情報セキュリティ技士試験資料
1. 情報セキュリティとは何か
1-1. 守るべき情報とは
さまざまな情報
●情報の意味
情報とは、
・さまざまな事物やできごとなどの内容，様子，知らせ
・適切な判断や行動の意志決定に役立つ資料や知識
・機械系や生体系に与えられる指令や信号
・現代社会を構成する要素の一つ
●情報の記録形式
・写真，文字，イラストなどを掲載している新聞や週刊誌など
・映像や音楽を録画または録音しているDVDやCDなど
・パソコンで作成した名簿ファイルや売上票ファイルを保存しているハードディスクやUSBメモリなど
媒体（メディア）…情報を記録する有形物
紙媒体 …新聞や書類など
電子媒体（記憶媒体）…DVDやハードディスクなど
守らなければならない情報
●身の回りの情報
・個人情報
個人の指名，住所，メールアドレスなど
個人の家族関係、職業，趣向など
学生の成績や出席状況など
趣味や趣向など、プライバシーに関する情報で、特定の個人にかかわるものは個人情報として取り扱う
●情報資産
企業などの組織において、業務の遂行上価値を持つ情報
1-2. 情報に対する危険について
リスク，脅威，脆弱性の定義 （JIS Q 13335-1）
●リスク
ある脅威が、資産または資産グループの脆弱性を利用して、資産への損失、または損害を与える可能性
(情報資産に対する危険性や問題点)
インシデント
…リスクが顕在化し、実際に情報資産に対する被害が発生すること
●脅威
システムまたは組織に危害を与える、好ましくない偶発事故の潜在的な原因
(想定される危険の要因)
●脆弱性
脅威によって影響を受けうる資産または資産グループの弱さ
(脅威の影響を誘引する情報資産の弱点)
1-3. 情報セキュリティと情報のCIA
情報セキュリティとは
●情報セキュリティ
「正当な権利を持つ個人や組織が、情報や情報システムを意図したとおりに制御できること」
・情報を様々な危険から守ること
・許可されている利用者が、インターネットや社内ネットワークなどを含む情報システムを、許可されている範囲で利用できるようにすること
JIS Q 27001
「情報の機密性、完全性及び可用性を維持すること」
(機密性(Confidentiality), 完全性(Integrity), 可用性(Availability))
→情報のCIA
情報のCIAとは
●「～してよい情報」と「～してはいけない情報」
・誰でも自由に使えるものと自由に使えては困るもの
・書き換えられてよいものと書き換えられては困るもの
・使えなくても困らないものと必要な時に使えないと困るもの
●機密性(Confidentiality)
「だれでも自由に使えては困る情報を保護する」考え方
情報の漏えいを防ぐことによって、機密性が確保される
IDやパスワードによって、許可されていない人の情報アクセス権を制御する
●完全性(Integrity)
「書き換えられては困る情報を保護する」考え方
情報や情報処理の方法が正確であり、完全であるようにすること
不正アクセスによって自社の公式サイトの内容が書き換えられたりされないようにする、など
●可用性(Availability)
「必要な時に使えないと困る情報を必要な時に使えるようにする」考え方
許可された人が、必要な時に情報や情報資産にアクセスできることを確実にすること
機密性，完全性，可用性のバランス
●機密性，完全性，可用性のトレードオフ
機密性，完全性，可用性について、いずれかの要素を強化すると、ほかの要素が弱くなるという、トレードオフの関係が生じることがある。
例) 機密性を高 → 可用性が低
●利便性とバランス
・利便性 …情報システムなどを利用することにより｢便利だ｣と感じること
機密性，完全性，可用性のバランスがうまくとれていても、利用者が不便だと感じるようであれば本末転倒である
情報セキュリティの必要性
●ITの普及
・IT (Information Technology)
…パソコンや携帯電話などを利用した情報通信技術
●コンプライアンス(法令遵守)
個人情報保護法，著作権法，不正アクセス禁止法などの法律を守るために、情報を適切に扱うために行う情報セキュリティ対策
●情報セキュリティの必要性
情報セキュリティは性善説では成り立たない
積極的に情報セキュリティ対策に取り組まなければならない
2. ビジネスユース
2-1. 出社時
●出社時の脅威
・許可されている人が適切に入室できる
・許可されていない人の入室を防ぐ
●不正侵入
本来入室が許可されていない人が、許可されている人に紛れて、不正に入り込む行為(伴連れ侵入，ピギーバック，テイリング)
許可されている人を装って、不正に入り込む(なりすまし)
・不正侵入による影響
【機密性に関する影響】
・重要な情報も持ち出し
・重要な情報の盗み見や盗み聞き
【完全性に関する影響】
・社内システムの不正操作による重要な情報の改ざん
・持ち出しや破棄による重要な情報の破損や消失
【可用性に関する影響】
・社内システムの不正操作によるシステムの停止など
・社内設備などの破壊
●認証の不正
・認証 …その人が確かに本人であることを確認すること
入退管理システムの認証システム
●入退管理システム
許可されている人に入室を許可し、許可されていない人に入室を許可しない体制やシステムのこと
管理記録(ログ)をとって保存するシステムと併用
●暗証番号
導入のコストは安価
【デメリット】
・暗証番号を忘れてしまい、認証を受けられない場合がある
・番号入力時の盗み見，暗証番号をメモした紙の紛失や盗難による流出の危険性
●磁気カード
【デメリット】
・カードの摩耗や破損によって認証を受けられない場合がある
・カードの紛失や盗難の危険性
●ICカード(非接触式)
「Suica」，「ICOCA」，「PASMO」，「PiTaPa」などと同じ仕組み
【デメリット】
・カードの破損によって認証を受けられない場合がある
・カードの紛失や盗難の危険性
●バイオメトリクス認証
認証の情報として、本人の身体的特徴(指紋や顔，静脈，虹彩など)を利用して認証する仕組み
なりすましを防止できる
【デメリット】
・認証率が100％でないため、認証を受けられない場合がまれにある
・本人の身体的特徴を情報として登録する際、心理的な抵抗を感じる
・衛生面の課題
入退管理装置
●サークルゲート
サーバルームなど、限られた人しか入室できないエリアの入り口に設置する
回転筒型ドア構造のものが多く、ゲート内には1人しか入れない
伴連れ侵入やすれ違い侵入を防げる
●フラッパーゲート
建物の出入り口や通用口などに設置する
駅の改札と同じような構造
伴連れ侵入やすれ違い侵入を防げる
入退管理システムの適切な運用
●利用者側
建物やオフィスの入り口は”セキュリティの「入口」”である
・伴連れ侵入を行わない
・入退室の認証に必要なカードを紛失したり、忘れた場合は速やかにかつ正直に管理者に連絡する
・安易にカードの貸し借りを行わない
・入退室に関する社内ルールに従う
●管理者側
・紛失時の対応
ルールに基づき、紛失届などを提出させた上で、再発行を行う
それまで使用していたカードの無効化
・摩耗や破損時の対応
所定の手続きを行った上で、再発行を行う
使用できなくなったカードと交換で、再発行したカードを渡す
・忘れてきた場合の対応
所定の手続きを行った上で、代替カードを発行
当日のみ使用を許可し、退出時に必ず回収する
2-2. 庶務(ルーチンワーク)
ルーチンワークを行う際の脅威
重要な情報を保護するためのポイント
・情報を漏らさない
・情報をなくさない
・情報を不正に操作しない
・情報を常に最新の状態に保つ
・情報を完全な状態に保つ
情報を守るためのセキュリティ対策のポイント
・ネットワーク経由の、社外からの攻撃に対抗する
・社内での不正な行為を防ぐ
・うっかりミスを防ぐ
●人為的脅威
人によって引き起こされる脅威
悪意で行われるもの(不正行為)と過失によって引き起こされるもの
【不正行為】
・情報の漏えいや改ざん
・情報の持ち出し
・情報や設備の破壊
・誹謗中傷する内容のネットワーク上への公開 など
【認識不足，モラルの欠如】
・類推されやすいパスワードを設定したり、同じパスワードを使い続けたりすることにより、パスワードが解析されやすくなる
・安易にパスワードを教える、パスワードをメモした紙をパソコンに貼り付けることなどにより、パスワードが流出する
・信頼性の低いWebサイトから、安易にプログラムをインストールする
・ウィルスが混入されている、メールの添付ファイルを安易に開いてしまう
・ファイル交換ソフトを利用したことにより、暴露ウィルスに感染し、重要なファイルが社外に公開されてしまう
・契約内容の確認不足や法律の知識の欠如により、アプリケーションソフトや著作権の発生しているコンテンツを不正にコピーし、法律に抵触する
【持ち出し・持ち込み】
【誤操作】
【紛失】
●物理的脅威
機器類や電子媒体，施設管理や保管の不備などに関する脅威
【劣化・故障】
・メンテナンスの不備，経年劣化，不良品などによる故障
・突発的な故障や誤った操作などによる故障
・落雷や停電などの環境的な要因による停止や故障 など
●技術的脅威
