情報セキュリティと標準化I 第２回

WEB公開版のため

内容は大幅に抜粋しています。

前期：第１５回

1 情報セキュリティの概要：基本概念、実装技術と対策方法2 情報セキュリティの概要：脅威リスクの分類と評価、その対策方法3 技術的セキュリティの技術と実装4 人的・物理的セキュリティと技術的セキュリティの関係5 対称暗号技術：秘密鍵技術と実装（セキュアプログラミング）6 非対称暗号技術：公開鍵技術と実装（セキュアプログラミング）7 セキュリティ監査と管理:セキュリティ技術評価

評価方法、保証レベル

8 セキュリティ監査と標準化:セキュリティ評価基準と標準化9 リスクの分析評価と管理対策：情報資産とリスクの概要，リスク分析評価

10 情報セキュリティのマネジメントとセキュリティポリシー: IMIS、関連法規

11 デジタル認証技術と標準化: デジタル署名、メッセージ認証、認証基盤12 物理的認証技術と標準化:利用者確認、生態認証、関連標準化動向13 観測・基盤実装技術:セキュアOS，セキュアプログラミング14 観測・応用実装技術:アプリケーションセキュリティ15 情報セキュリティ技術、分析評価方法、管理対策、標準化動向まとめ

第２回

• 情報セキュリティの概要：脅威リスクの分類と評価、 その対策方法

情報セキュリティが取り組む課題に、リスクの分

析評価と低減による脅威の抑止がある。関連

する情報資産とリスクの概要，リスクの種類，

リスク分析と評価，リスク対策，情報セキュリティポリシ，

ISMS，企業活動のセキュリティ規程の作成評価方法，

保証レベル，ISO/IEC 15408等について解説する。

情報セキュリティとは？

• コンピュータシステムやネットワークシステム の安全性を保つこと。

• データの安全性を保つこと。大事な情報が守 られること。

• システムの安全性を確保すること。第３者に 制御や操作を乗っ取られないこと。

情報セキュリティの３条件 CIA（秘匿性・完全性・可用性）

• 秘匿性 Confidentiality許可されたものが情報にアクセスできる。

• 完全性 Integrity情報が正確であり、改ざんされないこと。

• 可用性 Availability許可されたユーザが情報にアクセスし利用できる。

情報セキュリティへの脅威の分類

①データセキュリティ大事なデータ（個人情報など）が守られること。

②システムセキュリティ個人のコンピュータやデバイスが守られること。

③ネットワークセキュリティ複数の人が使うネットワークやサービスが安全に利用できること。

④人的セキュリティ悪意のある人が大事な情報やシステムにアクセスできないようにすること。

脅威の種類

• 破壊：データやコンピュータを壊す• 漏洩：組織の機密情報や個人情報を外部に漏らす• 改ざん：ホームページなどが改ざんする• 盗聴：メールなどが盗み見される• 盗難：コンピュータやUSBメモリなどが盗まれる

