情報セキュリティの概要とトレンドをざっくり学ぼう：ビジネスパーソンのためのIT用語基礎解説

IT用語の基礎の基礎を、初学者や非エンジニアにも分かりやすく解説する本連載、第4回は「情報セキュリティ」です。ITエンジニアの自学用、エンジニアと協業する業務部門の仲間や経営層への解説用にご活用ください。

[古閑俊廣（BFT），＠IT]

1　情報セキュリティとは

　情報セキュリティとは、「情報の機密性」「完全性」「可用性」の3要素を確保することです。各要素の定義は以下の通りです。

• 機密性　ある情報へのアクセスを認められた人だけが、その情報にアクセスできる状態を確保すること
• 完全性　情報が破壊、改ざんまたは消去されていない状態を確保すること
• 可用性　情報へのアクセスを認められた人が、必要時に中断することなく、情報にアクセスできる状態を確保すること

　情報セキュリティに対する脅威は時代とともに変化しており、常に最新の動向をキャッチすることが大切です。

出典：国民のための情報セキュリティサイト（総務省）

2　一般的な情報セキュリティ対策

　一般的な情報セキュリティ対策としては、以下が挙げられます。

アクセス制限

　ユーザーや機器ごとに認証を行い、アクセス可能な情報や場所を制限することで、情報資産を守ります。認証の方法としては、「IDとパスワード」を用いた方法や「ICカード」を用いた方法、または静脈などの「生体情報」を用いた方法があります。また、近年はこれらの方法を複数組み合わせた「多要素認証」も一般的です。

マルウェア対策

　コンピュータウイルスをはじめとしたマルウェア（悪意のあるソフトウェア）の対策としては、「ウイルス対策ソフトウェア」の導入が一般的です。ウイルス対策ソフトウェアは、「パターンファイル」と呼ばれるマルウェア検出に必要な情報を含んだデータベースを用いて、マルウェアを検出、駆除します。パターンファイルを使用する方式では、未知のマルウェアを検出できないという課題がありましたが、現在は「振る舞い検知」と呼ばれる、挙動からマルウェアを識別する方式も用いられています。

暗号化

　情報システムが扱うデータは大きく2通りあります。ネットワーク上を流れるデータと、サーバやデータベースなどに蓄積されるデータです。いずれも「暗号化」することによりデータを秘匿できます。インターネット上を流れるデータは、SSL/TLSという仕組みを用いて暗号化されます（※1）。サーバやデータベース上のデータは、各製品の機能により暗号化します。

※1 SSL/TLSの仕組み（総務省）

ネットワーク対策

　ネットワーク機器やOS、クラウドサービスなどが持つ「ファイアウォール」という機能を用いて対策することが一般的です。ファイアウォールはIPアドレスやポート番号といった情報を利用して、通信を許可または拒否します。WebサイトやWebアプリケーションへのサイバー攻撃対策に特化した「WAF」（Web Application Firewall）は、近年よく利用されるネットワーク対策の一つです。

3　情報セキュリティの脅威

　情報セキュリティに対する脅威は年々多様化し、その手法も高度になっています。IPA（情報処理推進機構）が公開している「情報セキュリティ10大脅威 2022」では、以下の通り脅威をランク付けしています。

図1 「個人」および「組織」向けの脅威の順位（出典：IPA 情報セキュリティ10大脅威 2022）

　近年、特に世界的に被害が拡大している脅威が「ランサムウェア」です。感染すると、コンピュータ上のデータを暗号化するなど利用を制限した上で、制限の解除と引き換えに金銭を要求されることから、「身代金要求型ウイルス」と呼ばれています。

図2 ランサムウェアのイメージ

　IPAでもランサムウェア対策特設ページを設けるなど、注意喚起しています（※2）。ランサムウェアの感染経路としては、不審なメールに含まれているリンクや添付ファイル、またはWebサイトやUSBメモリなどがあります。さらに、テレワークの普及に伴いVPN機器やリモートデスクトップを感染経路としたランサムウェア攻撃が増えており、注意が必要です。

※2 ランサムウェア対策特設ページ（IPA）

4　セキュリティモデルの変化

　最後に、近年の情報セキュリティにおける変化をお伝えします。これまでのネットワークセキュリティ対策では、ネットワークを内部（社内ネットワーク）と外部（インターネット）に分けて考え、外部からのアクセスはチェックし、内部からのアクセスは信頼する「境界型防御」が一般的なセキュリティモデルとして採用されていました。

　しかし、近年ではテレワークやクラウドサービスの普及により、外部ネットワークへの接続が必要となるケースや、重要なデータが社外に存在するケースが増えています。また、標的型攻撃をはじめとしたサイバー攻撃の高度化により、ITに関する知識やセキュリティへの意識が低い人を介して内部ネットワークに侵入されるケースもあり、内部であっても必ずしも信頼できない状況が発生しています。

　そのような状況下において近年注目されているセキュリティモデルが「ゼロトラスト」です。ゼロトラストは、ネットワークを内部と外部で区別せず、全てのユーザー、機器を疑う点が特徴です。

図3 境界型防御とゼロトラストの比較イメージ

　日本政府でもゼロトラスト適用の検討は進められており、国内企業においても今後一層の普及が予想されます（※3）。

※3 政府情報システムにおけるゼロトラスト適用に向けた考え方（政府CIOポータル）

古閑俊廣

BFT インフラエンジニア

主に金融系、公共系情報システムの設計、構築、運用、チームマネジメントを経験。

現在はこれまでのエンジニア経験を生かし、ITインフラ教育サービス「BFT道場」を運営。

「現場で使える技術」をテーマに、インフラエンジニアの育成に力を注いでいる。

実践型ITインフラ研修 BFT道場