離れた拠点どうしを通信事業者の回線でつないだ、自分たちでは管理しきれないネットワークです。セキュリティを考えるうえで大事なのは「どこまでが自分の管理下か」という線引きです。自社のLANの中は自分たちのルールで守れますが、インターネットを通る部分は誰が見ているか分かりません。だから外を通る通信は暗号化する、という発想になります。

通信の役割分担を7つの層に整理したのがOSI基本参照モデルです。下から物理層、データリンク層、ネットワーク層、トランスポート層、セション層、プレゼンテーション層、アプリケーション層。実際のインターネットで使われるTCP/IPは、これをネットワークインタフェース層・インターネット層・トランスポート層・アプリケーション層の4階層にまとめた形です。層を意識すると、対策の道具の選び方が分かります。パケットフィルタリング型のファイアウォールはネットワーク層とトランスポート層（IPアドレスとポート番号）を見て通す・通さないを決め、WAFやプロキシはアプリケーション層まで中身を見て判断します。だからSQLインジェクションのような中身の攻撃は、ポート番号だけを見るファイアウォールでは止められません。

ネットワーク機器も役割で覚えます。リピータハブは受け取った信号を全ポートへそのまま流すので、盗聴されやすく現在はほとんど使われません。スイッチングハブ（L2スイッチ）はMACアドレスを見て宛先のポートにだけ送ります。ルータはIPアドレスを見て別のネットワークへ中継する機器で、ネットワークどうしの境界に立ちます。ファイアウォールは境界で通信を選別し、プロキシサーバは社内の端末に代わって外部と通信して、URLフィルタリングやアクセスログの取得を行います。無線LANアクセスポイントは電波でLANに参加させる入口なので、ここの認証が甘いと建物の外から侵入されます。

IPアドレスは、ネットワーク部とホスト部に分かれています。どこまでがネットワーク部かを示すのがサブネットマスクで、これを変えるとネットワークを小さく区切れます。これがセキュリティ上とても重要です。部門ごと、用途ごとにサブネットを分けておけば、1台がマルウェアに感染しても被害が同じサブネットの中にとどまりやすく、境界のルータやファイアウォールで通信を止められます。逆に全社を1つの大きなネットワークにしていると、感染は一気に横に広がります。サーバだけを別区画（DMZ）に置く、来客用の無線LANを社内LANから切り離す、といった対策はすべてこの考え方です。プライベートIPアドレス（10.0.0.0〜、172.16.0.0〜、192.168.0.0〜）は組織の中だけで使うアドレスで、インターネットからは直接届きません。NAT/NAPTでグローバルIPアドレスに変換して外へ出ますが、これは節約のための仕組みであって、セキュリティ対策そのものではありません。外から直接届きにくいという副次的な効果はありますが、ファイアウォールの代わりにはなりません。

ポート番号は、同じ相手のどのサービスへの通信かを示す番号です。よく使うものは覚えておきましょう。HTTPが80、HTTPSが443、SMTPが25、POP3が110、IMAP4が143、DNSが53、SSHが22、FTPが20と21です。ファイアウォールの設定は「どのIPアドレスから、どのIPアドレスの、どのポート番号への通信を許すか」で書くので、ポート番号が分からないとルールが読めません。必要な通信だけを許可し、それ以外はすべて拒否する（デフォルト拒否）が原則です。DNSはドメイン名をIPアドレスに変換する仕組み、DHCPは端末にIPアドレスを自動で配る仕組みで、どちらも止まると業務が止まるうえ、偽の応答を返されると偽サイトへ誘導されます。

外を通る通信を守る代表がVPNです。インターネットの上に暗号化された仮想的な専用線をつくります。IPsec-VPNはネットワーク層で暗号化するので、拠点間をまるごとつなぐ用途に向きます。SSL-VPN（TLSを使うVPN）はWebブラウザからでも使え、在宅勤務の端末から社内へ入る用途でよく使われます。ただしVPNは「通り道を守る仕組み」であって、つないでくる端末が安全かどうかは別問題です。マルウェアに感染した自宅PCがVPNでつながれば、暗号化されたまま社内へマルウェアが入ってきます。VPN装置自体の脆弱性を放置して侵入される事故も多く、パッチ適用と多要素認証がセットで必要です。

無線LANは電波が壁を越えて届くので、有線より慎重に扱います。SSIDはアクセスポイントの識別名で、暗号化方式はWPA2かWPA3を使います。WEPは短時間で解読されるため使ってはいけません。SSIDのステルス機能（SSIDを電波にのせない設定）やMACアドレスフィルタリングは、まったく無意味ではないものの、通信を観測すればSSIDもMACアドレスも分かってしまうため、これだけを頼りにしてはいけません。守りの本体はあくまで暗号化と認証です。公衆無線LANでは、暗号化されていないアクセスポイントや、正規のものに似せた偽アクセスポイントに注意し、業務で使うならVPNを併用します。