インターネットや社内ネットワークシステムなどに対する、悪意による外部からの攻撃
【サーバへの攻撃】
・サーバを標的として大量のデータが送りつけられ、過大な負荷がかかり、サーバやネットワークなどのシステムが中断または停止する
・外部からの不正侵入により、サーバ上のデータファイルやデータベースの重要な情報が不正に書き換えられたり、消去されたりする
・ネットワーク上でやり取りされているデータが、途中で改ざんされる
・外部からの不正侵入により、サーバ上の情報やネットワーク上でやり取りされている情報を盗み出される（情報の漏えい）
・本来公開すべきではない情報が、見てはならない人に公開されてしまう（情報の暴露）
【なりすまし】
●ソーシャルエンジニアリング(Social Engineering)
人間の行為や行動における弱点を狙う行為や攻撃方法
【のぞき見・ショルダーハック】
【ごみ箱あさり（スキャベンジング，トラッシング）】
【なりすまし】
ハードウェアの利用
●パソコンの保守管理
パソコンの利用中に「動作が不安定になる」「ファイルの場所が分からない」ことなどは、可用性に大きく影響する脅威
・パソコンのメンテナンス
ほこりの少ない適切な場所に設置し、定期的に手入れする
ケーブルや電源コードなどの配線に注意する
パソコン本体の落下や転倒を防止する
・ハードディスクのメンテナンス
ディスククリーンアップ機能などの利用
ファイル名などに規則性を持たせて、上書き保存を防止
・ソフトウェアのメンテナンス
定期的なアップデート
●パソコンの運用管理
・パソコンの盗難を防ぐ
・ログイン用のパスワードを設定して、許可されている利用者以外はパソコン内の情報にアクセスできないようにする
・クリアスクリーンポリシーを採用して、離席時などにパソコン画面上の情報をのぞき見されないようにする
●パスワードの利用管理
・ユーザID …利用者を識別するために使われる文字列
・パスワード …利用者を認証するための文字列(=認証番号)
ユーザIDとパスワードの組み合わせが正しい場合に限り、ログインが許可される
●パスワードの設定
・パスワードクラック
パスワードを様々な手法で解析すること
・クラックされやすいパスワード
本人を特定しやすい電話番号や名前など
ユーザIDや氏名などに単純な文字列を加えたものや、ユーザIDと同じもの
組織名やその略語
地名や一般名詞
キーボードの配列順
数字を順番に並べたもの など
・推奨されるパスワード
英数字と記号,さらに大文字と小文字が混在している
8字以上の文字列で構成
意味を持たないが、忘れにくい
・パスワードの管理
パスワードを他人に教えない
付箋などにメモして、机上やディスプレイの横に貼りつけない
パソコンにファイルなどで保存しない
メールでパスワードをやり取りしない
仮パスワード(初期パスワード)をすぐに変更する
定期的に変更する
パスワードの適切な管理や運用は、重要な情報の機密性，完全性を維持するために必要。
●パスワードクラックの手法
・辞書攻撃(ディクショナリアタック)
辞書に載っている何万という用語を順番にパスワードに当てはめていく解析手法
・総当たり攻撃(ブルートフォースアタック)
機械的に生成された文字列を総当たりで 当てはめていく解析手法
●アクセス権の設定
アクセス権の設定により、機密性と完全性を維持できる
・ファイルやフォルダの利用者を制限するため、情報漏えいなどの事故や事件を防ぎやすい
・事故や事件が発生した際も、利用者の特定が行いやすい
●クリアスクリーンポリシー
本人が不在の時に、パソコンのディスプレイに表示されている内容を他人に読み取られないようにすること
・長時間の離席の場合は、ネットワークシステムからログオフし、適切な終了操作(シャットダウン)を行い、パソコンの電源を切る
・短時間の離席の場合は、パスワード付きのスクリーンセーバーを起動する。
【スクリーンセーバーの設定】
・必ずパスワードを設定すること
・スクリーンセーバーが起動するまでの時間の設定を長くしすぎないこと
スクリーンセーバーが起動するまでの時間が短すぎると利便性が低下する
【スクリーンロックソフト】
入退管理システムで利用しているICカードと連動させ、ICカードを差し込んだ状態でないとパソコンを使用できないようにする仕組み
紙媒体と電子媒体の管理
●電子媒体の種類
・USBメモリ(USBフラッシュメモリ)
読み書き専用のドライブが不要で、パソコンなどのUSBコネクタに差し込むだけで読み書きが可能になる
小型かつ軽量で、現時点の記憶容量は最大で16GB
・SDカード(SDメモリカード)
SDカード，miniSD，microSDの3種類の形状がある。USBメモリよりもさらに小型
・CD(データ用)
読み出し専用のCD-ROM，データの追記が可能なCD-R，データの書き換えが可能なCD-RWなどの種類がある
・DVD(データ用)
追記が可能なDVD-R，データの書き換えが可能なDVD-RWなどの種類がある
●管理台帳への記録
情報資産を適切に管理するために、管理台帳を作成する必要がある
社内の情報資産の洗い出しを行って管理台帳にまとめ、把握する
・どのような情報があるか
・どこに保管されているか
・情報の管理責任者は誰か
・その情報の利用者はどの範囲か
・いつ作成したか、まはたいつ入手したか
・保管期間はいつまでか
●紙媒体のファイリング
効率的に管理するためにナンバリングを行う
・書類そのものに文書番号をつける
・バインダーにも何らかの管理番号をつける
・文書番号や管理番号は、管理台帳に記入して管理する
●電子媒体のラベリング
電子媒体は紙媒体とは異なり、保存されていデータファイルが直観的に判断できない
→ラベルを貼り、内容などを明確にする
→電子媒体を開いて確認しする手間が省ける
→不用意に情報を開示する機会が減り、情報漏えいを防ぎやすい
【ラベリングの内容】
・ID番号 (管理番号などのナンバリング)
・機密の度合い (重要度や保護対策の強度など)
・作成年月日，更新年月日
・保管期間
・データの種類や管理部門
・データの種類や環境
●施錠管理
・最も機密度が高く、取り扱う頻度が低い媒体は、施錠管理している専用の倉庫や委託業者に預ける
・やや機密度が高い媒体は、施錠管理できるロッカーやキャビネットに保管する
・機密度が高くない媒体は、キャビネットに保管する
→情報の機密性と完全性を維持できる
【鍵の管理】
・鍵の管理は、所属長を含め、できる限り少人数で行う
・所属長など、鍵の管理担当者が不在のあ場合にどのように対応するかなど、ルールをあらかじめ決めておき、全員に周知する
・かぎの貸し出しやキャビネットの解錠について、管理簿を作成する
→可用性に配慮する必要がある
●不要な複写の禁止
機密性に問題が生じる
・コピーであることから、保管管理がおろそかになり、情報が開示されやすくなる
・コピーした媒体そのものが紛失や盗難にあいやすい
完全性に問題が生じる
・原本の修正がコピーに反映されない
●バックアップ
情報の完全性と可用性を維持するために必要
・ハードウェアの劣化や故障
・誤った上書きなどのミス
・コンピュータウィルスの感染や外部からの攻撃など
【バックアップのルール】
・バックアップの取得方法 (自動まはた手動)
・バックアップを取得する間隔
・バックアップデータを保管する媒体
・バックアップデータの保管期間
・バックアップデータのバージョン
※リストア …バックアップデータをもとにデータを復旧すること
●バックアップ用の媒体の選択と保管
・CD型，DVD型
傷に弱い
・フロッピーディスク
ほこり，熱，磁気に弱い
・リムーバブルハードディスク
ほこり，熱，磁気，衝撃に弱い
・テープ型
急激な温度変化や結露などに弱い
●定期チェック
・管理台帳の内容と実際に保管している媒体に矛盾はないか
・保管期間が過ぎた媒体はないか
・内容が重複している媒体はないか
●紙媒体の廃棄処分
・紙媒体にはごみ箱あさりなどの脅威がある
→ペーパーシュレッダー
┣ストレートカット
┣クロスカット
┗ダブルカット
・溶解処理
・焼却処理
廃棄証明書(マニフェスト)の提示の義務付けなど
●電子媒体の廃棄処分
・メディアシュレッダー
・一時的に消去されるが専用ツールで復元可能な事項
├ データファイルを「ごみ箱」に移動する
├ 「ごみ箱を空にする」のコマンドを実行する
├ リカバリCDで工場出荷時の状態に戻す
└ ハードディスクを初期化する
・ハードディスクの適切な廃棄方法
物理的破壊
データ消去専用ソフトの利用
専門業者のデータ消去サービスの利用
定期的な教育
●教育および訓練の実施
教育及び訓練を行う責任は、経営者や管理者にある
定期的かつ継続的に実施することが重要
対象者はパートやアルバイト、派遣社員などを含む全員
・セキュリティポリシーの理解
・コンプライアンス(法令遵守)
・驚異の種類やその対策
・セキュリティ対策の社内ルールの理解と実践方法
・ルールに違反した場合の罰則規定 など
・ヒヤリハット事例の取り上げ
(重大な事故につながりかねないミスなどのこと)
●コンプライアンス(法令遵守)
個人情報保護法や不正競争防止法などの法律を守る必要がある
セキュリティーポリシーまたはプライバシーポリシーとして公開する
