情報セキュリティの基礎（脅威・脆弱性・暗号技術・認証技術）

---

この単元の範囲

基本情報技術者試験のシラバスは「セキュリティ」を中分類11として独立させており、その最初の中項目が「情報セキュリティ」である。ここでは、セキュリティを守る目的（なぜ守るのか）から、脅威・脆弱性・攻撃手法（何から守るのか）、そして暗号・認証技術（どう守るのか）までを一気通貫で扱う。IT パスポートで学んだ CIA（機密性・完全性・可用性）を土台に、攻撃手法の名称と対策技術を対応づけて覚えるのが基本情報レベルでの到達目標になる。

1. 情報セキュリティの目的と考え方

情報セキュリティとは、機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）という3要素（CIA）を確保・維持することで、様々な脅威から情報システムと情報資産を守り、システムの信頼性を高める活動を指す。加えてシラバスでは、なりすましやデータ改ざんへの対策として真正性、操作履歴の追跡可能性である責任追跡性、送った・受け取っていないと言わせない否認防止、意図した動作を継続する信頼性の4要素を挙げ、合わせて7要素で情報セキュリティを捉える。

具体例で整理すると、ネットバンキングでは「口座残高を第三者に見られない」のが機密性、「振込金額が伝送中に書き換えられない」のが完全性、「深夜でも送金操作ができる」のが可用性にあたる。

対策の設計思想としては、入口対策だけに頼らず、ファイアウォール・アンチウイルス・アクセス制御・ログ監視などを何層にも重ねる多層防御が基本になる。また、システムを作ってから後付けでセキュリティを足すのではなく、企画・設計の段階からセキュリティ要件を組み込むセキュリティバイデザイン（セキュアバイデザイン）、同様に個人情報保護の要件を設計段階から組み込むプライバシーバイデザインという考え方も出題対象である。

2. 情報セキュリティの重要性

社会全体のネットワーク化が進んだ現在、情報セキュリティ対策の水準の高さそのものが企業の信用・評価を左右する要素になっている。逆に、情報漏えいやシステム障害などのセキュリティ事故は、賠償責任や取引停止、ブランド毀損を通じて事業の存続を脅かしかねない。情報資産（データ・システム・ノウハウなど守るべき対象）に対して脅威（事故を引き起こす原因）と脆弱性（弱点）が組み合わさったときにサイバー攻撃による被害が現実化する、という関係を押さえておくとよい。

3. 脅威

3-1 脅威の種類

脅威は「人が起こすもの」と「人以外が起こすもの」に大別できる。地震・水害などの災害、機器の故障のような自然・物理的脅威に対し、不正アクセス・盗聴・なりすまし・改ざん・クラッキング・内部不正のような意図的脅威、そして誤操作・アクセス権の誤設定・紛失・誤謬のような偶発的脅威がある。意図的脅威の代表例としては、取引先を装って偽の送金指示を行うビジネスメール詐欺（BEC）、信頼関係を悪用したソーシャルエンジニアリング、乗っ取った機器を中継地点にする踏み台などが挙げられる。さらに、生成AIの普及を受けてシラバスVer.9.2では新たにAIに対する脅威という用語が追加されている（ソーシャルエンジニアリングや踏み台自体は以前から採用されている既存の用語である）。

3-2 マルウェア・不正プログラム

自己増殖して感染を広げるコンピュータウイルス・ワーム、有用なソフトウェアを装って侵入するトロイの木馬、感染端末を外部から一斉に操るネットワーク（ボットネット）を作るボットが代表格である。ボットに感染した端末は、攻撃者が用意したC&Cサーバ（Command and Control サーバ）から命令を受け取り、他の端末への攻撃の踏み台にされる。ほかに、情報を盗み出すスパイウェア、ファイルを暗号化して身代金を要求するランサムウェア、キー入力を記録するキーロガー、管理者権限を奪い痕跡を隠すルートキット、正規の裏口として使われるバックドア、ディスクにファイルを残さずメモリ上で動作するファイルレスマルウェアなどがある。

4. 脆弱性

脆弱性とは、情報システムや組織運営上の「弱点」を指す。プログラムの実装ミスであるバグや、それに起因するセキュリティホールという技術的脆弱性だけでなく、パスワードを付箋に貼るといった人的脆弱性、行動規範や職務分掌が組織として整備されていない内部統制の不備、会社が許可していない私物端末やクラウドサービスを従業員が業務利用してしまうシャドーITのような組織的脆弱性も含まれる点が重要である。