• サービス停止：組織が提供しているサービスが落とされる• 不正利用：組織のネットワークやシステムが別の目的で不正に

利用される。• 踏み台：他の組織の情報システムを攻撃する手段に利用される。• ウィルス感染：ウィルス感染により組織の大事なデータが破壊さ

れる。• なりすまし：パスワードを盗まれ、本人のアカウントが情報を盗ま

れたり、買い物をされる。• 否認：文書がメールで送信した内容を、否定される。

基本情報処理技術者試験：

コンピュータ犯罪①改ざん：コンピュータ内のデータやプログラムを所有

者が知らない間に意図的に変更すること。例（サラミ 法）：複数の他人の銀行口座から少数の金額を引き 出す。

②破壊：コンピュータに記録されているデータやプログ ラムを消去する。例（トロイの木馬）：一定の条件を

満たすとファイルを破壊したりパスワードを盗んだり する。

③漏洩：情報システムからデータやそのコピーを知ら れずに持ち出す行為。例（スキャンベンジング）：コン

ピュータ内のゴミ箱や実際の廃棄書類からデータを 持ち出す行為。

基本情報処理技術者試験：

コンピュータ犯罪

①盗聴：ネットワーク上のデータを不正に傍受し たりすること。

②なりすまし：他人のユーザIDやパスワードを 利用することにより、他人になりすまして機密 情報を入手したり、不正な操作をさせること。 デジタル署名で対応する。

③WEBビーコン：WEBサーバを見た人のコン ピュータを感染させる行為。

基本情報処理技術者試験：

コンピュータ犯罪

①ワーム：コンピュータウィルスの１つ。感染先のプロ グラムを利用せずに自ら繁殖することができる。

②フィッシング：実際の金融機関や買い物サイトを装っ て、ユーザにIDとパスワードを入力させる行為。

③スパイウェア：パソコン内のユーザの情報を盗むソ フトウェア

④ソーシャルエンジニアリング：コンピュータを使わず に情報システムに対して不正を行う。電話でパス

ワードを聞きだす、振込み（オレオレ詐欺）など。

基本情報処理技術者試験：

情報セキュリティ対策①物理セキュリティ対策：物理的な脅威から情報資産

を保護する。耐震設備、電源設備、入退室管理（IDカード）

②技術的セキュリティ管理：技術的な脅威から情報資 産をまもる。

コンピュータウィルス対策、WEB認証、アクセス制 御など

③人的セキュリティ対策：人的な脅威から情報資産を 保護する。

従業員、組織の人員の管理、セキュリティポリシー を守らせる（周知させる）。

リスクコントロール• 抑止：脅威ができる限り発生しないようにする。不要なサービスの停止、外部委託、監視カメラ

• 予防：脅威が発生してしまった後の被害を小さくする。公開ネットワークと社内ネットワークの分離、ウィルス対策ソフト

• 検知：脅威を発生を素早く発見できるようにする。ログの管理、侵入検知システム、ファイアウォール

• 回復：脅威が発生した後で正常であった状態に戻す。バックアップ、代替器の確保

リスク管理

• 許容：リスクのうち、発生頻度やダメージが少ないと 予想される場合、対策を行わないこと。

• 低減：リスクの発生頻度や損害額を抑えること。

• 移転：リスクが発生する情報システムを外部に委託 すること。

• 回避：リスク発生の原因を取り除くこと。

基本情報処理技術者試験：

リスク管理①リスクの種類

投機的リスク：損もするが得する場合もある

純粋リスク：損するのみ

②リスク分析と評価

分析：守るべき複数の情報資産の価値（損失額）を決める

評価：それぞれの情報資産の許容損失額を決定する。

③リスクファイナンス：攻撃された時の損失を補填する備えをす る、会社に入るなど

④リスク分析手法

定量的分析：損失を金額などの具体的な数字で表す。

定性的分析：情報資産が失われたときの損失の大きさの順 位をつける。

セキュリティポリシー

情報セキュリティ基本方針

情報セキュリティ対策基準

情報セキュリティ対策手続き規定類

組織の保有する情報資産（ハードウェア、ソフトウェア、ネットワーク、データ、設備など）を脅威から守るために、組織の情報システムの機密性、完全性、可用性を確保するために規定するきまりのこと。