メールはSMTPで送り、POP3またはIMAP4で受け取ります。POP3はメールを端末にダウンロードして管理する方式、IMAP4はサーバ上に置いたまま複数端末から見る方式です。メールは差出人を簡単に詐称できるので、なりすまし対策として送信ドメイン認証があります。SPFは「そのドメインのメールを送ってよいサーバのIPアドレス」をDNSに公開して照合する仕組み、DKIMは送信側が電子署名を付け、受信側がDNSの公開鍵で検証する仕組み、DMARCはSPFとDKIMの結果を踏まえて、認証に失敗したメールをどう扱うか（何もしない・隔離・拒否）を送信ドメイン側の方針として示し、結果の報告も受け取る仕組みです。

地味ですが重要なのがNTPによる時刻同期です。機器ごとに時計がずれていると、複数のログを時刻順に並べても事実の順序が分からず、いつ侵入されて何が起きたのかを追えません。証拠としての価値も下がります。だから社内の機器を共通のNTPサーバに同期させ、ログの時刻をそろえておくことが、インシデント調査と監査証跡の前提になります。最後に、5Gは高速・大容量・低遅延・多数同時接続が特徴で、IoT機器が大量にネットワークにつながる時代を支えています。IoT機器は初期パスワードのまま使われる、更新が提供されないといった弱点があり、乗っ取られてDDoS攻撃の踏み台にされます。IoT機器も資産として管理し、初期パスワードを変更し、業務ネットワークとは別のセグメントに置くのが基本です。

用語

OSI基本参照モデル

通信の役割を物理層からアプリケーション層までの7階層に整理した国際的な参照モデル。どの層で守る対策なのかを整理するのに使う。ファイアウォールはネットワーク層・トランスポート層、WAFやプロキシはアプリケーション層で働く。

サブネット

サブネットマスクによって大きなネットワークを小さく区切った単位。部門や用途ごとに分けておくと、1台が感染しても被害が区画内にとどまりやすく、境界の機器で通信を遮断して封じ込められる。

プライベートIPアドレス

10.0.0.0、172.16.0.0、192.168.0.0で始まる範囲など、組織内だけで自由に使えるIPアドレス。インターネット上では使えず直接は届かないが、それ自体はセキュリティ対策ではなくファイアウォールの代わりにはならない。

NAT／NAPT

プライベートIPアドレスとグローバルIPアドレスを変換する仕組み。NAPTはポート番号も併せて変換し、1つのグローバルアドレスを多数の端末で共有できる。目的はアドレスの節約であって、防御機能ではない。

ポート番号

同じ機器上のどのサービス宛ての通信かを示す番号。HTTP80、HTTPS443、SMTP25、POP3が110、IMAP4が143、DNS53、SSH22、FTP20/21。ファイアウォールのルールはIPアドレスとポート番号の組合せで書く。

DMZ

外部に公開するサーバを、社内LANともインターネットとも切り離した中間の区画に置く構成。公開サーバが侵害されても、そこから社内LANへ直接入れないようにするための区画分けである。

VPN

インターネットなどの公衆網の上に、暗号化によって仮想的な専用線をつくる技術。ネットワーク層で暗号化するIPsec-VPNと、TLSを使いブラウザからも利用できるSSL-VPNがある。通り道は守るが、接続してくる端末の安全性は別に確保する必要がある。

WPA2／WPA3

無線LANの暗号化・認証方式。WPA3が最新で、WPA2も現在広く使われる。旧方式のWEPは短時間で解読可能なため使用してはならない。SSIDのステルス化やMACアドレスフィルタは補助にすぎない。

SPF／DKIM／DMARC

メールの送信ドメインを認証する仕組み。SPFは送信元サーバのIPアドレスをDNSで照合し、DKIMは電子署名を検証する。DMARCは両者の結果を踏まえた取扱い方針（なし・隔離・拒否）を公開し、認証結果の報告も受け取る。

NTP

ネットワーク上の機器の時刻を合わせるプロトコル。機器間で時刻がずれているとログを時系列で突き合わせられず、インシデントの原因究明も監査証跡としての証明力も損なわれる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A テクノロジ系（ネットワーク方式、通信プロトコル、ネットワーク応用）／同 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策

2. システムとデータの基礎

システムの構成、止まらない仕組み、データベースの守り方を押さえます。クラウドでどこまでが自分の責任なのかが分かるようになります。

システムの基本形はクライアントサーバです。利用者が使う側（クライアント）と、処理やデータを預かる側（サーバ）に役割を分けます。Webシステムはその代表で、ブラウザさえあれば使えるかわり、Webサーバが侵害されると大量の利用者に影響が及びます。仮想化は1台の物理サーバの上に複数の仮想サーバを動かす技術で、資源を効率よく使えますが、土台の物理サーバやハイパバイザが侵害されると、その上のすべての仮想サーバに影響します。仮想サーバも1台のサーバとして、パッチ適用・アカウント管理・ログ取得が必要です。

