https://network-introduction.com/tags/%E8%84%85%E5%A8%81/ Recent content in 脅威 on ネットワーク入門講座 Hugo -- gohugo.io ja Thu, 06 Aug 2026 00:00:00 +0000 https://network-introduction.com/post/information-security/ Thu, 06 Aug 2026 00:00:00 +0000 https://network-introduction.com/post/information-security/ <img src="https://network-introduction.com/post/information-security/thumb.webp" alt="Featured image of post 情報セキュリティとは？守るべき3つの要素をやさしく解説" /><p>情報セキュリティとは、情報を守るための考え方と取り組みの総称です。「守る」と一言でいっても、その内容は3つに分けられます。他人に見られないこと、内容が書き換えられないこと、そして必要なときに使えること。この3つを <strong>機密性・完全性・可用性</strong> と呼びます。何を守るのかが分かれば、どう守るかも見えてきます。</p> <hr> <h2 id="はじめに">はじめに </h2><p>「セキュリティ対策」と聞いて、何を思い浮かべるでしょうか。</p> <p>パスワードを複雑にする。ウイルス対策ソフトを入れる。怪しいメールを開かない。どれも正しい対策です。しかしこれらは手段であって、目的ではありません。</p> <p>対策を考える前に、 <strong>そもそも何を守ろうとしているのか</strong> を整理しておきましょう。守るべきものが明確になれば、対策の意味も分かってきます。</p> <hr> <h2 id="なぜセキュリティが必要になるのか">なぜセキュリティが必要になるのか </h2><p>セキュリティの必要性は、3つの要素がそろったときに生まれます。 <strong>情報資産・脅威・脆弱性</strong> の3つです。</p> <p>家を例に考えると分かりやすくなります。</p> <table> <thead> <tr> <th>要素</th> <th>家の場合</th> <th>情報の場合</th> </tr> </thead> <tbody> <tr> <td>資産</td> <td>家そのもの、中の家財</td> <td>顧客名簿、パスワード、パソコン</td> </tr> <tr> <td>脅威</td> <td>泥棒、火災、地震</td> <td>攻撃者、マルウェア、機器の故障</td> </tr> <tr> <td>脆弱性</td> <td>壊れやすい鍵、燃えやすい構造、施錠忘れ</td> <td>単純なパスワード、古いソフトウェア</td> </tr> </tbody> </table> <p align="center"><img src="house-vulnerability.svg" alt="家の屋根・窓・鍵をそれぞれ脆弱性として示し、対応する脅威を並べた図" width="100%"></p> <p align="center">図：家に置きかえて考えてみる</p> <h3 id="3つがそろって初めてリスクになる">3つがそろって初めてリスクになる </h3><p>重要なのは、 <strong>どれか1つでも欠ければ被害は生じない</strong> という点です。</p> <p>守るべき家がなければ、泥棒が来ても失うものはありません。泥棒も災害も存在しない土地なら、鍵をかける必要はありません。どんな道具でも壊せない完璧な鍵があれば、泥棒が来ても侵入されません。</p> <p>情報も同じです。守るべき情報がなく、攻撃者もおらず、隙もない——そのいずれかが成り立てば、対策は不要です。</p> <p>しかし現実には、3つともゼロにはできません。だからセキュリティが必要になります。