🎯 このレッスンのゴール
- 共通鍵暗号と公開鍵暗号のちがいを比較して説明できる
- デジタル署名・ハッシュ関数・PKI・TLSのしくみが分かる
- 認証の3要素と多要素認証、アクセス管理の考え方が分かる
- ファイアウォール・WAF・IDS/IPS・DMZ・VPNなどの技術的対策を区別できる
- ISMS・リスクアセスメント・リスク対応など組織的対策を説明できる
前回は、ウイルスや不正アクセスといった「脅威」を学びました。今回はその裏返し、「どうやって情報を守るか」という対策の回です。対策は大きく3つの方向に分かれます。技術で守る（暗号・認証・機器）、組織のルールで守る（ISMS・ポリシー）、人と建物で守る（教育・入退室）。この3本柱で整理すると、一気に見通しがよくなります。
そして大切なのが――このセキュリティ分野は、テクノロジ系のなかでも特に出題が多いこと。なかでも「共通鍵と公開鍵のちがい」「デジタル署名」「ISMS」は毎回のように顔を出す最頻出テーマです。
暗号技術ってなに？
暗号（あんごう）とは、データを第三者に読めない形に変換する技術です。元のデータ（平文＝ひらぶん）を、鍵（かぎ）を使ってぐちゃぐちゃの暗号文に変え（暗号化）、受け取った相手が鍵で元に戻します（復号＝ふくごう）。とちゅうで盗み見されても、鍵がなければ読めないので盗聴（とうちょう）に強くなります。
大事な手紙を、鍵つきの箱に入れて郵送するイメージです。とちゅうで配達員が箱を開けようとしても、鍵がなければ中身は読めません。問題は「箱を開ける鍵を、どうやって相手に安全に渡すか」。この鍵の渡し方（鍵配送）こそが、これから出てくる2種類の暗号方式を分けるポイントになります。
① 共通鍵暗号（暗号化と復号が同じ鍵）
共通鍵暗号は、暗号化と復号にまったく同じ1つの鍵を使う方式です。送り手と受け手が同じ鍵を持ち合います。計算がシンプルなので処理が速く、大きなデータの暗号化に向いています。代表例はAES。
弱点は鍵配送問題。「相手と同じ鍵を共有しないと使えない」のに、その鍵を相手に渡すとちゅうで盗まれたら終わり、というジレンマです。また、通信相手が増えるほど鍵の数が増え、管理がたいへんになります。
② 公開鍵暗号（暗号化と復号で別々の鍵）
公開鍵暗号は、ペアになった2つの鍵を使います。誰に見せてもいい公開鍵と、自分だけが持つ秘密鍵です。公開鍵で暗号化したものは、ペアの秘密鍵でしか復号できません。代表例はRSA。
受け手はあらかじめ自分の公開鍵をばらまいておき、送り手はその公開鍵で暗号化して送ります。復号できるのは秘密鍵を持つ受け手だけ。鍵を配る必要があるのは「公開していい鍵」だけなので、鍵配送問題に強いのが最大の利点です。弱点は計算が複雑で処理が遅いこと。
公開鍵は、開いた状態の南京錠（なんきんじょう）をたくさん配っておくイメージ。誰でもその南京錠で箱に鍵をかける（暗号化する）ことはできます。でも、いったんかかった南京錠を開けられる本物の鍵（秘密鍵）は、自分しか持っていません。だから南京錠は何個ばらまいても安全なのです。
共通鍵 vs 公開鍵 ── 比較表
| くらべる点 | 共通鍵暗号 | 公開鍵暗号 |
|---|---|---|
| 使う鍵 | 1つの同じ鍵（共通鍵） | 2つのペア（公開鍵＋秘密鍵） |
| 暗号化に使う鍵 | 共通鍵 | 相手の公開鍵 |
| 復号に使う鍵 | 共通鍵（同じもの） | 自分の秘密鍵 |
| 処理速度 | 速い | 遅い |
| 鍵配送 | 課題あり（安全に渡しにくい） | 強い（公開鍵を配るだけ） |
| 代表例 | AES | RSA |
覚え方：共通＝1つの鍵で速いが配送がネック／公開＝2つの鍵で配送に強いが遅い。この対比がそのまま出題されます。
「速い共通鍵」と「鍵配送に強い公開鍵」を組み合わせたのがハイブリッド暗号です。本文は速い共通鍵で暗号化し、その共通鍵そのものだけを公開鍵で暗号化して相手に渡します。こうすれば、鍵配送の安全性と処理速度を両立できます。後で出てくるTLS（HTTPS）も、この考え方で動いています。
デジタル署名 ── なりすまし防止と改ざん検知
暗号は「中身を読まれないようにする」しくみでした。一方デジタル署名（電子署名）は、「本当にこの人が送ったのか（本人性）」「とちゅうで書き換えられていないか（完全性）」を確かめるしくみです。中身を隠すのではなく、正しさを証明するのが目的です。