クラウドサービスは、どこまでを事業者が提供するかで3つに分かれます。IaaSはサーバやストレージ、ネットワークといったインフラだけを提供するので、利用者はゲストOS、ミドルウェア、アプリケーション、データ、アカウントを自分で管理します。PaaSはOSやミドルウェアまで事業者が用意し、利用者はその上で動かすアプリケーションとデータ、アカウントに責任を持ちます。SaaSは完成したアプリケーションを使う形なので、利用者の責任はデータそのものと、利用者アカウントや共有設定・アクセス権の設定に絞られます。これを責任共有モデル（責任分界）といいます。重要なのは「クラウドにしたから安全になる」わけではないことです。実際の事故の多くは、事業者側の障害ではなく、利用者が設定したアクセス権や公開範囲の誤りによる情報漏えいです。どの形態でも、自社のデータと利用者アカウントの管理からは逃れられません。契約前には、事業者の管理水準、データの保存場所、障害時の責任範囲、監査報告書の有無、契約終了時のデータ返却と消去を確認します。

止まらない仕組みが可用性です。デュアルシステムは同じ処理を2系統で並行して行って結果を照合する方式、デュプレックスシステムは主系が動き、待機系を用意しておく方式です。待機系にあらかじめ電源を入れてすぐ切り替えられる状態にしておくのがホットスタンバイ、停止させておいて必要時に起動するのがコールドスタンバイです。切替えが速いほど費用はかかるので、事業への影響度に見合った構成を選びます。可用性を上げる構成は、そのまま事業継続（BCP）につながります。

稼働率は、システムが使える状態にある時間の割合です。すべての装置が動かないと動かない構成（直列）では、全体の稼働率は各装置の稼働率の積になります。稼働率0.9の装置2台が直列なら0.9×0.9＝0.81です。台数を増やすほど全体は下がります。どれか1つ動けばよい構成（並列・冗長化）では、全体の稼働率は1から「全部が同時に止まる確率」を引いて求めます。0.9の装置2台の並列なら1−(1−0.9)×(1−0.9)＝0.99です。冗長化すると稼働率が上がることが数字で確認できます。関連する指標として、平均故障間隔（MTBF）は故障せずに動いている時間の平均、平均修復時間（MTTR）は復旧にかかる時間の平均で、稼働率はMTBF÷(MTBF＋MTTR)で表されます。性能の指標では、単位時間に処理できる仕事量がスループット、要求を出してから応答が返るまでの時間がレスポンスタイムです。

データを守る仕組みも押さえます。RAIDは複数のディスクを組み合わせて、ディスクが1台壊れてもデータを失わないようにする技術です。RAID1（ミラーリング）は同じ内容を2台に書き、RAID5はパリティを分散して記録します。ただしRAIDが守るのはディスクの故障だけです。誤ってファイルを消した場合も、ランサムウェアに暗号化された場合も、その操作はそのまま全ディスクに反映されます。だからRAIDはバックアップの代わりになりません。バックアップは、世代を複数残し、少なくとも1つはネットワークから切り離した場所（オフライン）または遠隔地に保管します。ランサムウェアは共有フォルダ上のバックアップまで暗号化しにいくからです。そして復元できることを定期的に試すこと。取っているつもりで戻せないバックアップは、無いのと同じです。

データベースは、データを表（テーブル）の形で管理し、DBMSというソフトウェアが利用者からの要求をまとめて処理します。表の中で1行を一意に識別する列が主キーで、空にできず重複もできません。正規化は、同じデータがあちこちに重複して持たれる状態をなくし、更新時の矛盾（更新のたびに片方だけ直ってしまう、といった不整合）を防ぐための整理です。トランザクションは、一連の処理をまとめて「全部やる」か「全部やらない」かにする単位で、その性質をACID（原子性・一貫性・独立性・耐久性）と呼びます。障害が起きたときは、バックアップとログを使って復旧します。処理途中で中断したものを取り消して開始前に戻すのがロールバック、バックアップ時点に更新後ログを反映して障害直前まで進めるのがロールフォワードです。ログが無ければどちらもできないので、ログの保全そのものが可用性の要になります。