</p> <p align="center"><img src="risk-elements.svg" alt="情報資産・脅威・脆弱性の3つがそろったときにリスクが生まれることを示す図" width="100%"></p> <p align="center">図：3つがそろったときリスクが生まれる</p> <table> <thead> <tr> <th>用語/英単語</th> <th>意味</th> <th>イメージ・補足</th> </tr> </thead> <tbody> <tr> <td>情報資産</td> <td>守るべき価値のある情報や、それを扱う機器</td> <td>家・家財にあたるもの</td> </tr> <tr> <td>脅威 / Threat</td> <td>threat＝脅かすもの; 資産に損害を与える可能性のある要因</td> <td>泥棒・火災にあたるもの</td> </tr> <tr> <td>脆弱性 / Vulnerability</td> <td>vulnerable＝傷つきやすい; 脅威につけ込まれる弱点</td> <td>壊れやすい鍵・施錠忘れにあたるもの</td> </tr> </tbody> </table> <h3 id="対策できるのは主に脆弱性">対策できるのは主に「脆弱性」 </h3><p>3つのうち、自分の努力で減らせるのは <strong>脆弱性</strong> です。</p> <p>攻撃者の存在をなくすことはできません。地震を防ぐこともできません。守るべき情報を捨ててしまえば脅威は消えますが、それでは本来の目的を果たせません。</p> <p>一方、鍵を頑丈なものに替える、窓に補助錠を付ける、外出時に必ず施錠する——こうした対策は自分で実行できます。</p> <p>情報セキュリティでも同じです。この連載で扱う対策の多くは、脆弱性を減らすための行動です。</p> <hr> <h2 id="情報セキュリティが守るもの">情報セキュリティが守るもの </h2><p>情報セキュリティでは、守るべき性質を3つに分類します。それぞれの頭文字を取って <strong>CIA</strong> とも呼ばれます。</p> <table> <thead> <tr> <th>要素</th> <th>英語</th> <th>意味</th> </tr> </thead> <tbody> <tr> <td>機密性</td> <td>Confidentiality</td> <td>許可された人だけが見られること</td> </tr> <tr> <td>完全性</td> <td>Integrity</td> <td>情報が正確で、書き換えられていないこと</td> </tr> <tr> <td>可用性</td> <td>Availability</td> <td>必要なときに使えること</td> </tr> </tbody> </table> <p align="center"><img src="cia-triad.svg" alt="機密性・完全性・可用性という情報セキュリティの3要素" width="100%"></p> <p align="center">図：情報セキュリティが守る3つの性質</p> <p>この3つは、どれか1つが欠けても情報セキュリティは成り立ちません。順番に見ていきましょう。</p> <hr> <h2 id="機密性--見られてはいけない">機密性 ― 見られてはいけない </h2><p><strong>機密性</strong> とは、情報を見る権限のある人だけがアクセスできる状態のことです。</p> <table> <thead> <tr> <th>用語/英単語</th> <th>意味</th> <th>イメージ・補足</th> </tr> </thead> <tbody> <tr> <td>機密性 / Confidentiality</td> <td>confidential＝秘密の; 許可された人だけが情報にアクセスできる性質</td> <td>鍵のかかった引き出しに書類をしまうイメージ</td> </tr> </tbody> </table> <h3 id="失われるとどうなるか">失われるとどうなるか </h3><p>機密性が失われると、本来見せるべきでない相手に情報が渡ります。</p> <p>クレジットカード番号が漏れれば、不正利用される可能性があります。住所や電話番号が流出すれば、迷惑な勧誘や詐欺の標的になります。企業であれば、顧客情報の漏洩は信用の失墜と賠償責任につながります。</p> <p>厄介なのは、 <strong>一度漏れた情報は取り戻せない</strong> ことです。パスワードなら変更できますが、氏名や生年月日は変えられません。</p> <h3 id="守る手段">守る手段 </h3><p>機密性を守る代表的な方法は3つあります。</p> <p><strong>認証</strong> ：本人であることを確認する仕組みです。パスワードや指紋認証がこれにあたります。</p> <p><strong>アクセス制御</strong> ：誰が何を見られるかを決める仕組みです。会社のファイルサーバーで、経理部のフォルダには経理部員しかアクセスできないように設定するといった形です。</p> <p><strong>暗号化</strong> ：内容を読めない形に変換する仕組みです。仮に情報が盗まれても、鍵がなければ内容は分かりません。