１ 情報セキュリティ
（１）情報セキュリティの基礎
情報セキュリティいよって情報資産の機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を確保する事が出来ます。機密性、完全性、可用性は情報セキュリティの３要素と呼ばれます。・機密性
許可された者だけが情報にアクセスできること
・完全性
情報が正確かつ完全であること
・可用性
許可されたものは必要な時に情報にアクセスできること
JIG規格のJIG Q 27002では、情報セキュリティの３要素に加えて、真正性、責任追跡性、否認防止、信頼性の４つの特性を含めてもよいとしています。
・真正性
情報の発信者や情報が主張通りであること
・責任追跡性
動作を基に動作主の行動が追跡できること
・否認防止
活動や事象など、起きたことが後になって否認されないようにすること
・信頼性
動作が矛盾なく確実に行われる事
（２） 脅威と脆弱性
脅威は、情報資産を脅かす原因です。次のように、物理的脅威、技術的脅威、人的脅威に分類されます。・物理的脅威
自己、災害、故障、破壊、盗難、不正侵入等
・技術的脅威
不正アクセス、盗聴、なりすまし、買い残、クラッキング等
・人的脅威
誤操作、紛失、破損、盗み見、不正利用、ソーシャルエンジニアリング等
脆弱性は、情報資源に関する欠陥です。バグ、セキュリティホール、ハードウェア欠陥、シャドーITなどは脆弱性の例です。
マルウェア
コンピューターウィルス、ワーム、トロイの木馬など、スパイウェア、ランサムウェアなどコンピュータに対して不正な動作をするプログラムの総称をマルウェアと言います。
不正のトライアングル
不正行為は、機会、動機、正当化の３つの要素がすべてそろった場合に発生すると考えられています。機会、動機、正当化を不正のトライアングルといいます。
・機会：不正行為の実行を可能にする、または容易にする環境
・動機：不正行為を実行しようとする主観的事情
・正当化：不正行為の実行を積極的に是認しようとする主観的事情
（３）攻撃手法と対策
●パスワードクラッシュブルートフォース攻撃、辞書攻撃などによってパスワードを解読する。
対策：推測困難なパスワード、パスワードの定期的な変更
●クロスサイトスクリプティング（XSS）
不正なスクリプトをユーザーのWEBブラウザで実行させ、脆弱性のあるWebサイトのクッキーを搾取したり、Webサイトに不正にアクセスしたりします。
対策：サイタイジング
●クロスサイトリクエストフォージェリ
不正なWEBサイトを経由して、別のWEBサイトに強制的にアクセスさせ、意図しない買い物をさせたり、個人情報を公開する。
対策：セッション管理、CAPTCHA
●SQLインジェクション
不正なSQL文をアプリケーションに実行させることによって、データベースに不正アクセスします。
対策：バインド機構、サイタイジング
●OSコマンドインジェクション
Webアプリケーションの入力パラメタにOSコマンドを含め、サーバを不正に操作します。
対策：シェル起動抑止、サイタイジング
●DNSキャッシュポイズニング
DNSのキャッシュに偽のDNS情報を蓄積し、DNSの利用者を有害サイトに誘導します。
対策：DNSキャッシュサーバの送信元ポート番号のランダム化
●セッションハイジャック
セッションIDを不正に取得し、正規ユーザーになりすまして通信相手から不正にデータを入手します。
対策：推測困難なセッションID
●フィッシング
偽装したWEBサイトに誘導し、情報を入力させることによって情報を搾取する。
対策：接続先確認
●ゼロデイアタック
脆弱性の対策が行われるまでに、そのぜいじゃく性を悪用します。
対策：ヒューリスティック検出
●DoS攻撃
サーバーに大量の負荷をかけて、サーバーを停止させたり、能力を低下させたりします。
対策：接続元、アクセス数の監視
●中間者攻撃
２しゃ（ＡとＢ）の間に悪意のあるＣが割込み、Ａ，Ｃ、Ｂ、 ＣはＡに対してＢになりすまし、Ｂに対してＡに成りすますことによって、ＡとＢの通信内容を入手する。
対策：セッション管理
●MITB攻撃
オンラインバンクなどへの送金情報を改ざんし、攻撃者の口座へ送金します。
対策：トランザクション署名
クロスサイトスクリプティング
クロスサイトスクリプティングには、不正なスクリプトをWEBサイトのコンテンツに含ませておく、格納型クロスサイトスクリプティングと、不正なスクリプトをURLに埋め込んでおく、反射型クロスサイトスクリプティングがあります。
（４）暗号技術
暗号方式には、共通鍵暗号方式と、公開鍵暗号方式があります。共通鍵暗号方式は、暗号化と複合に同じ鍵を使用し、公開鍵暗号方式は、暗号化と複合に異なる鍵（キーペア）を使用します。暗号アルゴリズム
●AES
2001年にアメリカ政府標準として登録された、共通鍵暗号方式のアルゴリズムです。ブロック長は128ビットで、鍵長は128ビット、192ビット、256ビットから選択します。
●RSA
桁数が大きい数の素因数分解が、短い時間ではできないという性質を利用した、公開鍵暗号方式の暗号アルゴリズムです。
●楕円曲線暗号
楕円曲線を利用した暗号方式の総称です。楕円曲線上の離散対数問題が難しいという性質を利用した暗号アルゴリズムです。RSAに比較して鍵長を短くすることができ、高速処理が出来る事が特徴です。