データベースのセキュリティでは、まずアクセス権です。利用者や役割ごとに、どの表のどの操作（参照・追加・更新・削除）を許すかを設定し、業務に必要な最小限にとどめます。特定の列や行だけを見せたいときはビューが有効です。たとえば人事の表から、氏名と所属だけを取り出したビューを作って一般の利用者に参照権限を与えれば、給与や個人番号の列には触れさせずに済みます。さらに、機微なデータは列単位で暗号化する、データベースファイルやバックアップ全体を暗号化するといった対策を重ねます。暗号化されていれば、媒体やバックアップが盗まれても内容を読み取られません。あわせて、誰がいつどのデータにアクセスしたかのアクセスログを取得し、保管します。

運用面では、OSやソフトウェアのパッチ適用を計画的に行うこと。脆弱性が公表されてから攻撃が始まるまでの時間は年々短くなっており、放置は侵入の入口になります。サポートが終了した製品は修正が提供されないので、更新できないなら使い続けない、が原則です。OSS（オープンソースソフトウェア）は自由に利用・改変・再配布ができますが、ライセンス条件を守る義務があり、脆弱性情報や更新は自分で追いかけて適用する必要があります。無償だから責任がないのではなく、使う側が管理する責任を負うと考えます。記憶媒体を廃棄するときは、ファイル削除やクイックフォーマットではデータが残るため、専用ソフトによる上書き消去、暗号化消去、または物理的な破壊を行い、その記録を残します。

用語

IaaS

サーバ、ストレージ、ネットワークといったインフラを提供するクラウドサービス。ゲストOSより上（OSのパッチ適用、ミドルウェア、アプリケーション、データ、アカウント）は利用者の責任範囲になる。

PaaS

OSやミドルウェア、実行環境まで事業者が用意するクラウドサービス。利用者はその上で動くアプリケーションの脆弱性対策、データ、アカウント管理に責任を持つ。

SaaS

完成した業務アプリケーションを利用する形態のクラウドサービス。利用者の責任はデータと利用者アカウント、共有・公開範囲やアクセス権の設定に絞られるが、そこは必ず利用者が守る必要がある。

責任共有モデル

クラウドの安全確保について、事業者と利用者のどちらが何を守るかを分ける考え方。IaaS→PaaS→SaaSの順で事業者の担当範囲が広がるが、データと利用者アカウントの管理はどの形態でも利用者の責任として残る。

ホットスタンバイ

待機系にあらかじめ電源を入れ、すぐに切り替えられる状態で待たせておく冗長構成。切替えが速く停止時間が短いが費用は高い。停止させておくコールドスタンバイは安価だが復旧に時間がかかる。

稼働率

システムが使える状態にある時間の割合。MTBF÷(MTBF＋MTTR)で表される。直列構成では各装置の稼働率の積、並列（冗長）構成では1から全装置が同時に停止する確率を引いた値になる。

MTBF／MTTR

MTBFは平均故障間隔で、故障せずに動作している時間の平均。MTTRは平均修復時間で、故障してから復旧するまでの時間の平均。MTBFを延ばすか、MTTRを短くすると稼働率が上がる。

RAID

複数のディスクを組み合わせ、1台が故障してもデータを失わないようにする技術。RAID1はミラーリング、RAID5はパリティの分散記録。守れるのはディスク故障だけで、誤削除やランサムウェアによる暗号化は全ディスクに反映されるためバックアップの代替にはならない。

トランザクションとACID

一連の処理を全部実行するか全部取り消すかにまとめた単位がトランザクション。原子性・一貫性・独立性・耐久性という4つの性質をACID特性と呼び、途中で障害が起きても矛盾した状態を残さないことを保証する。

ロールバック／ロールフォワード

ロールバックは処理途中で中断したトランザクションを取り消して開始前の状態に戻す復旧。ロールフォワードはバックアップに更新後ログを反映して障害直前の状態まで進める復旧。どちらもログの保全が前提となる。

ビュー

元の表から必要な列や行だけを取り出して定義する仮想的な表。給与などの列を除いたビューだけに参照権限を与えれば、利用者に見せる範囲を限定でき、最小権限の原則を実現しやすい。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A テクノロジ系（システム構成要素、データベース、ソフトウェア）／同 大分類1：技術要素　中分類1：セキュリティ　小分類4 情報セキュリティ対策

3. 開発とサービスの管理

システムを作る流れと、動かし続ける仕組みを押さえます。どの段階でセキュリティを組み込むべきか、監査は何のためにあるのかが分かるようになります。

システム開発は、要件定義→設計（外部設計・内部設計）→実装（プログラミング）→テスト→運用・保守、という流れで進みます。要件定義は「何ができるシステムにするか」を決める段階で、利用部門が主役です。ここでの決めごとが後工程すべてを縛ります。セキュリティで最も大事なのは、この要件定義の段階でセキュリティ要件を書き込むことです。アクセス権をどう分けるか、ログを何をどれだけ残すか、通信と保存データを暗号化するか、認証を多要素にするか。こうしたことを最初から設計に織り込む考え方をセキュリティバイデザインといいます。完成してから後付けしようとすると、設計に手を入れる大工事になり、費用も期間も何倍にもなります。多くの場合、直しきれずに危ない状態のまま運用が始まってしまいます。だから「後から付ける」のではなく「最初から入れる」のです。