</p> <hr> <h2 id="完全性--書き換えられてはいけない">完全性 ― 書き換えられてはいけない </h2><p><strong>完全性</strong> とは、情報が正確であり、許可なく変更されていない状態のことです。</p> <table> <thead> <tr> <th>用語/英単語</th> <th>意味</th> <th>イメージ・補足</th> </tr> </thead> <tbody> <tr> <td>完全性 / Integrity</td> <td>integrity＝完全さ・正確さ; 情報が改ざんされていない性質</td> <td>契約書に勝手な書き込みがされていない状態</td> </tr> </tbody> </table> <h3 id="失われるとどうなるか-1">失われるとどうなるか </h3><p>完全性が損なわれると、情報を信用できなくなります。</p> <p>銀行口座の残高が勝手に書き換えられたら、どの数字が正しいのか分からなくなります。企業のWebサイトが改ざんされ、偽の情報が掲載されれば、それを信じた顧客に被害が及びます。</p> <p>さらに深刻なのは、 <strong>書き換えられたことに気づけない場合</strong> です。見た目には正常なので、誤った情報のまま業務が進んでしまいます。</p> <h3 id="守る手段-1">守る手段 </h3><p>完全性を守る方法には次のようなものがあります。</p> <p><strong>変更履歴の記録</strong> ：誰がいつ何を変更したかを記録します。不正な変更があっても追跡できます。</p> <p><strong>デジタル署名</strong> ：データが改ざんされていないことを証明する技術です。少しでも内容が変われば検出できます。</p> <p><strong>バックアップ</strong> ：改ざんされた場合に、正しい状態へ戻すための備えです。</p> <hr> <h2 id="可用性--使えなくなってはいけない">可用性 ― 使えなくなってはいけない </h2><p><strong>可用性</strong> とは、必要なときに情報やシステムを利用できる状態のことです。</p> <table> <thead> <tr> <th>用語/英単語</th> <th>意味</th> <th>イメージ・補足</th> </tr> </thead> <tbody> <tr> <td>可用性 / Availability</td> <td>available＝利用できる; 使いたいときに使える性質</td> <td>店が営業時間内にちゃんと開いている状態</td> </tr> </tbody> </table> <h3 id="失われるとどうなるか-2">失われるとどうなるか </h3><p>可用性が失われると、情報は無事でも意味をなしません。</p> <p>オンラインバンキングにアクセスできなければ、残高が正確でも振込はできません。病院のシステムが停止すれば、患者の記録が残っていても診療に支障が出ます。</p> <p>可用性を脅かすのは攻撃だけではありません。機器の故障、災害、操作ミスなど、原因はさまざまです。</p> <h3 id="守る手段-2">守る手段 </h3><p>可用性を守る方法には次のようなものがあります。</p> <p><strong>冗長化</strong> ：同じ機能を持つ機器を複数用意し、1台が止まっても継続できるようにします。</p> <p><strong>バックアップ</strong> ：データが失われたときに復旧できるよう、別の場所に複製を保管します。</p> <p><strong>攻撃対策</strong> ：大量のアクセスを送りつけてサービスを停止させる攻撃への備えです。</p> <hr> <h2 id="3つのバランスを取る">3つのバランスを取る </h2><p>ここまで3つの要素を見てきましたが、実際には <strong>すべてを最大にすることはできません。</strong> 互いに相反する面があるためです。</p> <p>たとえば機密性を極限まで高めるなら、情報をどこにも保存せず、誰もアクセスできなくするのが最も安全です。しかしそれでは可用性がゼロになり、情報を持つ意味がなくなります。</p> <p>逆に可用性だけを追求すれば、誰でもいつでもアクセスできる状態が理想です。しかしそれは機密性を放棄することになります。