🎯 このレッスンのゴール
- 情報セキュリティの「3要素＋4特性」を、例とともに言える
- 情報資産・脅威・脆弱性・リスクの関係を説明できる
- マルウェアの種類（ウイルス・ワーム・ランサムウェアなど）を区別できる
- 標的型攻撃・フィッシング・SQLインジェクションなど主要な攻撃手法が分かる
- 脅威を人的・物理的・技術的の3つに分類できる
こんにちは、先生役の「パスもん」です。情報セキュリティはITパスポートでいちばんよく出る分野。でも難しく考えなくて大丈夫。まずは「何を守るのか（3要素）」と「どんな敵がいるのか（攻撃）」を知ること。敵の手口が分かれば、次のレッスンで学ぶ対策もスッと入ってきますよ。
1. 情報セキュリティの3要素（最重要）
情報セキュリティとは、ひとことで言うと「情報を、守るべき状態に保つこと」です。では「守るべき状態」とは何か。その中心になるのが、頭文字をとってCIAと呼ばれる3つの要素です。ここは試験で何度も問われる土台なので、確実に押さえましょう。
・機密性（Confidentiality）＝許可された人だけが使える状態。
・完全性（Integrity）＝情報が正確で、改ざん・欠落がない状態。
・可用性（Availability）＝必要なときにいつでも使える状態。
この3つすべてをバランスよく保つことが、情報セキュリティの基本です。
| 要素 | 意味 | 例（守れている／損なわれた） |
|---|---|---|
| 機密性 | 許可された人だけがアクセスできる | パスワードで保護 ⇔ 情報が漏えいする |
| 完全性 | 情報が正確で改ざんされていない | 正しいデータのまま ⇔ Webが書き換えられる |
| 可用性 | 使いたいときに使える | 24時間アクセス可 ⇔ 攻撃でサーバが停止する |
機密性は「鍵を持つ人しか開けられない」こと。完全性は「中のお金の金額が勝手に書き換わらない」こと。可用性は「営業時間にちゃんと開いて引き出せる」こと。どれか一つでも欠けると安心して使えませんよね。情報も同じで、3つそろって初めて「守られている」といえます。
近年は、3要素に加えて4つの特性もよく取り上げられます。3要素を補強するイメージで、こちらも例とともに覚えておきましょう。
| 特性 | 意味 | 例 |
|---|---|---|
| 真正性 | 本人・本物であることが確かである | ログインした人が確かに本人だと確認できる |
| 責任追跡性 | 「誰が何をしたか」を後から追える | 操作ログで作業者を特定できる |
| 否認防止 | 後から「やっていない」と言い逃れできない | 電子署名で送信した事実を証明できる |
| 信頼性 | システムが意図どおり正しく動く | 計算結果に矛盾やバグがなく安定して動く |
真正性（本物か）と完全性（改ざんされていないか）、否認防止（やっていないと言わせない）と責任追跡性（誰がやったか追える）は、試験でわざと混同させてきます。「真正性＝なりすましでないこと」「否認防止＝あとで否定できないこと」と、キーワードで結びつけて覚えましょう。
2. 情報資産・脅威・脆弱性・リスクの関係
セキュリティの議論は、必ず「何を・何から・どう守るか」という枠組みで考えます。そのために欠かせない4つの言葉を整理しましょう。
| 用語 | 意味 | 例 |
|---|---|---|
| 情報資産 | 守るべき価値のある情報やシステム | 顧客名簿、売上データ、サーバ、PC |
| 脅威 | 情報資産に損害を与える原因・できごと | 攻撃者、マルウェア、災害、人的ミス |
| 脆弱性 | 脅威につけ込まれる弱点・欠陥 | 古いソフト、弱いパスワード、教育不足 |
| リスク | 脅威が脆弱性をつき、損害が起きる可能性 | 「情報漏えいが起きるかもしれない度合い」 |
会社の顧客名簿（情報資産）があります。これを狙う攻撃者（脅威）がいて、社内のPCに更新していない古いOS（脆弱性）があると、攻撃が成功して名簿が漏れる可能性（リスク）が高まります。
ポイントは、脅威があっても脆弱性がなければ被害は起きにくいこと。だから対策は「脆弱性をつぶす（OSを最新にする等）」が基本になります。
3. マルウェアの種類
マルウェア（malware）とは、悪意のあるソフトウェアの総称です。「ウイルス」はその中の一種にすぎません。それぞれの特徴を区別できるようにしておきましょう。