テストにはいくつかの見方があります。ホワイトボックステストは、プログラムの内部構造を見て、命令や分岐が漏れなく通るかを確かめる方法。ブラックボックステストは、内部構造は見ずに、入力に対して仕様どおりの出力が返るかを確かめる方法です。これに対しペネトレーションテスト（侵入テスト）は、攻撃者の立場で実際に侵入を試み、防御を突破できてしまうかを確認するテストです。目的が違うので、機能テストが全部合格していても、ペネトレーションテストで侵入できてしまうことは普通にあります。脆弱性診断やペネトレーションテストは、本番稼働前に実施し、見つかった弱点を直してから公開するのが原則です。なお、他人が管理するシステムに対して許可なく侵入を試みる行為は不正アクセス禁止法に触れるため、必ず事前に管理者の書面による承諾を得て、範囲と期間を決めて実施します。

プロジェクトマネジメントは、期限のある一度きりの活動を計画どおり終わらせるための管理です。対象範囲を決めるスコープ管理、日程のスケジュール管理、費用のコスト管理、品質管理、要員の資源管理、関係者への伝え方を決めるコミュニケーション管理、そしてリスク管理と調達管理があります。セキュリティの観点では、リスク管理で「情報漏えい」「納期遅延によるテスト省略」といった脅威をあらかじめ洗い出しておくこと、調達管理で外部委託先に守らせるセキュリティ要件を契約に書き込むことが要になります。スコープを途中で無制限に広げると、しわ寄せがテスト工程に来て、セキュリティの確認が省かれます。

作ったシステムを安定して提供し続けるための管理がサービスマネジメントです。SLA（サービスレベル合意書）は、提供者と利用者の間で、サービスの品質水準を数値で合意した文書です。稼働率、障害時の復旧目標時間、問合せへの応答時間などを定めます。決めた水準を継続的に測定・評価し、改善していく活動全体がSLM（サービスレベル管理）です。SLAには可用性だけでなく、セキュリティに関する事項（インシデント発生時の報告期限、ログの保存期間、脆弱性への対応時間など）も入れておくと、いざというときに何をしてもらえるかが明確になります。窓口としてはサービスデスクを一本化し、利用者からの問合せや障害の申告をすべてそこで受け付けます。窓口が一つなら、記録が集まり、複数の申告から異常の兆候に気づけます。

サービスマネジメントの主なプロセスを整理します。インシデント管理は、サービスの中断や品質低下が起きたとき、できるだけ早く通常のサービスに戻すことが目的です。原因が分からなくても、暫定的な回避策で業務を戻してかまいません。問題管理は、インシデントの根本原因を突き止め、恒久的な対策によって再発を防ぐことが目的です。「目の前の火を消すのがインシデント管理、火元を直すのが問題管理」と覚えると混同しません。両者は目的が違うので、別のプロセスとして管理します。変更管理は、システムへの変更を無秩序に行わせず、影響を評価し、承認を得てから実施し、記録する仕組みです。承認されていない変更を防ぐこと自体がセキュリティ対策になります。構成管理は、機器・ソフトウェア・設定といった構成要素とその関係を正確に把握し続ける活動で、脆弱性が公表されたときに「うちのどれが該当するか」をすぐに特定できる状態を作ります。リリース管理は変更を本番環境へ確実に反映する活動、可用性管理は合意した稼働水準を維持する活動、容量・能力管理は必要な処理能力を確保する活動です。

システム監査は、情報システムが適切に管理・運用されているかを、独立した立場の監査人が点検・評価し、改善につなげる仕組みです。ここで最も重要なのが独立性です。監査人は、監査の対象となる部門から独立していなければなりません。自分が構築や運用に関わったシステムを自分で監査すれば、都合の悪いことを見逃す（または見逃したと疑われる）からです。組織上の身分が独立していること（外観上の独立性）と、公正・客観的な判断ができること（精神上の独立性）の両方が求められます。情報システム部門の担当者が自部門の運用を監査することは、たとえ本人が公正でも独立性の要件を満たしません。

監査は、計画（監査計画の策定）→予備調査→本調査→評価・結論→報告→フォローアップ、という手順で進みます。監査人は、自分の意見を裏づける証拠として監査証拠を集め、それをどのように評価し結論に至ったかを監査調書に記録します。監査証跡とは、処理がいつ誰によってどのように行われたかを、記録によって遡って追跡できる仕組み・記録のことです。アクセスログ、操作履歴、承認記録などがこれにあたり、監査証跡があるからこそ事後の検証ができます。監査の結果は監査報告書として依頼者（一般には経営者）へ報告し、指摘した事項について改善が実行されたかを確認するのがフォローアップです。ここで注意したいのは、改善そのものを実施するのは被監査部門であり、監査人ではないという点です。監査人が自ら改善策を実施してしまえば、次の監査で自分の仕事を監査することになり、独立性が失われます。