・セキュリティーポリシー
企業などが実施するセキュリティ対策の方針や行動指針を記載したもの
・プライバシーポリシー
個人情報の保護の方針を示すもの
2-3. DM発送
発送先データの特質
●個人情報とは
住所や氏名，電話番号やメールアドレスなど、個人を特定できる情報
上記のものは法律で保護することが義務付けられている
購入履歴や決済方法，金融機関などの情報を含む場合、機密度が高くなる
●個人情報保護の義務
個人情報保護法によって個人情報は適切に保護することが義務付けられている
・適切な手段で収集する
・利用目的を明確にし、その目的の範囲でのみ利用する
・常に正確で最新の内容に保つ
・個人情報保護のために適切な安全管理措置を実施する
・委託先が適切に個人情報を取り扱っているかどうかを監督する など
●個人情報保護の必要性
個人情報の保護を適切に行わないと、盗難や流出が発生しやすくなる
これによる二次被害の発生の危険もある
・迷惑メールが大量に送られる
・訪問販売員が頻繁に訪れる
・詐欺行為のターゲットとなる
個人情報の盗難は犯罪であり、刑事罰の対象にもなる
●個人情報保護に関する評価制度
・プライバシーマーク制度
JIS Q 15001(個人情報保護マネジメントシステム-要求事項)に基づき、個人情報に対して適切な保護措置を講ずる体制を整備している事業者であることを認定する制度。
JIPDEC(財団法人 日本情報処理開発協会)により運営されている。
・ISMS適合性評価制度
個人情報を含む、情報セキュリティに関する認定制度。
ISMS(Information Security Management System：情報セキュリティマネジメントシステム)
…情報セキュリティを維持し、運用するための全体的な枠組み
企業がISMSを適切に構築，運用しているかどうかをJIPDECが審査する
JIS Q 27001：2006を評価基準とする
発送先データの管理
DMのデータは、多くの場合データベースとして管理している
企業によっては顧客管理システムを構築して運用している
●DMなどの発送前の管理
情報の機密性と完全性の維持に重点を置いて管理する
データの保守管理(メンテナンス)をしっかりと行う
・データベースの情報を速やかに変更する
・新規追加のデータをデータベースに入力する
・顧客でなくなった場合、データベースから情報を削除する
顧客情報のデータベースは一元管理し、内容に矛盾が無いように完全性を維持する
●DMなどの発送時の管理
発送時には、発送の履歴を残す
日時，担当者，発送先リスト，発送しなかったリストとその理由 など
発送時の注意点
●誤発送により生じる問題
・郵送のDMの場合、戻ってきたDMの盗難や紛失により、個人情報漏えいの危険性
・電子メールによるDMの場合、宛先欄やメールメッセージから、開示すべきではない相手に情報が開示されてしまう可能性
・DMの内容を誤った場合、顧客にとってはまったく関係のない情報が送られてきたことになり、企業に対する信用の失墜やイメージダウン
●オプトアウト
情報の受け取りを許諾しない意思表示のこと
・オプトインメール
事前に承諾を得た人にのみ、承諾した分野に限定した内容で送信する広告メール
・オプトアウトメール
事前に許諾を得ずに送信する広告メールのこと
迷惑メールとみなされることがほとんど
法的にはタイトルに「未承諾広告※」を入れることが義務付けられている
2-4. 支社との情報のやりとり
ネットワークを利用したやり取りにおける脅威
●コンピュータウィルス
『経済産業省：コンピュータウィルス対策基準』
第三者のプログラムやデータベースに対して意図的に何らかの被害を及ぼすように作られたプログラムであり、次の機能を一つ以上有するもの。
（1）自己感染機能
自らの機能によって他のプログラムに自らをコピーし又はシステム機能を利用して自らをほかのシステムにコピーすることにより、他のシステムに伝染する機能。
（2）潜伏機能
発病するための特定時刻，一定時間，処理回数等の条件を記憶させて、条件が満たされるまで症状を出さない機能。
(3)発病機能
プログラムやデータ等のファイルの破壊を行ったり、コンピュータに異常な動作をさせる等の機能。
『IPA(独立行政法人 情報処理推進機構)セキュリティーセンター』
コンピュータウィルスとは、プログラムに寄生するきわめて小さなプログラムであり、自分自身を勝手に他のプログラムファイルにコピーすることにより増殖 し、コンピュータウィルス自身にあらかじめ用意されていた内容により予期されない動作を起こすことを目的とした特異なプログラムのこと。
●ワーム
自ら増殖して感染するもの
●トロイの木馬
有益なプログラムを装ったり、ほかのプログラムにまぎれて何らかのきっかけで突然に発生するもの。
パソコンの内部に潜伏して、システムを破壊する，外部からの不正侵入を助ける，パソコンの情報を外部に発信するなどを行う。
●ウィルスの感染経路
・外部からのネットワークシステムの脆弱性を突いたウィルス攻撃
・ウィルスが混入された電子メールの添付ファイルを開いた
・フィッシングなどのメールにより、ウィルが仕組まれているWebサイトを閲覧した
・Webサイトから無償でダウンロードしたプログラムやデータファイルがウィルスに感染していた
・CDやUSBメモリなどの電子媒体内のファイルがウィルスに感染していた など
●スパイウェア
『IPA・JNSA(NPO 日本ネットワークセキュリティ協会)』
利用者や管理者の意図に反してインストールされ、利用者の個人情報やアクセス履歴などの情報を収集するプログラム等
●ウィルスやスパイウェアによる脅威
・DoS攻撃(Denial of Service：サービス妨害攻撃)
サーバに大量のデータを送りつけて過大な負荷をかけ、サーバの機能低下や停止に追いこむ攻撃。
ウィルスに感染したサーバが踏み台にされることもある
ウィルスに感染すると、情報の完全性・可用性・機密性が維持できなくなる
●ファイル交換ソフト(P2Pソフト(Peer to Peer)
インターネットに接続している利用者間で、データファイルの共有を可能にするソフト。
・不用意なインストールや操作方法の誤りにより、機密性の高い情報が公開されしまうことがある。
・入手したデータファイルにより、ウィルスに感染してしまうことがある。
・著作権のあるデータファイルが無断で交換されている
●インスタントメッセンジャー(IM)
同じソフトを利用しているメンバー間で、ファイルのやり取りやリアルタイムでのメッセージのやり取りなどを可能にするツール。
この仕組みを悪用するウィルスが存在する。
●メールの誤送信
人為的な過失が主な原因
機密性の高い情報である場合、深刻な情報漏えいとなる
ネットワーク利用における脅威への対策～マルウェア対策
●マルウェア(malware)
ウィルスやワーム，スパイウェアなど、「悪意でなにかを行う」ソフトウェアやプログラム
●ウィルス対策ソフトの利用
ウィルスの侵入を検知し、それを駆除するソフトウェア
ワクチンソフト
・ウィル対策ソフトを常駐させる
・ソフトを最新の状態に保つ
・パターンファイルを最新の状態に保つ
●メールやデータファイルを開く際の注意点
・見知らぬ送信元から送られてきたメールは開かない
・怪しい件名などのメールは開かずに、即刻削除する
・ウィルス対策ソフトでウィルスを検査してから開く
●OSの修正プログラムなどの利用
ウィルス対策として、OSなどのプログラムは随時アップデートする必要がある。
セキュリティホールを修正するセキュリティパッチを当てる
●アプリケーションソフトのセキュリティ機能の利用
●その他の注意点
・P2PソフトやIMなどの不要なソフトをインストールしない
・常にウィルス感染の脅威が潜んでいることを意識し、兆候を見逃さない
・パソコン内の重要なファイルは定期的にバックアップを取得する
●ウィルス感染への対応
・落ち着いて対処すること
・自分自身の判断で対応するのではなく、必ず管理者に報告して指示を仰ぐ
・メールや掲示板などを利用して、管理者や周囲の人に連絡しないこと
1. ネットワーク接続の遮断
2. ウィルス検査の実施
3. ウィルス駆除の実施
4. データの復旧
5. ウィルスの再検査の実施
6. 再発防止策の検討
ネットワーク利用における脅威への対策～メール送信時の対応
●誤送信を防ぐ方法
・送信の前に必ず宛先を確認する
・メールの内容などを確認してから送信する
●グループリストの利用
複数の相手に同時にメールが送る機会が多い場合には、グループリスト機能を利用すると誤送信を減らせる
●TO, CC, BCCの指定方法
・TO
主となる宛先を指定する
・CC
複数の相手に同じメールを送る同報メールの送信時に、TOより優先順位が低いが、参考までにメールを確認してほしい相手のメールアドレスを指定する
・BCC
CCと同じ目的で指定するが、メールを受信した本人以外には、同報メールが送信されたことが秘匿される
●パスワードの設定と暗号化
データにパスワードを設定したり、暗号化することで情報漏えいを防止できる
●FTPやTelnetの利用
容量が大きいデータのやり取りに利用される
※ボット