n人が相互に暗号通信をする場合、必要となる鍵の総数は
・共通鍵暗号方式：n × (n-1) ÷ 2
・公開鍵暗号方式：2n
（５）利用者認証
情報システムの利用者について本人性を確認することを利用者認証といいます。利用者認証では、利用者が本人であることを、知識（SYK： something you know）、所有物（SYH：Something you have ）、生体（SYA：Something you are）によって確認します。知識、所有物、生体を認証の3要素といいます。●知識
実装コストが安価、漏洩する可能性あり
例：パスワード等
●所有物
実体がないと認証されない、偽造されたり盗難されたり紛失する可能性あり。
例：ICカード等
●生体
偽造がほぼ不可能、実装コストが高価、体調等により認証されない事あり
例：指紋、静脈、虹彩など
2要素認証
利用者認証の手段には一長一短があります。安全性の高い認証が要求されるときには、複数の認証手段を組み合わせて利用します。知識と所有物、所有物と生体のように認証手段を組み合わせて行われる認証の事を2要素認証といいます。
ワンタイムパスワード
1回しか使えないパスワードのこと。
シングルサインオン
1回の利用者認証によって、複数の情報システムにアクセスできるようにする技術です。
（６）公開鍵基盤
公開鍵基盤（KPI：Public Key Infrastructure）は、認証局（政府や信頼できる第3者機関）によって発行された公開鍵証明書（デジタル証明書）を利用し、公開鍵の主体者の社会的な信頼を確保できます。公開鍵証明書には次のような情報が含まれます。・シリアル番号、署名アルゴリズム、発行者、有効期間、サブジェクト、公開鍵、拇印
デジタル署名
デジタル署名は電子的に行われた署名です。デジタル署名を用いて次のことを確認できます。
・デジタル署名をしたのは本人であり、かつ本人以外は署名できないこと。
・デジタル署名を付したデータが改ざんされていないこと
デジタル署名はハッシュ関数を用いて次の手順で作成します。ハッシュ関数の出力をハッシュ値もしくはメッセージダイジェストといいます。
1 署名をつけるデータからメッセージダイジェストを作成します。
2 メッセージダイジェストを署名者の秘密鍵で暗号化してデジタル署名を作成します。
デジタル署名と署名の元になったデータを受け取った者は、次の手順で署名を検証します。
1 受け取ったデータからメッセージダイジェスト（A）を作成します。
2 デジタル署名を署名者の公開鍵で複合し、メッセージダイジェスト（B）を得ます。
3 AとBのメッセージダイジェストが一致すればデジタル署名の正当性が確認できます。
ハッシュ関数
ハッシュ関数は次のような特徴を持っています。
・固定長の出力
ハッシュ値は入力データの長さに関係なく固定長です。
・衝突発見困難性
ハッシュ関数をY=F(X)とすると、関数値がf(a)=f(b)となるような、異なるaとbを発見する事は困難である、という性質です。
・現像計算困難性
ハッシュ関数をY=f(X)とすると、xにaを代入した関数値f(a)は容易に計算できるが、f(a)からaを求める事は現実的に不可能であるという性質です。
代表的なハッシュ関数：SHA-1、SHA-2、MD5
２ 情報セキュリティ管理
(1) リスク分析とリスク対策
情報システムには様々なリスクが存在します。リスク分析では、リスクの大きさを明確にします。代表的なリスク分析の方法を次に示します。●ベースラインアプローチ
既存の標準や基準を基に、リスク対策の実施状況を確認する。
●詳細リスク分析
情報資産ごとに、情報資産の価値、脅威の大きさ、情報資産がもつ脆弱性の程度などを識別し、リスクを評価します。詳細にリスク分析が行える半面、多大なコストや工数を要します。
●非形式的アプローチ
コンサルタントや有識者が経験などに基づいてリスク分析を行います。短時間に分析できる方法ですが、俗字ね来なはんだんになるばあいがあります。
●組み合わせアプローチ
上記のアプローチの組み合わせ
リスク対策の方法
回避：リスクをゼロにする。
移転：第3者に移す。転嫁
低減：リスクを小さくする。
保有：そのまま保持し続ける。受容
（２）情報セキュリティポリシ
企業や組織における情報セキュリティの方針や行動指針等をまとめた文書です。基本方針、対策基準、実施手順 という構成になっている。
基本方針：情報セキュリティの目標と宣言。経営者の意思表示として社内外に公開する。
対策基準：構成員が遵守すべき規定。
実施手順：具体的な手順、マニュアル
情報セキュリティポリシーの策定手順は次の通り
１ 策定する組織、体制の確立
２ 目的、対称範囲、策定スケジュールなどの決定
３ 基本方針の策定
４ 情報資産の洗出し
５ リスク分析と管理策の明確化
６ 対策基準の策定
７ 実施手順の策定
（３）情報セキュリティ関連規格
■ISO/IEC 27001Information security management systems – requirements
情報セキュリティマネジメントシステム要求事項はISMS（情報セキュリティマネジメントシステム）の認証を受けるための要求事項
■ISO/IEC 27002
