はじめに
本調査の目的
本調査は、情報セキュリティの基礎知識とWebに関連する具体的な対策、さらに組織での運用やマネジメントの重要性を分かりやすく整理したものです。専門的な言葉は必要な範囲に絞り、実例を交えて解説します。初学者から実務担当者まで幅広く役立つことを目指しています。
情報セキュリティが身近である理由
日常生活では、メールやSNS、ネットバンキングなど多くのサービスを使います。これらの情報が漏れれば、なりすましや金銭被害に遭う可能性があります。企業では顧客情報や業務データが漏れると信頼を失い、事業に重大な影響が出ます。たとえば、パスワードの使い回しで複数のサービスが乗っ取られる事例や、持ち出したUSBでウイルスが広がる事故がよく見られます。
この後の読み方
第2章では情報セキュリティの定義を丁寧に説明し、第3章〜第6章で要素や具体策を順に解説します。第7章では組織で続けるためのマネジメントについて触れます。まずは本書全体の流れをつかんでいただき、次章から順に読み進めてください。ご不明点があれば、随時確認しながら進めると理解が深まります。
情報セキュリティの定義
基本的な定義
情報セキュリティとは、企業や組織が持つ情報資産を盗難、改ざん、消失などから守るための活動です。日本産業規格JIS Q 27000:2019では「情報の機密性、完全性及び可用性を維持すること」と定義されています。簡単に言うと、情報を正しい人だけが使え、内容が勝手に変わらず、必要なときに使える状態に保つことです。
情報資産の具体例
- 顧客の氏名や連絡先などの個人情報
- 製品の設計図や技術文書
- 社内のメールや会計データ
- システムのログやバックアップデータ
これらが失われたり漏れたりすると業務に大きな影響が出ます。
なぜ重要か
情報が漏れると信頼を失い、法的な問題や金銭的損失が生じます。例えば顧客情報の流出で顧客を失ったり、設計データの改ざんで製品事故につながったりします。業務が止まると売上や仕入れに支障が出ます。
どのような取り組みか（例）
- 利用権限を制限する（必要な人だけが見られるようにする）
- 定期的にバックアップを取る
- パスワードや端末の管理を徹底する
- 暗号化やアクセスログの記録を行う
- 従業員に教育やルールを周知する
これらは日常の業務の中で実行できる基本的な対策です。詳細は次章で扱います。
情報セキュリティの3大要素（CIA）
情報セキュリティの基礎は、機密性・完全性・可用性の3つで構成されます。それぞれの意味と日常での具体例、簡単な対策をわかりやすく説明します。
機密性（Confidentiality）
許可された人だけが情報にアクセスできる状態です。例としては個人情報や社外秘の設計図があります。対策は次の通りです。
– アクセス権の設定（誰が何を見られるかを限定する）
– パスワードや多要素認証の導入
– データの暗号化や書類の施錠
完全性（Integrity）
情報が正確で改ざんされていない状態です。受注数や会計データが勝手に変わらないことが重要です。対策例：
– 変更履歴の記録（ログ）
– 入力チェックや承認フローの整備
– 定期的なバックアップと復元テスト
可用性（Availability）
必要なときに情報やシステムが使えることです。サーバーダウンで業務が止まらないようにすることを指します。対策例：
– サーバーや回線の冗長化
– 電源やネットワークのバックアップ
– 障害発生時の対応手順の整備
これら三つは互いに影響し合います。例えば強い機密性対策が可用性を下げる場合もあります。まずは重要な情報を特定し、優先順位を付けて、現実的な対策から段階的に進めることをおすすめします。
情報セキュリティの7要素
機密性（Confidentiality）
機密情報を必要な人だけが扱える状態に保ちます。例えば顧客情報を閲覧制限したり、通信を暗号化して第三者に見られないようにします。
完全性（Integrity）
情報が改ざんされず正しい状態を維持します。ファイルのハッシュ確認や変更履歴の保存、定期バックアップで誤りや改変を検出します。
可用性（Availability）
必要なときにシステムやデータが使えることです。冗長化や障害対応、定期メンテナンスで業務を止めません。
真正性（Authenticity）
利用者やデータの本人性を確認します。IDとパスワードに加え多要素認証や証明書で本人確認を強化します。
責任追跡性（Accountability／Auditability）
誰がいつ何をしたかを記録します。操作ログを保存し、不正やミスの原因追及と改善に役立てます。
否認防止（Non-repudiation）
行為の否認を防ぎます。電子署名やタイムスタンプで送信や変更をあとから否定できないようにします。