ウィルスの一種で、パソコンやサーバなど、ボットに感染したコンピュータをネットワークを介して外部から操ることを目的とする。
感染したコンピュータでボットネットワークを形成して遠隔操作し、そこからターゲットに一斉攻撃を仕掛ける。
迷惑メールの大量送信，DDoS(Distributed DoS：分散サービス不能)攻撃などに利用される。
FAXを利用したやり取りにおける脅威
●誤送信による情報漏えい
●FAXの受信トレイに長時間放置された場合
・多くの人の目に無防備に情報がさらされる
・ほかの用紙に紛れて、紛失する
・関係のない人が用紙を持ち去ってしまう など
郵便や宅配便を利用したやり取りにおける脅威
●輸送中の紛失，抜き取り，抜け落ち
授受管理
●情報の機密性や可用性を維持する
2-5. インターネット活用における情報収集
インターネット活用における脅威
●マルウェアの侵入や感染
●不用意な情報の開示や情報の詐取
・入力した情報が漏えいする
・メールアドレスが悪用され、大量のスパムメールが送り付けられる
・メールアドレスのユーザ名(＠より左側の文字列)から、社内ネットワークシステムにログインするためのIDが類推され、さらにそこからパスワードがハッキングされる
●不正なWebページの閲覧による情報の詐取
・Cookieなどの情報が詐取される
・パソコンやサーバのデータファイルが破壊される
・バックドアが仕掛けられる
・クロスサイトスクリプティング(XSS：Cross Site Scripting)
攻撃者が悪意で作成したコードをWebページに仕掛けておき、そのページを閲覧した不特定多数の利用者にスクリプトを実行させる攻撃
Webサイトの閲覧や書き込みに関する制限
●Webサイトフィルタリング
業務に関連しないWebサイトにはアクセスしない
不当なWebページは閲覧しない
・ブラックリスト方式
有害と思われるWebサイトのリストを作成し、そのリストに登録されているWebサイトにアクセスできないようにする
・ホワイトリスト方式
有益と思われるWebサイトのリストを作成し、そのリストに登録されているWebサイトにのみ、アクセスできるようにする
・キーワード方式
有害と思われる単語や語句をあらかじめピックアップして登録しておき、それらが含まれているWebページを表示させない方式
●モニタリング
誰がどのWebサイトにアクセスしたかを監視し、記録を残す
利用者に対し、その旨を事前に周知する必要がある
監視されているという意識から、不正な閲覧に対する抑制効果が期待される
インターネット利用における安全性の確保
●不要なアクセスを行わないこと
●データのダウンロードに注意すること
外部から入手したデータはウィルス検査を行うこと
●アクセス元の特定
●オートコンプリート機能の使い分け
(→キーボードからの入力を補助する機能)
次に入力される内容を予測し、入力中にその候補を表示するため、
パスワードなどが表示される場合がある。
●安易に「OK」や「登録」ボタンをクリックしないこと
適切な利用のための教育や訓練
●著作権
インターネットを利用する際は、著作権に関する教育は必須
Webサイトに記載されている情報や画像などには一般に著作権があり、著作権法によって保護される
●情報の信ぴょう性や最新性
掲載されている情報について必ずしも「すべてが真実」と言えるわけではない
インターネットは「公共の場」であり「自己責任」のもとで利用しなければならない
複数のサイトから情報を収集して突き合わせを行う
行進が行われていないなどの理由により、古い情報が掲載されていることがある
2-6. 他社などとの情報交換
メールメッセージの作成
●HTMLメールの制限
・テキスト形式
メッセージには文字だけが含まれる
・HTML形式
文字以外にも画像の挿入や、文字色，サイズの指定などもできる
・悪意のあるスクリプトが埋め込まれている可能性がある
・迷惑メールやフィッシングメールの多くはHTML形式で作成されているため、受信側で拒否するように設定する企業が増えている
・受信側でHTML形式のメールを開いたときにレイアウトが崩れる場合がある
・受信側のメーラがHTML形式に対応していないために、内容が伝わらないことがある
●添付ファイルの形式と容量
・拡張子が「exe」などの実行形式の添付ファイルは拒否する
・添付ファイルの容量が、設定した上限を超えた場合には拒否する
↓
・実行形式やマクロ形式のファイルは添付しない
・容量が大きすぎるファイルは添付しない
・機密度に応じて、添付ファイルの暗号化やパスワードの設定を行う
●署名(シグネチャ)
メッセージの末尾に書き添える内容
署名に自分自身の個人情報を必要以上に書き込むことは避けるべき
・会社名，所属部署，氏名
・連絡先のメールアドレスと電話番号
・自社の公式WebサイトのURL
メールの管理
●アカウント管理
・メールアカウントの貸し借りは行わない
・社内で共有するアカウントは目的外で利用しない
・社用のメールアカウントを自宅では利用しない
・私用のメールアカウントを社内では利用しない
●受信メールの管理
受信したメールは定期的に整理する
→情報の可用性だけでなく、業務効率にも影響
●フリーメールの制限
・安全性を確保して利用できるとは限らない
・無償であるため、解約したアカウントが使いまわされ、別のユーザに割り当てられる可能性がある
・インターネット上でやりとりすることになるため、通常のメールよりも情報の傍受にあいやすい
・受信側の設定によって、受信拒否されていることが多い
暗号化技術
●暗号化と復号
・暗号化
ある一定の法則(アルゴリズム)にしたがってデータを変換し、元のデータを第三者に読まれないようにするための技術。
暗号化する前のデータを平文(プレーンテキスト)、暗号化したデータを暗号文という
平文を暗号文に変換する作業 → 暗号化
暗号文を平文に戻す作業 → 復号
暗号化や復号に用いるデータ → 鍵
●PKI (Public Key Infrastracture：公開鍵基盤)
・SSL
インターネット上で安全な通信を行うための技術
・S/MIME
電子メールの暗号化を行うための技術
・VPN
インターネット上で仮想的に専用線通信を可能にするための技術
●共通鍵暗号方式
・暗号化に利用する鍵と復号に利用する鍵が同じになる。秘密鍵暗号方式，対称鍵暗号方式と呼ばれることもある
・長所は，処理が比較的高速であること
・短所は，相手に鍵を安全に受け渡す方法を別に考えなければならないことと，複数の相手と暗号データをやり取りするときに鍵の本数が増えて管理が大変なことである
●公開鍵暗号方式
・1人の利用者（ノード）に対して二つの鍵（キー）を作る。片方を「個人鍵」と呼び，もう片方を「公開鍵」と呼ぶ
・個人鍵は，作ってからその鍵ペアを使わなくなるまで，絶対に秘密に取り扱う。このため，秘密鍵と呼ぶ場合がある。これに対し公開鍵は，その名の通り，不特定多数のユーザーに公開して使う
・公開鍵で暗号化したデータは，そのペアの個人鍵でしか復号できない
・個人鍵で暗号化したデータは，そのペアの公開鍵でしか復号できない
2-7. 社外における業務
社外における業務での脅威
主な脅威に、紛失と盗難がある
盗難については、人為的な盗難と技術的な盗難(傍受)がある
また、破損などもある
社外でのノートパソコンの利用
●ノートパソコンなどの利用における脅威
・物理的な被害(盗難など)
・保存されている重要データの漏えい
・第三者による社内ネットワークへの不正侵入
・物理的な危機の破損
・システムの破損(起動不能など)
・機器内の情報の消失
情報の機密性，完全性，可用性に影響がある
●物理的な紛失や盗難への対策
・移動中は手元から離さず、置き忘れに注意する
・電車など、交通機関による移動時に、網棚などに安易に置かない
・社用車などによる移動時に、パソコンだけを社内に置きっぱなしにして離れない
●事前の物理的対策
・起動時のパスワードを設定し、定期的に変更する
・指紋認証機能など、より強度の高いバイオメトリクス認証機能を利用する
●事前の技術的対策
・ハードディスク内のデータの暗号化
●運用上の対策
・原則、ノートパソコンには重要なデータを保存せずにネットワーク(サーバ)に保存する
・ノートパソコンに保存するデータは最小限にとどめ、データをなるべく持ち歩かない
情報の機密性や完全性を維持するための対策
●シンクライアントパソコンの採用
・重要なデータをサーバで一元管理するため、機密性と安全性を維持できる
・社外へ持ち出した際、紛失や盗難，破損が発生しても情報漏えいなどによる影響を最小限に抑えられる
・メンテナンスなどにかかる運用や管理コストの削減が可能になる
●利用時の注意
・ショルダーハックに合わないように注意が必要
●事故の対応
・速やかに所属長などへ報告し、指示を仰ぐ
・ネットワーク管理者へ迅速に連絡し、紛失または盗難にあったパソコンから、社内ネットワークにログインできないよう、付与されているユーザIDの停止を求める
↓
連絡が遅れるほど、さまざまなリスクが発生しやすくなる
社外での携帯端末の利用
●通話による情報漏えい
大きな声で会話をすると、情報の不用意な開示となる場合がある