| 種類 | 特徴・ふるまい |
|---|---|
| コンピュータウイルス | 他のプログラム（ファイル）に寄生して感染し、増殖する。単独では存在できない。 |
| ワーム | 他のファイルに寄生せず自分自身を複製してネットワーク経由で拡散する。自己増殖が速い。 |
| トロイの木馬 | 役立つソフトに見せかけて侵入し、裏で悪事を働く。自己増殖はしないのが特徴。 |
| ランサムウェア | ファイルを暗号化して使えなくし、復旧と引き換えに身代金（ランサム）を要求する。 |
| スパイウェア | 利用者に気づかれず情報を収集して外部に送信する。 |
| ボット | 感染PCを外部から遠隔操作できるようにする。多数集めた群れ＝ボットネットでDDoSなどに悪用。 |
| キーロガー | キーボードの入力を記録し、IDやパスワードを盗む。 |
・ウイルス＝他のファイルに寄生して増える
・ワーム＝寄生せず単独で自己増殖して拡散
・トロイの木馬＝増えない。正体を偽って潜む
この3つの違いは頻出です。「寄生する・単独で増える・増えない」で覚えましょう。
あなたの大事なファイルに勝手に鍵をかけられ、「鍵がほしければお金を払え」と脅される――これがランサムウェアです。お金を払っても元に戻る保証はありません。だから対策はこまめなバックアップ。人質（データ）の控えが別にあれば、脅しに屈する必要がなくなります。
4. 不正アクセス・主な攻撃手法
ここはITパスポートの最頻出ゾーンです。手口の名前と「何をする攻撃か」をセットで覚えましょう。表で一気に整理します。
| 攻撃手法 | どんな攻撃か |
|---|---|
| 標的型攻撃 | 特定の組織・個人を狙い、関係者を装ったメール等で侵入する。不特定多数ではなく狙い撃ち。 |
| フィッシング | 本物そっくりの偽サイト・偽メールに誘導し、ID・パスワードや個人情報を入力させて盗む。 |
| スミッシング | SMS（ショートメッセージ）を使ったフィッシング。「SMS＋phishing」の造語。 |
| ソーシャルエンジニアリング | 技術ではなく人の心理や行動の隙をつく。電話でなりすまして聞き出す、肩越しに盗み見るなど。 |
| 辞書攻撃 | よく使われる単語をリスト化し、それを順に試してパスワードを破る。 |
| 総当たり攻撃 （ブルートフォース） | 考えられる文字の組み合わせを片っ端から全部試す。 |
| パスワードリスト攻撃 | どこかで漏えいしたID・パスワードの一覧を使い回し、別のサービスへのログインを試す。 |
| DoS攻撃 / DDoS攻撃 | 大量のアクセスを送りつけ、サーバを過負荷で停止させる（可用性を狙う）。多数の端末から行うのがDDoS。 |
| SQLインジェクション | 入力欄に不正なSQL文を埋め込み、データベースを不正操作して情報を盗む・改ざんする。 |
| クロスサイトスクリプティング （XSS） | Webページに悪意あるスクリプトを埋め込み、閲覧者のブラウザ上で実行させる。 |
| 中間者攻撃（MITM） | 通信の間に割り込んで盗聴・改ざんする。当事者は気づかない。 |
| ゼロデイ攻撃 | 脆弱性が見つかってから修正プログラムが出る前に、その穴を突く攻撃。 |
| サプライチェーン攻撃 | セキュリティの弱い取引先や委託先を踏み台にして、本来の標的に侵入する。 |
ログイン画面のID入力欄に、攻撃者がふつうの文字ではなく特殊な命令文を打ち込みます。プログラムがそれをそのままデータベースへの命令として受け取ってしまうと、「全員のパスワードを表示せよ」といった本来できないはずの操作が実行されてしまう――これがSQLインジェクションです。だから入力値はそのまま信用せず、点検（無害化）してから扱う必要があります。
・辞書攻撃（単語を試す）と総当たり攻撃（全組み合わせを試す）
・パスワードリスト攻撃は「使い回しを狙う」のがミソ。同じパスワードを複数サービスで使うと危険。
・DoS／DDoSは情報を盗む攻撃ではなく「止める」攻撃＝可用性を狙う、という点が問われます。
パスワードを盗む手口でも、のぞき見・なりすまし電話・ゴミ箱あさりのように人をだますものはソーシャルエンジニアリングです。プログラムやネットワークの技術を使わない点が特徴で、対策も「人の教育」が中心になります。
5. 脅威の3分類（人的・物理的・技術的）