信頼性（Reliability）
システムが設計どおり安定して動くことです。テスト・監視・保守で正常な動作を保ち、突発的な障害を減らします。
情報セキュリティ対策の実施方法
情報セキュリティ対策は、抑止・予防・検知・回復の4つのアプローチで実施します。ここではそれぞれの具体的な取り組み方を分かりやすく説明します。
抑止（事故防止）
- 方針やルールを明文化し、従業員に周知します。例：持ち出し禁止のルールやパスワードの取り扱い。
- 物理的な抑止も重要です。入退室管理やパソコンのロックを徹底します。
- 教育や定期的な訓練で注意喚起します。フィッシングメールの例を使った訓練が効果的です。
予防（脆弱性対策）
- ソフトウェアの更新やパッチ適用を計画的に行います。古いソフトは早めに更新します。
- 設定の見直しや不要なサービスの停止で攻撃の入口を減らします。
- 二要素認証やアクセス権限の最小化で不正利用を防ぎます。例：管理者権限を限定する。
検知（事故発見）
- ログ収集や監視ツールで異常を早期に見つけます。ログは定期的に確認します。
- アラート基準を決め、異常時に担当者へ即時通知する仕組みを作ります。
- 従業員からの通報窓口を用意し、怪しい事象を報告しやすくします。
回復（システム復旧）
- 定期的なバックアップと復元手順を用意し、復旧時間を短くします。
- 災害時や被害発生時の連絡網と責任者を明確にします。
- 復旧訓練を繰り返し行い、手順の実効性を検証します。実際に復元する演習が有効です。
実施のポイント
- 重要資産から優先して対策を進め、段階的に拡大します。
- 小さく始めて評価と改善を繰り返す（PDCAの考え方）ことが有効です。
- 内部担当者と外部専門家を適切に組み合わせ、継続的に運用してください。
各要素の具体的な対策
機密性
- アクセス権限の最小化：必要な人にだけフォルダやシステムの権限を与えます。例えば部署ごとに閲覧・編集を分けると無用な情報漏えいを防げます。
- パスワード管理：強いパスワードと定期変更、パスワードマネージャーの利用、さらに二要素認証の導入で不正ログインを減らします。
- データ暗号化：ファイルやディスクを暗号化して保存・送信します。外部に送る際は暗号化した添付や暗号化されたクラウドを使います。
- VPN導入：外出先や在宅勤務時の通信を保護し、社内ネットワークへの不正アクセスを防ぎます。
完全性
- バージョン管理：文書やコードはバージョン管理（例：Gitやファイル名に日付）で変更履歴を残します。変更前に戻せると誤改変に対応しやすくなります。
- バックアップ：定期的にバックアップを取り、復元手順を確認します。バックアップは別物理媒体や別地点に保存すると安全です。
- デジタル署名・ハッシュ：ファイルの改ざん検知にはハッシュや電子署名を用います。受け取ったファイルが正しいか短時間で確認できます。
可用性
- ヒューマンエラー対策：手順書やチェックリストを整備し、定期的な教育でミスを減らします。
- 障害からのリカバリー：冗長化やフェイルオーバー構成、迅速な復旧手順を準備します。定期的なリカバリ訓練で実効性を高めます。
- 堅牢なプログラム設計：入力チェック、例外処理、単体・結合テストを行い、障害の発生を抑えます。監視とアラートで問題を早期発見します。
情報セキュリティマネジメントの重要性
組織で情報セキュリティを守るには、単に技術を導入するだけでは不十分です。基本方針、対策規定、対策手順書といった文書を整え、誰が何をいつまでに実行するかを明確にすることが出発点です。たとえば、パスワード運用やバックアップ頻度を文書化するだけで運用が安定します。
文書整備と役割
基本方針は組織の目標を示します。対策規定は守るべきルール、対策手順書は実務の手順です。責任者と実行者を明確にしておくと、問題発生時の対応が速くなります。具体例として、顧客データにアクセスする際の承認フローや、退職者のアカウント削除手順を用意します。
リスク管理の実施
まず情報資産を洗い出し、脅威と脆弱性を見つけます。次に影響度と発生確率を評価して優先順位をつけます。したがって、機密性が高い情報には暗号化やアクセス制限を優先します。
対策の種類
技術面ではアクセス制御、暗号化、ログ管理、定期バックアップを実施します。人的対策として定期的な教育、権限の最小化、オンボーディング・オフボーディング手順を整えます。物理面では入退室管理や機器の保管管理が重要です。
継続的な運用と改善
運用はPDCAで回します。定期監査とインシデント演習を行い、発見した課題は手順に反映します。トップの関与と予算確保が長期的な安定運用には欠かせません。小規模組織でも、資産リストと月次バックアップ、年1回の教育はすぐに始められる実践例です。