社外からのネットワーク接続
●リモートアクセス
社外からインターネットなどを経由して、企業内システムに接続すること
●接続場所
・必要な情報以外のやりとりは避ける
・データを暗号化して送受信する
インターネットカフェなどでの注意
・ネットワークやパソコンのセキュリティ対策が十分でないために、社内ネットワークへのアクセスの途中で盗聴される危険性がある
・キーロガーが悪用され、利用者の情報が盗み出される可能性がある
・マルウェアが混入されているパソコンからデータを送ることで、社内ネットワークにウィルスをまん延させてしまう
※キーロガー
キーボードからの入力を監視し、記録するために用いるソフトウェア
書類などの移送
機密度の高い情報が保存されている電子媒体を取引先などに渡す場合、直接手で渡すのが最も安全。
2-8. その他の業務
館内やフロア内での区分け
●ゾーニング
セキュリティ対策を適切に行うために、セキュリティ対策の強度によって区分けをすること
●オープンエリア（オープンスペース）
セキュリティ対策の強度が比較的低い場所
受付，打ち合わせスペースなど
●セキュリティエリア
実際に業務を行うエリアで、一般的なオフィススペースが該当
●高度なセキュリティエリア
最も高い強度のセキュリティ対策を講じるエリアで、サーバルームや社長室など
入退管理を厳重に行う
各エリアの施錠管理
ゾーニングにより分けられたぞれぞれのエリアの境界には、入退管理装置などを設置
●鍵の種類
・シリンダキー
カードキーによる施錠と比較すると、低コストでの導入が可能
施錠個所が多い場合など、管理が煩雑になりやすい
・カードキー
カードを複数枚作成することができるため、柔軟な運用が可能
施錠管理
├ 常時解錠して必要なときのみ施錠する
└ 常時施錠して必要jなときのみ解錠する
●オープンドアポリシー
不正侵入への効果的な対策となる場合がある
使用していない会議室などのドアを開け放し、使用する際にはドアを閉めるという考え方
来訪者への対策
・不正侵入など、悪意をもった来訪者による行為への対策
・来訪者の個人情報を保護するための対策
●来訪者による脅威
不正侵入，なりすまし，伴連れ侵入，すれ違い侵入
●入館時の対応
・来訪者に受付などで入退室記録簿やゲストカードへの記入を義務付け、ゲストバッジを渡す
・入室の手続きが済んでいる来訪者であることがわかるように、ゲストバッジを目立つ位置につけてもらう
単票形式の記録簿やゲストカードに記入する
一覧表形式では、前後の来訪者の記入内容が漏えいにつながる
●オープンスペースでの対応
・原則、来訪者には可能な限り自社の社員が帯同する
・社員が帯同せずに、来訪者が単独でいる場合には、知らない人でも積極的に挨拶をする
・打ち合わせスペースが設置されている場合、会話に気をつける
●オフィススペースでの対応
・自社の社員が帯同し、来訪者が自発的に移動しないようにする
・来訪者が単独で移動していた場合は、来訪先の担当者でなくても、積極的に声をかけ、目的の場所へ案内し、来訪者が単独で移動しないようにする
・会議室などでは、ホワイトボードなどに書き残しが無いように注意する
委託業者への対策
●委託業者による脅威
なりすまし，ごみ箱あさり，不正侵入
●入退管理による対策
●入室制限や施錠管理による対策
●オフィス内の対策
・業者による不正な持ち出しが起こらないように、重要な書類はキャビネットや書庫などで厳重に保管し、机上に放置しないように気をつける
・誤って破損させないように、机上のパソコンは転倒や落下の心配がない位置に配置されているかなど、機器類の設置場所に配慮する
●業務委託契約時の確認
宅配業者への対策
●宅配業者による脅威
なりすましによる不正侵入
●宅配業者への対応
受け渡しコーナーの設置
退職者への対応
●退職者による脅威
・来訪時の盗み見や盗み聞き
・不正な持ち出し
●退職時の対応
・社内の情報が不正に持ち出されないように注意が必要
●来訪時の対応
・安易にオフィススペースに招き入れないようにする
・オープンスペースで対応する
・社内の重要な情報を口外しない
2-9. 退出時
退出前の対応
●書類，電子媒体，ノートパソコンなどの保管
・所定の場所に保管し、施錠して管理する
・共有のキャビネットやロッカーに保管しない場合は、必ず各自の机の鍵のかかる引出しにすべてしまう
・ワイヤーロックにより、机に固定して持ち出されないようにする
・施錠可能なロッカーなどに保管する
●クリアデスクポリシー
退出時に書類や電子媒体などを保管管理すること
机の上や周りに情報漏えいや紛失の可能性のあるものを放置しない
●台帳管理
●ログオフ処理
業務が終了したら、ネットワークから適切にログオフする
・ネットワークシステムへのログオン時間が長いほど、それに比例して外部からの侵入や攻撃の対象になる危険性が高くなる
・ハードディスクは熱に弱いため、電源を切って放熱や冷却が十分に行われないと、パソコンの動作が不安定になる
・OSなど自動アップデートは、一度シャットダウンしないと適用されないため、危険な状態で放置されることになる
・社内システムで深夜などに自動バックアップ処理を一斉に行う場合、支障をきたす場合がある
●クリアスクリーンポリシー
パスワード付きスクリーンセーバの起動など
退出時の対応
●施錠管理と点検
・周囲の窓の施錠を確認する
・決められた機器類の電源のコンセントを抜き、フロアの消灯を行う
・必要に応じてオフィスやフロアの施錠を行う
・警備システムを導入している場合、システムが稼働するように設定する
●適切な入退管理
持ち出しの制限
ノートパソコンや電子媒体の自宅への持ち帰りは、紛失，盗難，情報漏えいなどの危険が高くなるため、原則として禁止すべき
3. パーソナルユース
3-1. 友人とのやりとり
●ビジネスユースとパーソナルユースにおける環境の違い
自宅では、通常ISP(Internet Service Provider)に加入してインターネットを利用する
●自己責任の自覚
自己責任のもと、十分なセキュリティ対策を実践しなければならない
インターネット接続時の対策
●常時接続の危険性
インターネットの接続方式
├ダイヤルアップ接続
└常時接続
・常時接続の場合、固定的にIPアドレスを利用する場合と、接続のたびにIPアドレスが自動的に割り当てられる場合がある。
・IPアドレスをもとに攻撃を仕掛ける悪意の第三者にとっては、同じIPアドレスで接続している時間が長いほど、攻撃しやすいターゲットになる。
●セキュリティパッチの適用
OSやアプリケーションソフトのアップデートをきちんと行う。
セキュリティパッチなどの修正用プログラムを適用する。
●ファイアウォールの導入
ファイアウォールを導入すると、さらに安全性を高めることができる
フィルタリングなどの機能を備える
自宅ではパソコン上で動作する、パーソナルファイアウォールというソフトウェアの導入が推奨される
・OSが標準搭載している、簡易パーソナルファイアウォール機能
・ISPがサービスの一環として提供しているパーソナルファイアウォール機能
・市販のウィルス対策ソフトなどに搭載されているパーソナルファイアウォール機能
●ユーザIDとパスワードの管理
・紛失や盗難を防ぐために厳重に保管する。
・ユーザIDやパスワードが保存されているファイルは、パスワードを設定するか、暗号化を行う。
・ブラウザなどのオートコンプリート機能をオフにし、入力履歴を残さないようにする。
・むやみに人に教えない
ファイル交換ソフトの利用
●ファイル交換ソフト利用の脅威
ウィルスに感染した場合の危険性とその被害の深刻な影響について、十分な理解が必要
ファイルを完全に消去することは事実上不可能で、半永久的にインターネット上をさまよう。
●著作権の侵害
収集したファイルを再度インターネットに公開する場合、著作権の侵害が発生する場合がある。
●ファイル交換ソフトの利用時の対策
収集したファイルはウィルス検査を行ってから利用すること
3-2. ネットショッピング
ネットショッピングにおける脅威やトラブル
●詐欺など
・ 代金を振り込んだのに、商品が届かない
・注文とは異なる商品が届いた
●個人情報の流出
正当なサイトを装い(なりすまし)、悪意で個人情報を収集するサイトもある
正当なショッピングサイトの見極め
●特定商取引に基づく表示
インターネット上で商売を行う場合には、特定商取引法に従うことが規定されている
●個人情報の取り扱いに関する表示
個人情報保護法では、個人情報取扱事業者に対して、情報をどのように収集し、どのように利用するかなどについて、公表することを義務付けている
・「個人情報について」「プライバシーについて」「プライバシーポリシー」などのタイトルで、利用者によって登録された個人情報をどのように取り扱うかを、Webサイト内で公表している。
・記載されている個人情報の取り扱い方法が適切である。
ネットショッピングの安全な利用方法
●SSL (Secure Socket Layer)
インターネット上で情報を暗号化し、データを安全に送受信するためのプロトコル(通信規約)
・アドレスが「https://～」
・ブラウザのアドレスバーやステータスバーに、鍵の形のアイコンが表示されている