ポイントは、暗号化のときと鍵の使い方が逆になること。デジタル署名では、送信者が自分の秘密鍵で署名し、受信者は送信者の公開鍵で検証します。秘密鍵は本人しか持っていないので、公開鍵で正しく検証できれば「確かに本人が送った」と分かるのです。
ハッシュ関数と署名の流れ
署名にはハッシュ関数がセットで使われます。ハッシュ関数とは、どんな長さのデータからも決まった長さの短い要約値（ハッシュ値）を作る計算です。元のデータが1文字でも変われば、ハッシュ値はまったく別物に変わります。だから改ざんの検知に使えます。
| 段階 | 送信者がすること | 受信者がすること |
|---|---|---|
| ① 要約 | 本文からハッシュ値を計算 | 受け取った本文からハッシュ値を計算 |
| ② 署名 | そのハッシュ値を送信者の秘密鍵で暗号化（＝署名） | 署名を送信者の公開鍵で復号 |
| ③ 照合 | 本文＋署名を送る | ①と②のハッシュ値が一致すれば本人・改ざんなし |
2つのハッシュ値が一致＝「本人が送った（なりすましでない）」かつ「とちゅうで改ざんされていない」ことが同時に証明されます。
「暗号化＝相手の公開鍵」「署名＝自分の秘密鍵」。守りたいものが何かで鍵が変わります。中身を隠したい（暗号化）なら相手の公開鍵、自分が本人だと示したい（署名）なら自分の秘密鍵。逆に覚えると失点します。
PKI・認証局（CA）・電子証明書
公開鍵には弱点が1つあります。「その公開鍵が、本当にその人のものか」を誰が保証するのか？ 偽物の公開鍵をつかまされたら、なりすましを見破れません。そこで登場するのがPKI（公開鍵基盤）です。
- 認証局（CA）：「この公開鍵は確かに○○さんのものです」と保証する、信頼できる第三者機関。
- 電子証明書（デジタル証明書）：CAが「公開鍵の持ち主」を証明するために発行する身分証のようなもの。CA自身のデジタル署名が入っています。
- PKI：CA・証明書・公開鍵暗号を組み合わせて、公開鍵の正しさを社会全体で保証するしくみ全体のこと。
TLS/SSL・HTTPS
TLS（古い呼び名はSSL）は、Web通信を暗号化するしくみで、これを使ったWebアクセスがHTTPSです。ブラウザの鍵マークはTLSで通信が保護されている印。中身ではここまで学んだ技術が総動員されています。
① サーバーが電子証明書を提示し、ブラウザがCAの署名で本物か確認（なりすましサイト防止）。② 公開鍵暗号で共通鍵を安全に共有。③ あとは速い共通鍵で本文をやりとり。まさにハイブリッド暗号の実例で、暗号・署名・PKIが全部つながっています。
認証技術 ── 本人だと確かめる
認証とは、「アクセスしてきた相手が、本当に本人かどうかを確かめる」ことです。本人確認のよりどころは、次の3要素に整理できます。
| 3要素 | 意味 | 具体例 |
|---|---|---|
| 知識情報 | 本人だけが知っているもの | パスワード、暗証番号(PIN)、秘密の質問 |
| 所持情報 | 本人だけが持っているもの | ICカード、スマホ、ハードウェアトークン |
| 生体情報 | 本人の身体的特徴 | 指紋、顔、虹彩(こうさい)、静脈 |
語呂：「知っている・持っている・本人である」。この3つの「どれを使うか」が認証方式のちがいの根っこです。
多要素認証とは、上の3要素のうち異なる種類を2つ以上組み合わせる認証です。たとえば「パスワード（知識）＋スマホに届くコード（所持）」。1つが破られても、もう1つの種類で防げるので安全性が大きく高まります。パスワード＋秘密の質問は、どちらも「知識」なので多要素ではない点に注意。種類が違うことが条件です。
- ワンタイムパスワード(OTP)：一定時間ごとに変わる、1回かぎりのパスワード。盗まれてもすぐ使えなくなる。
- シングルサインオン(SSO)：一度ログインすれば、連携した複数のサービスに再ログインなしで入れるしくみ。便利だが、その1つの認証が破られると影響範囲が広い。
- CAPTCHA：ゆがんだ文字や画像選択で「人間かプログラム(bot)か」を判別し、機械による不正ログインや自動登録を防ぐ。
アクセス管理 ── 誰に何を許すか
