第9章 情報セキュリティの基礎知識

9.1 情報セキュリティの3要素 — CIA

情報セキュリティとは、情報の次の3つの性質を守ることと定義されます。頭文字をとってCIAと呼びます。

重要なのは、セキュリティ=機密性(漏えい対策)だけではないことです。「サーバーが止まって業務ができない」も立派なセキュリティインシデント(可用性の侵害)です。バックアップも冗長化も、セキュリティ対策の一部なのです。

9.2 脅威・脆弱性・リスク

この3つの用語は混同されがちですが、明確に区別できます。

• 脅威(threat) — 損害を引き起こす可能性のある要因。攻撃者、マルウェア、災害、そして操作ミス
• 脆弱性(vulnerability) — 脅威につけ込まれる弱点。ソフトウェアのバグ、弱いパスワード、パッチ未適用、ルールの不備
• リスク(risk) — 脅威が脆弱性を突いたときに生じる損害の可能性。リスク = 脅威 × 脆弱性 × 資産の価値 というイメージで捉えます

「攻撃者(脅威)は消せないが、脆弱性は減らせる」──これが防御側の基本戦略です。パッチ適用や設定の見直しは、脆弱性を潰してリスクを下げる活動です。

9.3 認証と認可 — 「誰か」と「何をしていいか」

初学者が最も混同しやすい2つの概念です。ここで完全に区別しましょう。

• 認証(Authentication / AuthN) — あなたが誰であるかを確認すること。パスワード、生体認証、多要素認証(MFA)
• 認可(Authorization / AuthZ) — 認証された人が何をしてよいかを判断すること。ファイルの権限、管理者ロール

Pythonの擬似コードで書くと、この2段階は明確に別物だとわかります。

def handle_request(user, password, action):
    # 【認証】この人は本当に本人か?
    if not authenticate(user, password):
        return "401 Unauthorized(あなたが誰か確認できません)"

    # 【認可】本人だとして、この操作をする権限はあるか?
    if not is_allowed(user, action):
        return "403 Forbidden(その操作は許可されていません)"

    return do_action(action)

「ログインさえできれば全部の画面が見えてしまう」システムは、認証はあるが認可が欠けている典型例で、現実のWebアプリで最も多い脆弱性カテゴリのひとつです(第11章のOWASP Top 10で再登場します)。

認証を強くする — 多要素認証(MFA)

認証の要素は3種類に分類されます。知識(パスワード)、所持(スマホ、セキュリティキー)、生体(指紋、顔)。このうち2種類以上を組み合わせるのが多要素認証です。パスワードが漏れても、それだけでは突破されなくなります。IT部門としては「重要システムからMFAを必須化する」が定番の改善施策です。

9.4 2大原則 — 多層防御と最小権限

多層防御(Defense in Depth)

「どの対策も、いつかは破られる」前提で、防御を何層にも重ねる考え方です。

攻撃者
  ↓ ファイアウォール      ← 突破されても…
  ↓ 侵入検知(IDS/EDR)    ← 検知できる
  ↓ アクセス制御・MFA      ← 侵入されても権限がない
  ↓ データの暗号化         ← 盗まれても読めない
  ↓ バックアップ           ← 壊されても復旧できる
  ↓ ログと監査             ← 何が起きたか追跡できる

最小権限の原則(Principle of Least Privilege)

人にもプログラムにも、業務に必要な最小限の権限だけを与える原則です。全員が管理者権限を持つ組織では、1人のPCの感染が全社の感染に直結します。第1部で学んだ「タプルで変更を禁止する」「変数のスコープを狭くする」「カプセル化」は、すべてこの原則のコード版でした。

9.5 攻撃の流れを知る — サイバーキルチェーン

標的型攻撃は、おおむね次の段階を踏みます。防御側はどの段階で検知・遮断するかを考えます。

1. 偵察 — 公開情報やSNSから標的の情報を収集
2. 武器化・配送 — マルウェア付きメールなどを送り込む(フィッシング)
3. 侵入・実行 — 添付ファイルの開封や脆弱性の悪用でコードが動く
4. 権限昇格・横展開 — より強い権限を奪い、他のサーバーへ移動
5. 目的実行 — データの窃取、暗号化(ランサムウェア)、破壊

この流れを知ると、日々の業務の意味がわかります。不審メール訓練は②への、パッチ適用は③への、権限の棚卸しは④への、ログ監視は全段階への対策です。

9.6 法律とマナー — 学ぶ人の責任

セキュリティを学ぶと、攻撃の手法にも触れることになります。日本で最低限知っておくべき法律があります。

• 不正アクセス禁止法 — 他人のID/パスワードでのログイン、認証を回避したアクセスは、それ自体が犯罪(未遂・試行も対象になり得る)
• 刑法(電子計算機損壊等業務妨害など) — データ破壊やシステム妨害
• 個人情報保護法 — 個人データの適正な取り扱い義務

まとめ

• セキュリティ=CIA(機密性・完全性・可用性)を守ること。可用性も忘れない
• リスクは「脅威 × 脆弱性 × 資産価値」。防御側は脆弱性を減らす
• 認証=誰か、認可=何をしていいか。両方そろって初めて安全
• 多層防御と最小権限が2大原則
• 学習は必ず自分の環境で。許可の無いアクセスは犯罪

練習問題