内部統制は、業務を有効かつ効率的に行い、財務報告の信頼性を確保し、法令を守り、資産を保全するために、組織の中に組み込む仕組みです。その代表的な考え方が職務分掌で、1人の担当者が申請から承認、実行、記録までを一貫して行えないように役割を分け、相互に牽制させます。発注する人と検収する人を分ける、システムの開発担当者に本番環境の変更権限を与えない、といった形です。これは特定の人を疑う話ではなく、不正が起きにくい構造をあらかじめ作っておくという話です。そしてITガバナンスは、経営者がITの活用を統制し、企業価値の向上につなげる責任を負うという考え方で、セキュリティ投資の判断や方針の承認は経営者の役割になります。

用語

セキュリティバイデザイン

企画・要件定義の段階からセキュリティを設計に組み込む考え方。後工程で追加すると設計変更を伴い費用と期間が膨らみ、対策が不十分なまま運用開始となりやすいため、最初から要件として定義する。

ペネトレーションテスト

攻撃者の立場で実際に侵入を試み、防御を突破できるかを確認するテスト。機能が仕様どおり動くかを見るホワイトボックス／ブラックボックステストとは目的が異なる。実施には対象システム管理者の事前承諾が必要。

SLA／SLM

SLAは提供者と利用者がサービス品質の水準を数値で合意した文書。稼働率や復旧目標時間に加え、インシデント報告期限やログ保存期間などセキュリティ事項も定める。SLMはその水準を測定・評価し改善し続ける管理活動。

サービスデスク

利用者からの問合せ、障害申告、要望を一元的に受け付ける単一の窓口。記録が一か所に集まるため、複数の申告からインシデントの兆候を早期に把握でき、対応漏れも防げる。

インシデント管理

サービスの中断や品質低下から、できるだけ早く通常の状態へ戻すことを目的とするプロセス。根本原因が未解明でも、暫定的な回避策で業務を復旧させてよい点が問題管理との大きな違い。

問題管理

インシデントの根本原因を究明し、恒久的な対策によって再発を防ぐことを目的とするプロセス。早期復旧を目的とするインシデント管理とは目的が異なるため、別のプロセスとして管理する。

変更管理

システムへの変更について影響を評価し、承認を得てから計画的に実施し、記録する仕組み。承認されていない変更や場当たり的な設定変更を防ぐこと自体がセキュリティ対策になる。

構成管理

機器、ソフトウェア、バージョン、設定などの構成要素とその関係を正確に把握し続ける活動。脆弱性が公表されたとき、該当する資産をすぐ特定して対処できる状態を作る。

システム監査人の独立性

監査人が被監査部門から組織上独立していること（外観上の独立性）と、公正・客観的に判断できること（精神上の独立性）。自ら構築・運用に関与したシステムを監査してはならず、改善の実施も被監査部門が行う。

監査証跡

処理がいつ誰によってどのように行われたかを、記録によって順に遡って追跡できる仕組みや記録。アクセスログ、操作履歴、承認記録などが該当し、事後の検証と不正の抑止に役立つ。

職務分掌

申請・承認・実行・記録といった役割を複数の人に分け、相互に牽制させる内部統制の基本的な仕組み。1人で一連の処理を完結できなくすることで、不正やミスが起きにくい構造をつくる。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A マネジメント系（システム開発技術、プロジェクトマネジメント、サービスマネジメント、システム監査）

4. 経営と戦略の基礎

企業がどう動き、どう投資を決めるかを押さえます。セキュリティが経営の課題であること、委託先や生成AIをどう扱うかが分かるようになります。

企業は経営理念を掲げ、それを実現するために経営戦略を立て、組織をつくって活動します。改善を回す基本の型がPDCAサイクル（計画→実行→評価→改善）で、ISMSもこの型で運用されます。組織形態には、職能ごとに分ける職能別組織、製品や地域ごとに分ける事業部制組織、職能と事業の両方の指揮系統を持つマトリックス組織、特定の目的のために一時的に編成するプロジェクト組織などがあります。経営層の役割では、CEOが経営全般の最高責任者、CIOが情報システム全体の戦略と活用に責任を持つ最高情報責任者、CISOが情報セキュリティに関する最高責任者です。CISOは、セキュリティ方針の策定、リスクへの対応方針の決定、インシデント発生時の指揮、経営層への報告といった責任を負います。セキュリティを情報システム部門の一担当者に任せきりにせず、経営層に責任者を置くこと自体が、組織としてセキュリティに取り組む姿勢を示します。