認証で「本人だ」と確かめた後は、認可（認証されたその人に、どこまでの操作を許すか）を決めます。これがアクセス管理です。鍵となる考え方が最小権限の原則です。
各利用者には、業務に必要な最小限の権限だけを与える、という考え方。経理担当に人事ファイルの権限を与えない、といった具合です。権限を絞るほど、万一アカウントが乗っ取られたときの被害も小さく抑えられます。ファイルやフォルダごとに「読み取りだけ」「書き込み可」などのアクセス権を設定して実現します。
技術的対策 ── 機器とソフトで守る
ネットワークの出入口や機器で守る対策です。それぞれ「何を守るためのものか」をセットで覚えると、ひっかけに強くなります。
| 対策 | 役割（ざっくり） |
|---|---|
| ファイアウォール | 社内ネットと外部の境界で、通信を許可/遮断する「関所」。不要な通信を止める。 |
| WAF | Webアプリ専用の防御。SQLインジェクションやXSSなどアプリへの攻撃を防ぐ。 |
| IDS | 不正侵入を検知して知らせる（見張り役）。 |
| IPS | 不正侵入を検知し、さらに自動で遮断する（検知＋防御）。 |
| ウイルス対策ソフト | マルウェアを検知・駆除。定義ファイル（パターンファイル）を最新に保つことが重要。 |
| DMZ | 外部公開サーバーを置く「緩衝地帯」。社内ネットと外部の間に隔離して被害を波及させない。 |
| VPN | インターネット上に暗号化された仮想の専用線を作り、安全にリモート接続する。 |
| 無線LANの暗号化 | Wi-Fiの通信を暗号化。現在はWPA2／WPA3が推奨（古いWEPは危険）。 |
紛らわしい所：IDS＝検知だけ／IPS＝検知＋遮断。ファイアウォール＝通信全体の関所／WAF＝Webアプリ専用。区別が問われます。
ウイルス対策ソフトは、既知のマルウェアの特徴を集めた定義ファイルと照合して検出します。新しい脅威は毎日生まれるので、定義ファイルを最新に更新していないと、新型のマルウェアを見逃します。「ソフトを入れただけで安心」ではない、というのが頻出の落とし穴です。
組織的・人的・物理的対策 ── ルールと人と建物で守る
どれだけ技術で固めても、ルールがなかったり、人がうっかりミスをしたり、サーバー室に誰でも入れたりすれば台無しです。そこで組織・人・物理の面からも守ります。その中心にあるのがISMSです。
ISMS（情報セキュリティマネジメントシステム）
ISMSとは、情報セキュリティを組織として継続的に管理・改善していくしくみです。特定の機器の名前ではなく、「方針を決め、対策を実行し、点検し、見直す」という運営のしくみを指します。守る対象は情報の機密性・完全性・可用性（CIA）の3つです。
ISMSはPDCAで継続的に改善します。Plan（計画：方針やルールを決める）→ Do（実行：対策を導入・運用）→ Check（点検：監査や評価で効果を確認）→ Act（改善：見直して次へ）。1回やって終わりではなく、ぐるぐる回し続けることがポイント。国際規格はISO/IEC 27001です。
- 情報セキュリティポリシー：組織のセキュリティの方針・ルールを文書化したもの。「基本方針→対策基準→実施手順」の階層で作るのが一般的。
- セキュリティ教育：従業員に対する研修。人的ミス（うっかり情報漏えい、不審メールを開くなど）を減らす、人的対策の要。
- バックアップ：データを別の場所に複製して保管。ランサムウェアや故障で消えても復旧でき、可用性を守る。
- 入退室管理：サーバー室などへの立ち入りをICカードや記録で制限する物理的対策。
- CSIRT（シーサート）：セキュリティ事故（インシデント）が起きたときに対応する専門チーム。
リスクアセスメントとリスク対応
守るには、まず「どこにどんな危険があるか」を洗い出す必要があります。これがリスクアセスメント（リスクの特定・分析・評価）です。評価したリスクへの手の打ち方が、次のリスク対応（4つ）です。
| リスク対応 | 意味 | 具体例 |
|---|---|---|
| リスク回避 | リスクの原因そのものをやめる | 危険なサービスの提供を中止する |
| リスク低減 | 発生確率や被害を小さくする | 暗号化、バックアップ、社員教育を行う |