</p> <table> <thead> <tr> <th>対策</th> <th>高まるもの</th> <th>下がるもの</th> </tr> </thead> <tbody> <tr> <td>パスワードを複雑にする</td> <td>機密性</td> <td>可用性（忘れやすくなる）</td> </tr> <tr> <td>アクセス権限を厳しくする</td> <td>機密性</td> <td>可用性（必要な人も使いにくい）</td> </tr> <tr> <td>バックアップを増やす</td> <td>可用性・完全性</td> <td>機密性（複製が増え漏洩点も増える）</td> </tr> </tbody> </table> <p align="center"><img src="cia-balance.svg" alt="機密性と可用性はトレードオフの関係にあることを示す図" width="100%"></p> <p align="center">図：3つすべてを最大にはできない</p> <p>重要なのは、 <strong>守る対象に応じて優先順位を決める</strong> ことです。</p> <p>個人の趣味の写真であれば、機密性より可用性を優先してもよいでしょう。一方、マイナンバーや医療情報であれば、多少使いにくくても機密性を優先すべきです。</p> <p>「すべてを完璧に守る」ではなく「何を優先するか」を考えるのが、現実的な情報セキュリティの考え方です。</p> <hr> <h2 id="守る対象は情報だけではない">守る対象は情報だけではない </h2><p>ここまで「情報を守る」と述べてきましたが、実際に守るべき対象はもう少し広くなります。</p> <table> <thead> <tr> <th>対象</th> <th>具体例</th> </tr> </thead> <tbody> <tr> <td>情報そのもの</td> <td>顧客名簿、設計図、パスワード</td> </tr> <tr> <td>情報を扱う機器</td> <td>パソコン、スマートフォン、サーバー</td> </tr> <tr> <td>情報を扱う人</td> <td>従業員、家族、自分自身</td> </tr> <tr> <td>情報を扱う環境</td> <td>オフィス、自宅、ネットワーク</td> </tr> </tbody> </table> <p>とくに見落とされがちなのが <strong>人</strong> です。</p> <p>どれだけ強固なシステムを作っても、従業員が偽のメールに騙されてパスワードを入力すれば、防御は突破されます。実際、多くの攻撃は技術的な脆弱性ではなく、人の心理につけ込む形で行われています。</p> <p>この連載で扱うフィッシング詐欺も、まさに人を標的とした攻撃です。</p> <hr> <h2 id="まとめ">まとめ </h2><p>情報セキュリティの必要性は、情報資産・脅威・脆弱性の3つがそろったときに生まれます。このうち自分で減らせるのは主に脆弱性であり、対策の多くはここに向けられます。守るべき性質は機密性・完全性・可用性の3つに分類され、それぞれの頭文字からCIAと呼ばれます。機密性は許可された人だけが見られること、完全性は情報が書き換えられていないこと、可用性は必要なときに使えることを指します。この3つは互いに相反する面があるため、すべてを最大にはできません。守る対象に応じて優先順位を決めることが現実的な対応です。また守るべき対象は情報そのものだけでなく、機器・人・環境にも及びます。とくに人を標的とした攻撃は多く、次回以降で具体的な手口を見ていきます。</p> <h3 id="用語表">用語表 </h3><table> <thead> <tr> <th>用語</th> <th>意味</th> </tr> </thead> <tbody> <tr> <td>情報セキュリティ</td> <td>情報を守るための考え方と取り組みの総称</td> </tr> <tr> <td>情報資産</td> <td>守るべき価値のある情報や、それを扱う機器</td> </tr> <tr> <td>脅威（Threat）</td> <td>資産に損害を与える可能性のある要因。攻撃者やマルウェア、災害など</td> </tr> <tr> <td>脆弱性（Vulnerability）</td> <td>脅威につけ込まれる弱点。単純なパスワードや古いソフトウェアなど</td> </tr> <tr> <td>機密性（Confidentiality）</td> <td>許可された人だけが情報にアクセスできる性質</td> </tr> <tr> <td>完全性（Integrity）</td> <td>情報が正確で、許可なく変更されていない性質</td> </tr> <tr> <td>可用性（Availability）</td> <td>必要なときに情報やシステムを利用できる性質</td> </tr> <tr> <td>CIA</td> <td>機密性・完全性・可用性の頭文字を取った呼び方</td> </tr> </tbody> </table>