コーポレートガバナンス（企業統治）は、経営者が適切に経営を行っているかを、株主など外部の視点も入れて監督する仕組みです。社外取締役や監査役の設置、情報開示などがその手段になります。内部統制は、業務の有効性・効率性、財務報告の信頼性、法令等の遵守、資産の保全を達成するために、組織の中に組み込む仕組みで、経営者が整備・運用の責任を負います。職務分掌による相互牽制、承認手続、記録の保存などが具体策です。情報セキュリティは、この内部統制の一部として位置づけられます。あわせて、企業が社会に対して負う責任がCSRで、環境や人権への配慮、コンプライアンスなどが含まれます。SDGsは国連が採択した2030年までの持続可能な開発目標で、企業活動の方向づけにも使われます。個人データを適切に扱うことは、いまや社会的責任の一部です。

財務の基礎も少し押さえます。損益計算書では、売上高から売上原価を引いた売上総利益、そこから販売費及び一般管理費を引いた営業利益、それに営業外の収益と費用を加減した経常利益、といった段階で利益を見ます。損益分岐点は、売上高と費用がちょうど等しくなり利益がゼロになる売上高のことで、これを超えると利益が出ます。費用は、売上に応じて増える変動費と、売上に関係なくかかる固定費に分けて考えます。セキュリティ投資も同じ土俵で説明する必要があります。対策には費用がかかりますが、事故が起きたときの損失（復旧費用、賠償、売上機会の損失、信用の失墜）と比べて説明するのが基本です。想定される年間の損失額（発生確率×1回あたりの損失）が対策によってどれだけ減るかと、対策の年間費用を比べて、投資の妥当性を判断します。損失額をはるかに超える費用をかけるのも、明らかに小さい費用を惜しんで大きな損失を招くのも、どちらも経営判断としては誤りです。ただし、人命や法令遵守に関わるものは費用対効果だけで判断しません。

システム戦略は、経営戦略を実現するために情報システムをどう活用するかの方針です。情報システム戦略は経営戦略と整合していなければならず、情報システム部門が単独で決めるものではありません。EA（エンタープライズアーキテクチャ）は、組織の業務とシステムの全体像をビジネス・データ・アプリケーション・技術の各体系で描き、現状と理想を対比して移行計画を立てる手法です。DX（デジタルトランスフォーメーション）は、データとデジタル技術を活用して製品・サービスやビジネスモデル、業務そのものを変革し、競争上の優位を確立することを指します。単なるIT化・電子化ではなく、変革であるという点が重要です。DXを進めるほど扱うデータは増え、外部とのつながりも増えるので、セキュリティの確保が前提条件になります。守りが弱いまま進めれば、変革の成果ごと失うことになります。

システム企画から調達までの流れも定番です。まず情報提供依頼書（RFI）を出して、市場にどんな製品・サービス・技術があるかの情報を集めます。次に、集めた情報をもとに要件を整理し、提案依頼書（RFP）を作って複数のベンダに提示します。RFPには、システムに求める機能、性能、予算、納期、体制、そしてセキュリティ要件を明記します。ベンダから提案書と見積書を受け取り、あらかじめ決めた基準で評価して発注先を選定し、契約を締結します。順序はRFI→RFP→提案書→契約です。情報を集める段階が先で、提案を求める段階が後、と押さえておけば迷いません。

委託先の選定では、価格と納期だけで決めてはいけません。セキュリティを評価項目に入れます。ISMS（JIS Q 27001）認証やプライバシーマークの取得状況、再委託の可否と再委託先の管理方法、従業員への教育と守秘義務契約、事故が起きたときの報告義務と期限、監査を受け入れる条項、契約終了時のデータの返却・消去の方法。これらを選定基準と契約書に明記します。そして忘れてはならないのが、委託しても責任は委託元に残るという原則です。個人データの取扱いを委託した場合、委託元には委託先に対する必要かつ適切な監督の義務があります。委託先で漏えいが起きても「任せていたので知らない」では済まされず、委託元の管理責任が問われます。契約して終わりではなく、定期的に報告を受け、状況を確認し続けることが必要です。

経営戦略を考えるための分析手法もいくつか出てきます。SWOT分析は、内部環境の強み（Strength）と弱み（Weakness）、外部環境の機会（Opportunity）と脅威（Threat）の4つに整理する手法。3C分析は顧客（Customer）・競合（Competitor）・自社（Company）の視点で市場を見る手法。PPM（プロダクトポートフォリオマネジメント）は、市場成長率と市場占有率の2軸で事業や製品を「花形」「金のなる木」「問題児」「負け犬」に分類し、経営資源の配分を考える手法です。目標の管理では、最終的に達成すべき成果指標がKGI、それを達成するために決定的に重要な要因がCSF、進捗を測る中間的な指標がKPIです。セキュリティにもこの考え方は使えます。たとえばKGIを「重大インシデントの発生ゼロ」とし、CSFを「全従業員のセキュリティ意識向上」、KPIを「標的型攻撃メール訓練の開封率」「教育の受講率」「脆弱性の平均修正日数」と置けば、活動の進み具合を数字で経営層に説明できます。