| リスク移転 | リスクを他者に肩代わりさせる | サイバー保険に加入、業務を外部委託 |
| リスク受容 | 影響が小さいのでそのまま受け入れる | 対策コストに見合わない軽微なリスクを許容 |
語呂：回避・低減・移転・受容。とくに「保険＝移転」「あえて何もしない＝受容」は出やすい組み合わせです。
おつかれさま！ ITパスポート全範囲、完走です 🎉
これで――ストラテジ系（経営・法務）／マネジメント系（開発・プロジェクト・運用）／テクノロジ系（基礎理論・コンピュータ・ネットワーク・データベース）、そして締めくくりの情報セキュリティまで、ITパスポートの全範囲をまるごと一周しました。バラバラに見えた用語が、1本の線でつながったはずです。
知識は「読んで分かる」から「解いて選べる」へ。とくにセキュリティ・ストラテジの用語は、過去問を回すほど得点源になります。迷ったら、いつでもロードマップに戻ってきてください。
確認テスト
○か×かで答えてみましょう。タップすると答えと解説が出ます。
Q1. 共通鍵暗号は、暗号化と復号で別々の鍵を使うため、鍵配送問題が起きにくい。
×。共通鍵暗号は暗号化も復号も同じ1つの鍵。だからこそ「その鍵を安全に渡す」鍵配送問題が課題になります。別々の鍵で配送に強いのは公開鍵暗号です。
Q2. 公開鍵暗号で相手にデータを送るときは、相手の公開鍵で暗号化し、相手は自分の秘密鍵で復号する。
○。公開鍵で暗号化したものは、ペアの秘密鍵でしか開けません。秘密鍵は相手しか持たないので、安全に届けられます。
Q3. デジタル署名は、送信者が自分の秘密鍵で署名し、受信者が送信者の公開鍵で検証することで、なりすましと改ざんを防ぐ。
○。暗号化とは鍵の向きが逆です。秘密鍵は本人だけのものなので、公開鍵で正しく検証できれば「本人が送り、改ざんもない」と分かります。
Q4. 「パスワード」と「秘密の質問」を組み合わせれば、種類の異なる2要素を使う多要素認証になる。
×。どちらも知識情報で、要素の「種類」が同じです。多要素認証は知識・所持・生体の異なる種類を2つ以上組み合わせる必要があります。
Q5. IDSは不正侵入を検知すると、自動で通信を遮断するところまで行う装置である。
×。IDSは検知して知らせるだけ。検知に加えて自動で遮断まで行うのはIPSです。この区別が頻出です。
Q6. ISMSは、PDCAサイクルを回して情報セキュリティを継続的に改善していく組織的なしくみである。
○。ISMSは特定の機器ではなく「運営のしくみ」。Plan→Do→Check→Actを回し続けて改善するのが本質です（規格はISO/IEC 27001）。
Q7. サイバー保険に加入してリスクを肩代わりしてもらうのは、リスク対応のうちリスク移転にあたる。
○。保険や外部委託で他者にリスクを移すのが移転。原因をやめる＝回避、被害を小さくする＝低減、そのまま受け入れる＝受容と区別しましょう。
一問一答
クリックで答えが開きます。サッと確認しましょう。
Q. 処理が速いが鍵配送が課題なのは、共通鍵・公開鍵のどっち？
Q. 速い共通鍵と配送に強い公開鍵を組み合わせた方式は？
Q. デジタル署名で改ざん検知に使う、データの要約値を作る関数は？
Q. 公開鍵が本人のものだと保証する第三者機関は？
Q. 認証の3要素を言うと？
Q. Webアプリへの攻撃（SQLインジェクション等）を防ぐ専用の防御は？
Q. ISMSを継続的に改善するために回すサイクルは？
Q. リスク対応の4つを挙げると？
まとめ
・共通鍵＝1つの鍵で速いが鍵配送が課題／公開鍵＝公開鍵で暗号化・秘密鍵で復号、配送に強いが遅い→両取りがハイブリッド暗号
・デジタル署名＝送信者の秘密鍵で署名・公開鍵で検証＝なりすまし防止＋改ざん検知。ハッシュ関数と、公開鍵を保証するPKI・CA・電子証明書、Web暗号のTLS/HTTPS
・認証の3要素＝知識・所持・生体。異なる種類を組む多要素認証、OTP・SSO・CAPTCHA。認可は最小権限で
・技術的対策：ファイアウォール／WAF／IDS(検知)・IPS(検知+遮断)／ウイルス対策(定義ファイル)／DMZ／VPN／WPA2・WPA3
・組織的対策：ISMS(PDCA)・ポリシー・教育・バックアップ・入退室管理・CSIRT、リスク対応は回避・低減・移転・受容