5. 不正のメカニズム

内部不正がなぜ起きるかを説明する代表的モデルが不正のトライアングルである。不正が発生する条件を「機会（不正を実行できる環境がある）」「動機（金銭的困窮や不満などの理由がある）」「正当化（自分の行為を正しいと納得させる理屈がある）」の3つが揃うことと説明する。この考え方に基づき、機会を減らす状況的犯罪予防（アクセス権の最小化、監視カメラの設置など）、割れた窓を放置すると軽犯罪が増えるという割れ窓理論、環境設計によって犯罪機会を減らす防犯環境設計が対策として位置づけられる。

6. 攻撃者の種類，攻撃の動機

攻撃者には、組織内部の人間による内部犯、いたずら目的の愉快犯、金銭をだまし取る詐欺犯などがある。近年はダークウェブ上で攻撃ツールや漏えいデータが売買され、専門知識がなくても攻撃を行える環境が整っている。動機としては金銭奪取が中心で、ランサムウェアでは暗号化に加えて「支払わなければ情報を公開する」と脅す二重脅迫（ダブルエクストーション）の手口も広がっている。国家の関与が疑われる破壊工作はサイバーテロリズムと呼ばれる。攻撃の全体像を「偵察→武器化→配送→侵入→インストール→遠隔操作→目的の実行」という段階に分解して捉えるモデルがサイバーキルチェーンである。

7. 攻撃手法

攻撃手法は狙う対象ごとに整理すると覚えやすい。

• パスワードを狙う手法：想定される単語を総当たりする辞書攻撃、全パターンを試す総当たり（ブルートフォース）攻撃、逆に1つのパスワードを多数のIDに試すリバースブルートフォース攻撃、他サービスから流出したID・パスワードの組を使い回すパスワードリスト攻撃（クレデンシャルスタッフィング）
• Webアプリケーションを狙う手法：悪意あるスクリプトを埋め込むクロスサイトスクリプティング（XSS）、利用者に意図しないリクエストを送らせるクロスサイトリクエストフォージェリ（CSRF）、見た目を偽装してクリックさせるクリックジャッキング、入力値をSQL文の一部として実行させるSQLインジェクション、OSコマンドを注入するOSコマンドインジェクション、上位ディレクトリのファイルに不正アクセスするディレクトリトラバーサル、確保した領域を超えてデータを書き込むバッファオーバーフロー
• 通信経路を狙う手法：通信を盗聴・改ざんする中間者（Man-in-the-middle）攻撃、ブラウザ内で通信を改ざんするMITB攻撃、送信元IPアドレスを偽装するIPスプーフィング、DNSの応答を偽装するDNSキャッシュポイズニング、正規のセッションを乗っ取るセッションハイジャック、本物そっくりの画面で情報をだまし取るフィッシング（SMS版のスミッシングを含む）
• 可用性を狙う手法：大量の要求でサービスを止めるDoS攻撃、多数の端末から一斉に行うDDoS攻撃
• 標的を絞った攻撃：長期間潜伏して情報を窃取する標的型攻撃（APT）、標的がよく訪れるWebサイトを改ざんする水飲み場型攻撃、業務を装ったやり取りを重ねてから攻撃するやり取り型攻撃
• 新しい脅威：本物と見分けがつかない偽動画・音声を作るディープフェイク、AIモデルを誤判定させる敵対的サンプル、AIへの指示文に悪意ある命令を混入させるプロンプトインジェクション

8. 情報セキュリティに関する技術

8-1 暗号技術

暗号方式は大きく2つに分かれる。送信者・受信者が同じ鍵を共有する共通鍵暗号方式（代表例はAES。鍵長は128/192/256ビットから選択可能）と、公開鍵と秘密鍵のペアを使う公開鍵暗号方式（代表例はRSA。CRYPTRECの目安では3072ビット以上の鍵長が推奨される）である。共通鍵暗号は高速だが鍵の受け渡しが課題であり、公開鍵暗号で共通鍵を安全に配送してから共通鍵暗号で本文をやり取るハイブリッド暗号が実用上よく使われる。データの改ざん検知には、元データから固定長の値を生成するハッシュ関数（SHA-256など）を用いる。日本では、政府機関が利用すべき暗号方式をCRYPTREC暗号リストとして整理・公表しており、時間の経過とともに解読リスクが高まる危殆化に備えて定期的に見直しが行われる。