●SET (Secure Electronic Transrations)
インターネット上で、クレジットカード決済を安全に行うための仕組み。
利用者，ショッピングサイト，クレジットカード会社の3者間で、クレジットカード情報を安全に送るための手順を定めている
●デジタル署名 (Digital Signature)
公開鍵暗号方式の応用技術
・信憑性：署名者が本人である
・整合性：デジタル署名後に、内容が変更または改ざんされていない
・否認防止：署名の一意性により、署名の所有者が、署名が自分のものであることを否認することを防止できる
※否認
一般的に、送信者(あるいは受信者)が事後になってその送信事実(受信事実)を否定すること
●デジタル証明書
・WebサイトにSSLを介してアクセスしているとき、Webサイトのデジタル証明書を表示できる。
・ショッピングサイトなどを運営している事業者の身元を保証するためのデータ。
3-3. 情報収集
Webサイトへアクセスする際の注意点
●匿名性
Webサイトを閲覧すると、Webサーバに情報が記録される
・OSの種類，Webブラウザの種類，リモートホスト名，WebサイトのURL
●コンテンツブロック
必要のない画像，ポップアップ，プラグイン，バナー広告などをブロックする機能
Webサイトでの詐欺行為
●フィッシング詐欺
不正なWebページに誘導し、利用者の情報を詐取する手口
フィッシングは造語で、phishing。
最近では、入念に準備を行って、より巧妙に特定の個人をねらうスピア型(標的型)フィッシングも増えている。
●ワンクリック不正請求
クリックしただけで、入会金や利用契約料などを不正に請求する行為
・契約成立の有無
原則として、「OK」ボタンや画像をクリックしただけでは、契約は成立しない
・個人情報の取得の有無
Webサイトにアクセスしただけであれば、本人の個人情報までは特定されない
・消費者センターなどへの相談
●スパイウェアによる不正請求
・インターネットに接続していないときにも、料金請求などの画面が定期的に表示される
・知らない間に、デスクトップ上に「請求書」というアイコンが表示される
・見知らぬ相手から、身に覚えのない料金督促のメールが送られてくる
3-4. Webサイトの立ち上げ
Webサイトを立ち上げる方法
・ISPが所有するWebサーバのハードディスク領域を借りて開設する
(ホスティング，レンタルサーバ)
・自分自身がサーバを設置して開設する
公開時の注意点
●発信すべきでない情報
真実性や公益性に十分に注意する
・特定の個人に対する誹謗中傷
・業務で知り得た秘匿すべき情報
・嘘や偽りの情報
・公序良俗に反する情報や画像など
・他人が著作権を持つ情報や画像など
場合によっては、不正競争防止法，著作権法，風俗営業法などの関係法令に違反する
●個人情報の公開の危険性
個人情報の不用意な公開はできる限り避ける
●著作権侵害の例
・Webサイトのデザイン性を上げるために、すぐれたデザインの画像やアイコンなどをほかのサイトから勝手に流用する。
・他のWebサイトに掲載されている情報や画像を無断でそのまま流用する。
・新聞や雑誌などに掲載されている文章を、許諾を得ずに引用の範囲意を超えて掲載する
・テレビで放送された映像やDVDとして市販されている映像、あるいはその映像からキャプチャした静止画像を無断で掲載する。
・他人が撮影した写真や映像などを無断で掲載する
・好きなミュージシャンの楽曲を無断で掲載する。
●Webサイトの使いやすさ
ユーザビリティやアクセシビリティへの配慮
・ユーザビリティ … 使い勝手
・アクセシビリティ … 身体的なハンディキャップを持つ人などに配慮すること
掲示板の管理
●電子掲示板(BBS：Bulletin Bord System)
●迷惑行為への対処
・「迷惑行為の禁止」や「不適切な発言の削除」などを盛り込んだ利用規約を明記する
・禁止用語の設定，連続書き込みの制限など
不正アクセスへの対策
●サーバの設定の確認
・FTPやTelnetは不正アクセスなどの攻撃を受けやすい
・Webページで実行するスクリプトにも注意が必要
●ログの管理
・アクセスや操作の履歴を定期的に検査し、サーバへの不正侵入や改ざんなどの痕跡がないかどうかをチェックする
・ログには、Webサイトへアクセスした閲覧者の通信に関する情報が含まれるため、通信の秘密が不用意に開示されないように適切に管理する
●セキュリティホールへの対策
・セキュリティホールは外部からの攻撃の対象となる
・不正侵入を試みるものは、攻撃元を特定されないように、セキュリティ対策が甘いサーバを踏み台にして、目的のサーバに対して攻撃を行う。
ハードウェアやネットワークへの対策
●ハードウェアへの対策
落雷や瞬電や停電などへの対策として、UPS(Uniterruptible Power Supply)の設置が推奨される
停電が発生しても正規の方法で安全にシャットダウン可能。
・フォールトトレラント
故障などで停止させることなく、正常稼働を継続すること。
ハードディスクなどのシステムの二重化を行うなど。
●ネットワークへの対策
ネットワーク上で許容量を超える送受信により送信の遅延が発生する(輻輳)
輻輳が頻繁に発生する場合、回線や機器の性能が十分でない可能性がある
また、外部からDoS攻撃を受けている可能性もある
3-5. 不特定多数の個人との情報のやり取り
メール利用時の対策
●基本的な対策
・署名を送信先に応じて使い分け、必要以上に個人情報を含めない
・送信先の指定(To,BCC,CC)を適切に使い分ける
●チェーンメールへの対応
チェーンメールとは、メールを受け取った人が「不幸の手紙」のように、次々にメールを転送していくメール。
チェーンメールは原則、転送はしない。
●迷惑メールへの対策
・ISPが提供する、迷惑メールフィルタを使用する
・ISPのメールサービスで拒否条件を設定し、メールの受信を制限する
・メーラで、特定のアドレスからのメールの受信を拒否する。
・統合セキュリティ対策ソフトの迷惑メールフィルタを使用する。
Webサイト利用時の対策
●SNS(Social Networking Site)の利用
SNS…人と人とのつながりを促進，支援するコミュニティ型のWebサイト
・利用規約を順守して適切に利用する
・必要以上に個人情報を開示しない
・掲示板などに不適切な書き込みをしない
●掲示板での被害対策
・掲示板の管理者に対して「個人情報が公開されているため、速やかな削除を要求する」旨の連絡をメールで送る。
・掲示板の管理者に連絡がつかない場合には、その掲示板を利用しているWebサイトのドメイン情報から所有者を調べる。
3-6. その他の注意点
携帯電話への対策
・本人のみ利用できるように、ロック機能を活用する
・暗証番号を定期的に変更する
・使わなくなった携帯電話やPHSは適切な方法で廃棄する
4. JIS規定の関連用語の定義
4-1. 一般的概念 (JIS X 0008)
●セキュリティ (security)
通常、適切な行動をとることにより、事故または悪意に基づく行為から、データおよび資源を保護すること。
●セキュリティ方針 (security Policy)
セキュリティを提供するために採用した、計画または一連の行動のこと。
●データ完全性 (data integrity)
データの特性であって、その正確さと一貫性が、データのどのような変更を行っても保存されるもののこと。
●ファイル保護 (file protection)
ファイルへの許可されていないアクセス、変更または削除に対抗する、適切な管理上の、技術上の、または物理的な手段の実現のこと。
●機密性 (confidentiality)
データの特性であって、そのデータが、許可されていない個人，プロセスまたはエンティティに利用可能とならない程度、または暴露されない程度を示すもの。（情報を使用不可または非公開にする特性）
●責任追跡性 (accountability)
あるエンティティの行為を、そのエンティティまで一意に追跡できることを確実にする特性のこと
●認証情報 (authentication information)
あるエンティティについて主張されている身元の有効性確認に利用する情報のこと。
●身分証明 (credentials)
あるエンティティについて主張されている身元を確認するために伝送するデータのこと。
●認可 (authorization)
権利を与えること。アクセス権に基づいて、アクセスできるようにすること。
●可用性 (avaliability)
認可されたエンティティから請求がありしだい、アクセスし利用できるようにする、データまたは資源の特性のこと。
データを必要な時にいつでも利用できる状態にすること。
●証明 (certification)
データ処理システムの全部または一部がセキュリティの要件に適合していることを、第三者機関が保証する手続きのこと。
●セキュリティ許容度 (security clearance)
特定のセキュリティレベルまたはそれより下位のセキュリティレベルで、データまたは情報にアクセスするため、個人に与えられる許可の範囲のこと。