Code of practice for information security controls 情報セキュリティ管理策の実践のための規範 は企業が情報セキュリティ管理のベストプラクティスを提供する。
■ISO/IEC 27005
情報セキュリティリスク管理のためのガイドライン
■ISO/IEC 22301
社会セキュリティ事業継続マネジメントシステム要求事項
組織が効果的な事業継続マネジメントを策定し運用するための要求事項
■ISO/IEC 31000
総合的なリスクマネジメントの規格。
■ISO/IEC 15408
情報技術に関連した製品のセキュリティに関する評価と認証のための規格、CC（Common Criteria）ともよばえる。
３ 情報セキュリティ評価
■JCMVP
Japan Cryptgraphic module validation program: 暗号モジュール試験及び認証制度
■PCI DSS
Payment Card industry data security standard
クレジットカードの加盟店、銀行、決済代行業者等がカードの利用者のデータを安全に扱えるようにするあために策定されたクレジットカード業界のセキュリティ基準です。
■CVSS
Common Vulnerability Scoring System：共通脆弱性評価システム。
情報システムの脆弱性に対する評価手法、ベンダーに依存しない共通の評価をしている。
■EDSA認証
Embedded Device Security Assurance認証：制御機器認証
組み込み機器のセキュリティに関する認証制度
４ 情報セキュリティ技術
（１）セキュリティ関連機器
情報セキュリティを確保する為の多くのセキュリティ関連機器が製品化されています。主なセキュリティ関連機器を示します。■ファイアウォール
主にパターンマッチングによって、ネットワーク層、トランスポート層におけるパケットの通貨可否を判断します。
■IDS（Intrusion Detection System）
パケットの振る舞いや内容を基に親友を検知します。ファイアーウォールでは制御できない攻撃を防ぐことが出来ます。
■IPS（Intrusion Prevention System）
パケットの振る舞いや内容を基に侵入を遮断します。
■WAF（Web Application Firewall）
Webサーバーが利用するポートへの通信を監視し、Webアプリケーションやデータに対する攻撃を防ぎます。WEBアプリケーションを保護するところからWAFと呼ばれます。
■UTM（Unified Threat Management）
ファイアウォール、VPN、ウィルス対策、IDS,IPS、WEBコンテンツフィルタリングなどの機能をもったセキュリティ機器を導入し、包括的にセキュリティ対策を実施します。
（２）セキュアプロトコル
通信データの盗聴や不正接続を防ぐためには情報セキュリティの機密性、完全性、可用性に加え、認証や否認防止の機能も必要になります。安全な通信路を確保する事を目的として、必要な機能を提供するセキュアなプロトコルが規定されています。主なセキュアプロトコルを次に示します。■IPsec
ネットワーク層において動作するセキュアプロトコルです。ネットワークの上位層に位置するアプリケーションの種類には依存しません。IPsecは、認証、暗号化などの機能を持っています。
■SSL
トランスポート層のプロトコルTCPとアプリケーション層プロトコルの間で動作する、認証、暗号化の機能を持ったセキュアプロトコルです。HTTP,FTP,TELNETなどのアプリケーション層のプロトコルに対して安全な通信を提供する。SSL3.0には漸弱性が発見されています。
■TLS
標準化団体のIETF（Internet Engineering Task Force）が策定したセキュアプロトコルです。TLS1.0はSSL3.0を基に規格化されています。
■WPA
無線LANの暗号化に使用される規格のWEP（Wired Equivalent Privacy）には多くの漸弱性があったため、新しい規格のWPAが策定されました。WPAでは暗号化アルゴリズムTKIPの実装が必須となっています。
■WPA2
WPAの後継企画で暗号化アルゴリズムのAESの実装も必須となっています。
（３）認証プロトコル
なりすましによる不正接続、サービスの不正利用を防ぐためには、不正な利用者であることを認証する必要があります。主な認証プロトコルを次に示します。■SPF
メールを送信するサーバーの情報を管理して起き、メールの整合性を受信サーバー側で確認する事で、メールが正当なメールサーバーから送信された者かを認証する技術です。成りすましメールの判別に効果があります。
■DKIM
送信側のメールサーバで電子メールにデジタル署名をふかし、受信側のメールサーバーでデジタル署名を照合するという方法によって送信者のドメインの認証を行います。成りすましメールの判別に効果があります。
■SMTP-AUTH
クライアントからメールを送信するときに、送信者がプロバイダーと契約している正当なユーザーであることを確認する為に、SMTPサーバーでユーザー認証を行い、認証できた場合だけメールの送信を許可します。スパムメールの大量送信の防止などに効果があります。