これまで見た脅威は、原因によって3つに分類できます。攻撃（技術的脅威）だけでなく、うっかりミスや災害も立派な脅威であることが大切なポイントです。
| 分類 | 内容 | 具体例 |
|---|---|---|
| 人的脅威 | 人が原因となる脅威 | 誤操作・誤送信、ノートPCやUSBの紛失・盗難、内部不正、ソーシャルエンジニアリング |
| 物理的脅威 | 物理的なできごと・環境による脅威 | 地震・火災・水害などの災害、停電、機器の故障、不正侵入による破壊 |
| 技術的脅威 | ITの技術を使った脅威 | マルウェア感染、不正アクセス、盗聴、各種サイバー攻撃 |
はでなサイバー攻撃に目が行きがちですが、実際の事故ではメールの誤送信・書類やUSBの紛失・設定ミスといった人的脅威が大きな割合を占めます。「内部不正」も人的脅威に含まれます。試験でも「紛失・誤操作＝人的脅威」と分類できるかが問われます。
敵の顔ぶれが見えてきましたね。「3要素で守るものを決め、脅威と脆弱性を知る」。これがセキュリティの出発点です。次のレッスンでは、これらの攻撃をどう防ぐか――暗号・認証・組織的な対策を学んでいきますよ。
〇か×で答えてみましょう。ボタンを押すと答えと解説が出ます。
Q1. 情報セキュリティの3要素とは、機密性・完全性・可用性のことである。
正解は 〇。頭文字をとってCIA（Confidentiality・Integrity・Availability）と呼ばれる、セキュリティの最も基本の3要素です。
Q2. 完全性とは、必要なときにいつでも情報を使える状態のことである。
正解は ×。それは可用性の説明です。完全性は「情報が正確で、改ざん・欠落がない状態」を指します。
Q3. ワームは、他のファイルに寄生しないと存在できないマルウェアである。
正解は ×。寄生が必要なのはコンピュータウイルス。ワームは寄生せず、単独で自己増殖してネットワーク経由で拡散します。
Q4. ランサムウェアは、ファイルを暗号化して使えなくし、復旧と引き換えに金銭を要求する。
正解は 〇。「ランサム（ransom）＝身代金」のとおり、データを人質にとる攻撃です。有効な対策はこまめなバックアップです。
Q5. DDoS攻撃は、大量のアクセスを送りつけてサーバを停止させ、可用性を損なう攻撃である。
正解は 〇。DoS／DDoSは情報を盗むのではなく、サービスを止める＝可用性を狙う攻撃です。多数の端末から行うのがDDoSです。
Q6. 電話で関係者になりすまして情報を聞き出す手口は、SQLインジェクションである。
正解は ×。これはソーシャルエンジニアリングです。技術ではなく人の心理・行動の隙をつきます。SQLインジェクションはデータベースを不正操作する技術的攻撃です。
Q7. 社員がノートPCを電車に置き忘れて情報が漏れるのは、人的脅威に分類される。
正解は 〇。紛失・誤操作・内部不正など、人が原因となるものは人的脅威です。災害や故障は物理的脅威、サイバー攻撃は技術的脅威です。
Q1. 情報セキュリティの3要素を順に言うと？
Q2. 「許可された人だけが情報を使える状態」を表す要素は？
Q3. 「やっていないと後から言い逃れできないこと」を表す特性は？
Q4. 脅威につけ込まれる「弱点・欠陥」を何という？
Q5. 正体を偽って侵入し、自己増殖しないマルウェアは？
Q6. キーボードの入力を記録してID・パスワードを盗むマルウェアは？
Q7. 漏えいしたID・パスワードの使い回しを狙ってログインを試す攻撃は？
Q8. 修正プログラムが提供される前の脆弱性を突く攻撃を何という？
📌 このレッスンのまとめ
- 情報セキュリティの3要素は機密性・完全性・可用性（CIA）。＋真正性・責任追跡性・否認防止・信頼性の4特性。
- 脅威が脆弱性をつくと、情報資産に損害が出るリスクになる。対策の基本は脆弱性をつぶすこと。
- マルウェアは増え方で区別：ウイルス＝寄生・ワーム＝単独で増殖・トロイの木馬＝増えない。ランサムウェアは身代金要求。
- 主な攻撃：標的型・フィッシング／スミッシング・ソーシャルエンジニアリング・辞書／総当たり・パスワードリスト・DoS／DDoS・SQLインジェクション・XSS・中間者・ゼロデイ・サプライチェーン。
- DoS／DDoSは「止める＝可用性」を狙う攻撃。ソーシャルエンジニアリングは技術を使わず人をだます。
- 脅威は人的（紛失・誤操作・内部不正）／物理的（災害・故障）／技術的（攻撃・マルウェア）の3つに分類。