●セキュリティレベル (security level)
階層的なセキュリティ区分とセキュリティ部類との組み合わせであって、あるオブジェクトの保護必要度、またある個人のセキュリティ許容度を表すもの。
●閉鎖型セキュリティ環境 (closed-secrutiy environment)
事故または悪意に基づく行為からデータおよび資源を保護するために、特別な注意が払われている環境。
●開放型セキュリティ環境 (open-security environment)
事故または悪意に基づく行為からのデータおよび資源の保護が、通常の操作手続きによって達成される環境のこと。
●ブライバシ (privacy)
個人に関するデータの、不当または不法な収集及び利用によって、その個人の私生活または私事への侵入を受ける、ということのない権利のこと。
●危機分析 (risk analysis , risk assessment)
データ処理システムの資産、その資産に対する脅威、およびその脅威に対するシステムの脆弱性を確認する、系統的な方法のこと。
・リスク分析(risk analysis)
リスク因子を特定するための、およびリスクを算定するための情報の系統的使用
・リスクアセスメント (risk assessment)
リスク分析からリスク評価までのすべてのプロセス
●危機容認 (risk acceptance)
通常は、技術的または費用上の理由によって、一定の危機を許容するための、管理上の決定のこと
・リスクの受容 (risk acceptance)
リスクを受容する意思決定
●保護必要度 (sensitibity)
情報の所有者が情報に割り当てた重要度の尺度であって、保護の必要性を示すもの。
●システム完全性 (system integrity)
データ処理システムの品質であって、許可されていない利用者による資源の変更または利用を防ぐと共に、許可された利用者による資源の不適切な変更または不適切な利用を防ぎながら、データ処理システムがその運用上の目的を満たす度合いのこと。
●脅威分析 (threat analysis)
データ処理システムに悪影響を与えるおそれのある行為及び事象の調査のこと。
4-2. 情報の区分 (JIS X 0008)
●セキュリティ区分 (security classification)
データまたは情報へのアクセスに対して必要な、保護の度合を決定し、その保護の度合を指定すること。
●保護必要情報 (sensitive information)
その情報の、暴露，変更，破壊，損失によって、感知できる損害を誰かにまたは何かに与えるので、保護すべきであると、相当の権限を持つものが決定した情報のこと。
●セキュリティ部類 (security category)
データへのアクセスを制限する保護必要情報の、階層的でないグループ分けであって、階層的なセキュリティ区分だけの場合よりも細かく制御するために利用するもの。
●区画化 (compartmentalization)
危機を減少させるために、データを孤立したブロックに分け、個別にセキュリティの制御を行うこと。
4-3. 暗号技術 (JIS X 0008)
●暗号 (cryptography)
データを変換する原理、手段及び具体化する技術分野であって、その意味内容を隠し、許可されていない利用を防ぎ、または検出されない変更を防ぐことを目的とするもの
●暗号化 (encryption, encipherment)
データの暗号変換のこと。暗号化によって暗号文が得られる。
逆のプロセスを復号という。
●非可逆暗号化 (irreversible encryption)
片方向暗号化，一方向暗号化ともいう。
元のデータを再生することのできない暗号文を生成する暗号化。
エンティティ認証に役立つ。パスワードを非可逆に暗号化して、得られた暗号文を格納する。後に提示されたパスワードも同じ手順で非可逆に暗号化し、2つが等しければ認証される、方法もある。
●復号 (decryption, decipherment)
暗号文から、元の対応するデータを得るプロセスのこと。
●暗号解読 (cryptoanalysis)
暗号システム，その入力，出力，またはその両方を解析して、平文などの保護必要情報などを導出すること。
●平文 (plaintext, cleartest)
暗号技術を使わずに、内容の意味を読み取るこのできるデータのこと。
●暗号文 (ciphertext)
暗号化によって生成されるデータであって、暗号技術を使わないと、内容の意味を読み取ることのできないもののこと。
●鍵 (key)
暗号化または復号の操作を制御するビット列のこと。
●プライベート鍵 (private key)
復号のための鍵であって、所有者が専用で利用するもの。
●公開鍵 (public key)
任意のエンティティが利用するための鍵であって、対応するプライベート鍵の所有者と暗号化した通信を行うためのもの。
●公開鍵暗号 (public-key cryptography)
非対称暗号(asymmetric cryptography)ともいう。暗号化および復号に、公開鍵および対応するプライベート鍵を利用する暗号のこと。
この方式では、暗号化に公開鍵を利用した場合には、複合には対応するプライベート鍵を使用しなければならず、その逆も成り立つ。
●対称暗号 (symmetric cryptography)
暗号化および復号に同じ鍵を利用する暗号のこと。
共通鍵暗号ともいう。
●秘密鍵 (secret key)
暗号化および復号のために、限られた数の通信者が利用することを意図した鍵のこと。
4-4. アクセス制御 (JIS X 0008)
●アクセス制御 (access control)
データ処理システムの資源に対して、認可されたエンティティが認可された方法でだけアクセスできることを確実にする手段のこと。
●アクセス権 (access right)
あるサブジェクトが、特定の型の操作を行うために、特定のオブジェクトにアクセスするための許可のこと。
●アクセス許可 (access permission)
あるサブジェクトに与えられた、あるオブジェクトに関するすべtネオアクセス権のこと。
●アクセス期間 (access period)
指定されたアクセス権が有効である期間のこと。
●身元の証明 (identity authentication)
身元の確認(identity validation)ともいう。データ処理システムがエンティティを認識できるようにするための試験を実行すること。
●パスワード (password)
認証情報として利用する文字列のこと。
●最小特権 (minimum privilege)
あるサブジェクトのアクセス権を、認可された仕事の実行に必要な権限だけに制限すること。
●知る必要性 (need-to-know)
データの将来の受信者が、そのデータの表現する保護必要情報を知り、アクセスし、所有するという、正当な要件のこと。
●論理的アクセス制御 (logical access control)
データまたは情報に関する機構を利用してアクセス制御を行うこと。
パスワードの利用におけるアクセスなど。
●物理的アクセス制御 (physical access control)
物理的な機構を利用してアクセス制御を行うこと。
コンピュータなどを鍵のかかる部屋に置くことなど。
●読み出しアクセス (read access)
データを読み出す許可を与えるアクセス権のこと。
●書き込みアクセス (write access)
データを書き込み許可を与えるアクセス権のこと。
さらに、データの付加，変更，削除，生成を許可することもある。
4-5. セキュリティの違反行為 (JIS X 0008)
●計算機不正利用 (computer abuse)
意図的または不注意による、許可されていない行為であって、データ処理システムのセキュリティに影響またはかかわるもののこと。
●計算機犯罪 (computer crime)
データ処理システムまたは計算機ネットワークの助けを借りて、またはそれに直接かかわって行われる犯罪のこと。
●脅威 (threat)
セキュリティの潜在的な違反のこと。
●能動的脅威 (active threat)
データ処理システムの状態を、許可を得ずに意図的に変更する脅威のこと。
具体的には、メッセージの変更，偽メッセージの挿入，なりすましなど。
●受動的脅威 (passive threat)
データ処理システムの状態を変更することなく、情報を暴露する驚異のこと。
たとえば、伝送されるデータの横取りによって、保護必要情報の復元など。
●脆弱性 (vuinerability)
データ処理システムの弱点または欠陥のこと。
●危機 (risk)
特定の脅威が、データ処理システムの特定の脆弱性を利用する可能性のこと。
●サービスの妨害 (denial of service)
資源への許可されたアクセスの妨害，または時間が重要な作業の遅延ンを発生させること。
●損失 (loss)
セキュリティ破壊の招来から生じた損害の定量的な尺度のこと。
●危急 (exposure)