最後に生成AIの業務利用です。文章や画像を作れる便利な道具ですが、留意点が3つあります。第一にハルシネーション。生成AIは、事実でない内容をもっともらしい文章で出力することがあります。出力をそのまま正しいものとして使わず、必ず人が事実確認をしてから使います。第二に入力情報の漏えい。入力した内容が学習に使われたり、事業者側に保存されたりする場合があり、顧客の個人情報、未公表の経営情報、ソースコードなどを安易に入力すると、そこから外部へ出ていく恐れがあります。だから「何を入力してよいか／いけないか」を利用ルールとして定め、機密情報の入力を禁止し、業務での利用は組織が承認したサービスに限定します。個人が勝手に使う状態（シャドーIT）は特に危険です。第三に著作権など権利の問題。生成物が既存の著作物に似てしまう場合があり、そのまま公表・販売すると権利侵害になる恐れがあります。利用規約で商用利用の可否も確認します。要するに、生成AIは「下書きを作る道具」として使い、最終的な確認と責任は人が持つ、というのが基本の姿勢です。

用語

CISO

最高情報セキュリティ責任者。情報セキュリティ方針の策定、リスク対応方針の決定、インシデント時の指揮、経営層や社外への報告に責任を負う経営層の役職。情報システム全体に責任を持つCIOとは役割が異なる。

コーポレートガバナンス

経営者が適切に経営を行っているかを、株主など外部の視点も入れて監督する企業統治の仕組み。社外取締役や監査役の設置、適切な情報開示などによって実現する。

内部統制

業務の有効性・効率性、財務報告の信頼性、法令等の遵守、資産の保全を達成するために組織へ組み込む仕組み。整備・運用の責任は経営者にあり、職務分掌や承認手続、記録の保存が具体策となる。

損益分岐点

売上高と費用が等しくなり、利益がちょうどゼロになる売上高。費用を変動費と固定費に分けて求める。セキュリティ投資の説明でも、費用と、事故時に見込まれる損失を比べる考え方が土台になる。

セキュリティ投資の費用対効果

対策にかかる年間費用と、対策によって減らせる想定損失額（発生確率×1回あたりの損失）を比較して投資の妥当性を判断する考え方。ただし人命や法令遵守に関わるものは費用対効果だけで決めない。

EA（エンタープライズアーキテクチャ）

組織の業務とシステムの全体像を、ビジネス・データ・アプリケーション・技術の各体系で描き、現状と理想を対比して移行計画を立てる手法。全体最適の観点から情報システムを整理する。

DX

データとデジタル技術を活用して、製品・サービスやビジネスモデル、業務・組織を変革し、競争上の優位を確立すること。単なる電子化ではなく変革を指す。扱うデータと外部接続が増えるため、セキュリティ確保が前提となる。

RFI（情報提供依頼書）

調達の初期段階で、市場にどのような製品・サービス・技術があるかの情報提供をベンダに依頼する文書。ここで得た情報をもとに要件を整理し、次の段階でRFPを作成する。

RFP（提案依頼書）

システムに求める機能・性能・予算・納期・体制・セキュリティ要件などを示し、ベンダに具体的な提案を依頼する文書。RFIの後に作成し、提出された提案書を評価基準に沿って比較して発注先を選ぶ。

SWOT分析

内部環境の強み・弱みと、外部環境の機会・脅威の4区分で自社の状況を整理する分析手法。顧客・競合・自社で市場を見る3C分析、市場成長率と占有率で事業を分類するPPMなどと使い分ける。

KGI／CSF／KPI

KGIは最終的に達成すべき成果指標、CSFはその達成に決定的に重要な成功要因、KPIは進捗を測る中間指標。セキュリティでも、訓練の開封率や脆弱性の平均修正日数などをKPIとして経営層に示せる。

ハルシネーション

生成AIが、事実に基づかない内容をもっともらしい文章として出力する現象。出力をそのまま正しいものとして扱わず、必ず人が事実確認を行ってから業務に用いる必要がある。

例題

出典・根拠：IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1 科目A ストラテジ系（経営・組織論、業務分析、会計・財務、システム戦略、システム企画、経営戦略手法）

演習：この章の問題を解く

ランダム出題の演習ツールです（JavaScript が有効な場合に動きます）。上の「確認問題」はそのままでもすべて読めます。