8-2 認証技術

送信者本人が作成したことと改ざんされていないことを両方証明するデジタル署名、電子データがある時刻に存在したことを証明するタイムスタンプ、通信データが改ざんされていないかを検証するメッセージ認証符号（MAC）が代表技術である。ログイン時に毎回異なる課題を出し、その応答で正当性を確認するチャレンジレスポンス認証、普段と異なる場所・端末からのアクセス時に追加認証を求めるリスクベース認証も押さえておきたい。

8-3 利用者認証

最も基本的なのはIDとパスワードによるログインだが、単独では突破されやすいため、「記憶（パスワード）」「所有（ICカード・スマートフォン）」「生体（指紋など）」のうち異なる2種類以上を組み合わせる多要素認証が推奨される。使い捨てのコードを用いるワンタイムパスワード、端末内に安全に保管された鍵を使いパスワードを使わずに認証するパスワードレス認証（FIDO2/WebAuthnなど）では、秘密鍵は利用者の端末内に保持され、サーバ側には公開鍵のみが登録されるため、サーバからの情報漏えいがあっても認証情報そのものが大量流出するリスクを構造的に抑えられる。複数のシステムに1回のログインでアクセスできるシングルサインオン、人間かどうかを判定するCAPTCHAも利用者認証の周辺技術である。

8-4 生体認証技術

指紋・顔・虹彩・静脈パターンのような身体的特徴と、声紋・署名のクセのような行動的特徴を用いる方式がある。生体認証の精度を表す指標として、本人であるのに拒否してしまう確率である本人拒否率（FRR）と、他人であるのに受け入れてしまう確率である他人受入率（FAR）があり、両者はトレードオフの関係にある（判定を厳しくすればFARは下がるがFRRは上がる）。

8-5 公開鍵基盤（PKI）

公開鍵が本当に本人のものであることを保証する仕組みがPKI（公開鍵基盤）である。認証局（CA）が発行するデジタル証明書（公開鍵証明書）によって公開鍵と持ち主を結び付け、信頼の起点となるルート証明書（トラストアンカー）から中間CA証明書を経てサーバ証明書・クライアント証明書へと信頼の連鎖が続く。証明書が失効した場合、失効リストを一括配布するCRL（証明書失効リスト）方式のほか、特定の証明書についてリアルタイムに個別照会するOCSP方式があり、CRLのファイルサイズ増大や更新の遅れという課題への対応として使われる。日本の行政機関向けにはGPKI（政府認証基盤）、異なる認証局間の相互運用のためにBCA（ブリッジ認証局）が用いられる。

---

参考文献

• IPA「基本情報技術者試験シラバス Ver.9.2」中分類11「セキュリティ」中項目1「情報セキュリティ」（p.38-39）: https://www.ipa.go.jp/shiken/syllabus/omgdg50000005kpe-att/syllabus_fe_ver9_2.pdf
• IPA 科目Aサンプル問題（問30〜問37: ソーシャルエンジニアリング、C&Cサーバ、メッセージ認証符号、ファジング、マルウェア動的解析、SQLインジェクション対策、SMTP-AUTHほか）: https://www.ipa.go.jp/shiken/syllabus/henkou/2022/gmcbt80000007cfs-att/fe_kamoku_a_set_sample_qs.pdf
• CRYPTREC暗号リスト（電子政府推奨暗号リスト、令和5年3月30日改定）: https://www.cryptrec.go.jp/list/cryptrec-ls-0001-2022r2.pdf
• CRYPTREC「暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準」: https://www.cryptrec.go.jp/list/cryptrec-ls-0003-2022r1.pdf
• IPA「安全なウェブサイトの作り方」SQLインジェクション対策: https://www.ipa.go.jp/security/vuln/websecurity/sql.html
• FIDOアライアンス仕様一覧: https://fidoalliance.org/specifications/?lang=ja
• RFC 6960（OCSP）日本語訳: https://tex2e.github.io/rfc-translater/html/rfc6960.html

---