情報セキュリティ対策

• 暗号化：極秘データが盗まれない

• サーバへの対策：WEBサーバが改ざんされない

• コンピュータウィルス：WEBやメールから感染しない

• シングルサイオン：パスワードでログインするようにす

• バイオメトリクス：指紋や虹彩などで本人確認

• ファイアウォール：不正やアクセスを遮断する

• IDSとIPS：攻撃トラフィックを検知、遮断する

• SSLとTLS：WEBのアクセスを暗号化する

• 電子メール：メールの暗号化やスパムメールの遮断

基本情報処理技術者試験：機密保護

①暗号化：一定の規則でデータを変換して第三 者にわからなくする。

共通鍵暗号方式

公開鍵暗号方式

②認証：アクセスしている人や通信先が本人で あること、正当な利用者であることを確認する こと。

③アクセス管理：コンピュータシステムの資源に 対する不正なアクセスを防ぐこと。

基本情報処理技術者試験：

コンピュータウィルス①コンピュータウィルス：ネットワークや記憶媒介（USBメモリ）

等からシステムに侵入し、データの改ざんと不正実行するプ ログラム

自己感染機能：自分をコピーして感染していく。

潜伏機能：発病するまで持ち主に築かれずにコン ピュータに記憶されている。

発病機能：プログラムやデータの破壊を行う。持ち主の意図 に反して他のコンピュータへ攻撃を行うなど。

②ファイアウォール：インターネットと組織のネットワークの間に 配置し、不正なアクセスや攻撃パケットを遮断する。

リスク評価（アセスメント）

①組織内の情報資産の価値を求める

②組織内の情報資産への脅威を分析

③内在する脆弱性を分析

①価値、②脅威、③脆弱性からリスク値を算出

公開、社外秘、秘密、極秘改ざんされると業務に

支障が出るなど

公開、社外秘、秘密、極秘改ざんされると業務に

支障が出るなど

WEBサーバの不備

攻撃難易度管理レベルなど

情報セキュリティ対策

• 暗号化：極秘データが盗まれない

• サーバへの対策：WEBサーバが改ざんされない

• コンピュータウィルス：WEBやメールから感染しない

• シングルサイオン：パスワードでログインするようにす

• バイオメトリクス：指紋や虹彩などで本人確認

• ファイアウォール：不正やアクセスを遮断する

• IDSとIPS：攻撃トラフィックを検知、遮断する

• SSLとTLS：WEBのアクセスを暗号化する

• 電子メール：メールの暗号化やスパムメールの遮断

基本情報処理技術者試験：

コンピュータウィルス①コンピュータウィルス：ネットワークや記憶媒介（USBメモリ）

等からシステムに侵入し、データの改ざんと不正実行するプ ログラム

自己感染機能：自分をコピーして感染していく。

潜伏機能：発病するまで持ち主に築かれずにコン ピュータに記憶されている。

発病機能：プログラムやデータの破壊を行う。持ち主の意図 に反して他のコンピュータへ攻撃を行うなど。

②ファイアウォール：インターネットと組織のネットワークの間に 配置し、不正なアクセスや攻撃パケットを遮断する。

情報セキュリティの国際標準と法規

ISO/IEC 27001：情報セキュリティマネジメントシステム

ISO/IEC 27002：セキュリティポリシーの作成

ISO/IEC 27005：リスクマネジメントシステム

ISO/IEC 13335：リスクの分析と評価

ISO/IEC 15408：製品とシステムのセキュリティ

RFC 2828：セキュリティの用語を規定

RFC 2504：ユーザセキュリティ

RFC 2196：サイトセキュリティ

RFC 3365：プロトコルセキュリティ

ISO/IEC 27005

リスクの評価

リスクの特定

リスクの算定

状況の設定

リスクの対応

リスクの受容

リスク分析

リスク評価対応は充分？

評価は充分？

ISO/IEC 15408

• 概説と一般モデル

• セキュリティ機能要件

• セキュリティ保証要件

１ セキュリティ監査２ 通信３

暗号サポート

４

利用者データ保護

５

識別と認証

６ セキュリティ管理７

プライバシー

８

TOEセキュリティ機能の保護

９資源アクセス１０

TOEアクセス

１１

高信頼バス・チャネル

１

PP評価

２

ST評価

３

構成管理

４

配布と運用

５ 開発６ ガイダンス文書７

ライフサイクルサポート

８ テスト９脆弱性評定１０

保証維持

作り方構築の仕方

評価の仕方 TOE: Target of Evaluation

参考（参照）文献

【１】図解入門

よくわかる 新情報セキュリティの基本と仕組み

- 基礎から学ぶセキュリティリテラシー

相戸 浩志

秀和システム

【２】基本情報処理技術者試験情報処理教科書 基本情報技術者 2013年版日高 哲郎

（翔泳社）

情報処理教科書 応用情報技術者 2013年版日高 哲郎

（翔泳社）

【３】ポケットスタディ

情報セキュリティスペシャリスト村山 直紀

秀和システム

第３回

• 技術的セキュリティの技術と実装

情報セキュリティ対策は技術・物理的・人的組織的と３

種類に分類される。第３回では技術的セキュリティで

ある暗号・認証技術、セキュアOS，アプリケーションセ

キュリティ，セキュアプログラミング等について解説す

る。またこれらの技術要素に用いた情報セキュリティ

マネジメントシステムと関連標準化動向について説明

する。