特定の攻撃が、データ処理システムの特定の脆弱性を不正利用する可能性のこと。
●暴露 (disclosure)
セキュリティの違反であって、それによって、に課されていないエンティティにデータが利用可能となるもののこと。
●侵入 (inrusion)
潜入(penetration)ともいう。データ処理システムに対する、認可されていないアクセスのこと。
●侵入工作 (breach)
セキュリティのある要素のあざむき、または無力化であって、その検出の有無とはかかわりなく、出た処理システムへの侵入を引き起こすかもしれないもののこと。
●攻撃 (attack)
セキュリティに違反しようとする試み。
●暗号解読攻撃 (analytical attack)
解析的な手法を利用して符号を破る、または鍵を発見する試みのこと。
●全数攻撃 (exhaustive attack)
力ずく攻撃(brute-force attack)ともいう。パスワードまたは鍵として考えられる値を試すことによりセキュリティに違反しようとする、試行錯誤的な試みのこと。
●傍受 (evaesdropping)
情報を含む放射信号の、許可を得ていない横取りのこと。
●盗聴 (wiretapping)
データの取得，変更，または挿入を行うために、データ回線の一部に秘密にアクセスすること。
●なりすまし (masquerade)
変装ともいう。認可されていないアクセスを行うために、あるエンティティが別のエンティティのふりをすること
●直後侵入する (to tailgate)
認可された人物の背後に接近して制御された扉を通過し、認可されていない物理的アクセスを行うこと。
伴連れ侵入。
●ごみあさりをする (to scavenge)
認可なしで残留データを探索し、保護必要情報を獲得すること。
ゴミ箱あさり。
●データ破壊 (data corruption)
データ汚染ともいう。データ完全性への偶発的なまたは意図的な違反のこと。
●悪意ある論理 (malicious logic)
ハードウェア，ファームウェア，またはソフトウェアとして実現されたプログラムであって、何らかの認可されていない行為、または有害な実行を目的とするもの。
論理爆弾，トロイの木馬，ウィルス，ワームなど。
●ウィルス (virus)
自分自身の複写，または自分自身を変更した複写をほかのプログラムに組み込むことによって繁殖し、感染したプログラムを起動すると実行されるプログラムのこと。
●ワーム (worm)
寄生虫ともいう。データ処理システムまたは計算機ネットワークを通して自分自身を繁殖させることのできる、自己完結型のプログラムのこと。
●トロイの木馬 (Trojan horse)
外見上は無害であるが、悪意ある論理をもったプログラムであって、認可を受けずにデータを収集，変造または破壊することができるもの。
●論理爆弾 (logic bomb)
特定のシステム条件によって起動されたとき、データ処理システムに損害を与える論理のこと。
●時限爆弾 (time bomb)
予定の時刻に起動される論理爆弾のこと。
4-6. 保護必要情報jの保護 (JIS X 0008)
●データ保護 (data protection)
データへの認可されていないアクセスから防護するため、管理上の、技術的な、または物理的な手段を実施すること。
●フェールセーフ (failsafe)
故障が生じたときにセキュリティ破壊の招来を避けることに関する用語。
●プライバシ保護 (privacy protection)
個人情報保護ともいう。プライバシを保護するためにとる手段のこと。
●職掌分散 (separation of duties)
個人が一人だけで行動してもデータ処理システムの限られた部分に対するセキュリティ破壊の招来しか冒せないように、保護必要情報に対する責任を分割すること。
●データ認証 (data authentication)
データ完全性を検証するために利用するプロセスのこと。
受け取ったデータが送られたデータと同一であることの検証，プログラムがウィルスに感染していないことの検証など。
エンティティ認証と混同しないように注意。
●改ざん検出 (manipulation detection)
データが、偶発的または意図的に変更されたかどうかを検出するために利用する手続きのこと。
●否認 (repudiation)
通信の全部または一部に加わったエンティティの一つが、通信した事実を否定すること。
技術や機構の記述では、否認防止の用語を用いることが多く、その用語は、通信に加わったエンティティが、その通信の事実を否認できないようにするということを意味する。
●公証 (notarization)
内容，出所，時刻および配達などの、データの性質の正確さを後で保障することができるように、信頼できる第三者機関にデータを登録すること。
●ワクチンプログラム (vaccine program)
アンチウィルスプログラムともいう。ウィルスを検出するように設計されたプログラムであって、是正措置を提案または実行するもの。
4-7. データの回復 (JIS X 0008)
●データの復元 (data restoration)
失われたデータまたは汚染されたデータを再生する行為のこと。
●バックアップ手続き (backup procedure)
故障または災害の場合のデータ復元のために準備する手続きのこと。
バックアップファイルの作成など。
●バックアップファイル (backup file)
後になってデータの復元が必要となる可能性を考慮して作成するファイルのこと。
●コールドサイト (cold site)
冷サイト，シェルサイト(shell site)ともいう。
交代用のデータ処理システムの設置と運用を支援するために必要な最小限の設備を備えた施設のこと。
●ホットサイト (hot site)
熱サイトともいう。直ちにデータ処理を交代できるように、十分な機器と設備とを備えた計算センターのこと。
●障害対策計画 (contingency plan)
災害復旧計画(disaster recovery plan)ともいう。
バックアップ手続き，緊急時対応，災害後の復旧のための計画のこと。
4-8. 複写防止 (JIS X 0008)
●複写防止 (copy protection)
データ，ソフトウェアまたはファームウェアの、認可されていない複写を検出または防止するために、特別な技術を用いること。
●ソフトウェア盗用 (software piracy)
認可を得ることなく、ソフトウェア製品を利用，複写または配布すること。
4-9. その他 (JIS Q 27001)
●資産 (asset)
組織にとって価値を持つもののこと。
●情報セキュリティ (information security)
情報の機密性，完全性および可用性を維持すること。さらに、真正性、責任追跡性、否認防止および信頼性のような特性を維持することを含めることも可能。
●情報セキュリティ事象 (information security event)
システム、サービスまたはネットワークにおける特定の状態の発生のこと。
●情報セキュリティインシデント (information security incident)
望ましくない単独もしくは一連の情報セキュリティ事象、または予期しない単独もしくは一連の情報セキュリティ事象であって、事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いものをいう。
●情報セキュリティマネジメントシステム (ISMS)
Information Security Management Systemの略。マネジメントシステム全体の中で、事業リスクに対する取り組み方に基づいて、情報セキュリティの確立、導入、運用、監視、レビュー、維持及び改善を担う部分のこと。
具体的には、マネジメントシステムには、組織の構造、方針、計画作成活動、責任、実践、手順、プロセスおよび経営資源が含まれる。
●完全性 (integrity)
資産の正確さおよび完全さを保護する特性のこと。
●残留リスク (residual risk)
リスク対応の後に残っているリスクのこと。
●リスク評価 (risk evaluation)
リスクの重大さを決定するために、算定されたリスクを与えられたリスク基準と比較するプロセスのこと。
●リスクマネジメント (risk management)
リスクに関して組織を指揮し管理する調整された活動のこと。
●リスク対応 (risk treatment)
リスクを変更させるための方策を、選択および実践するプログラムのこと。
この規格では、「管理策」という用語を「方策」の類義語として使用する。
●適用宣言書 (statement of applicability)
その組織のISMSに関連して適用する管理目的および管理策を記述した文書のこと。
管理目的および管理策は、組織の情報セキュリティに対する、次のものに基づく。
・リスクアセスメントおよびリスク対応のプロセスの結果及び結論
・法令または規制の要求事項
・契約上の義務
・事業場の要求事項
5. 関連法令
省略