情報セキュリティ対策

---

情報セキュリティ対策とは

情報システムを守るための対策は、大きく分けて「人」「技術」「モノ・場所」という 3 つの切り口で考えることができる。基本情報技術者試験のシラバスでも、情報セキュリティ対策を ①人的セキュリティ対策・②技術的セキュリティ対策・③物理的セキュリティ対策 の 3 種類に分類し、それぞれの側面から検討したうえで自分の担当業務に適用できることを求めている。

イメージしやすいように「家を空き巣から守る」ことに例えてみる。家族に「鍵を必ずかける」「知らない人を家に入れない」と教育するのが人的対策、玄関に電子錠や防犯カメラを取り付けるのが技術的対策、そして塀や門扉、頑丈な建材で物理的に侵入しにくくするのが物理的対策にあたる。情報システムのセキュリティもこの 3 つが揃って初めて実効性を持つ。技術的な防御をどれだけ固めても、社員がパスワードを付箋に書いて貼っていれば意味がなく、逆に社員教育を徹底しても、サーバ室の鍵が誰でも持ち出せる状態では情報は守れない。

① 人的セキュリティ対策

人的セキュリティ対策とは、人為的なミス・不正行為・盗難・ソーシャルエンジニアリング（電話や会話で人をだまして情報を聞き出す手口など）といった「人」に起因するリスクを、教育・訓練によって減らす取り組みを指す。加えて、事件・事故が起きてしまった場合に被害を最小限に抑えるための体制づくりも含まれる。

具体的には、組織内の不正行為を防ぐためのガイドライン整備、eラーニングや資料配布による情報セキュリティ啓発、実際に偽の攻撃メールを送って対応力を測る「標的型メール訓練」や攻撃者役のチームが組織に模擬攻撃を仕掛ける「レッドチーム演習」、ID・パスワードなどの認証情報の割り当てと管理、入社時に交わす秘密保持契約・誓約書などが該当する。たとえば標的型メール訓練は、実際に不審なメールを開いてしまった社員に対してその場で注意喚起を行い、次からは同じ手口に引っかからないようにする、という実践的な教育手法である。

② 技術的セキュリティ対策

技術的セキュリティ対策とは、ソフトウェア・データ・PC・サーバ・ネットワークなどに対して技術的な仕組みを導入し、開発や運用の業務に被害が及ぶのを防ぐ取り組みである。対象範囲が広いため、いくつかの領域に整理すると理解しやすい。

• 不正アクセス・マルウェア対策：マルウェア対策ソフトの導入と定義ファイルの更新、パターンマッチング法やビヘイビア法（振る舞い検知）といった検出手法の活用
• ランサムウェア対策：定期的なバックアップ、バックアップを 3 つ作り 2 種類の媒体に保存し 1 つは遠隔地に置く「3-2-1 ルール」、一度書いたら変更できない WORM 機能やイミュータブルバックアップの活用
• 脆弱性管理：OS やソフトウェアのアップデート、セキュリティパッチの適用、ソフトウェアの部品構成表である SBOM（Software Bill of Materials）を使った管理
• ネットワーク境界の防御：ファイアウォール、Web アプリケーションを狙う攻撃を防ぐ WAF、侵入を検知する IDS・防止する IPS、これらを統合した UTM、社内と社外の間に緩衝地帯を設ける DMZ、社外端末を一時的に隔離してチェックする検疫ネットワーク
• 領域別の対策：携帯端末（スマートフォンなど）のセキュリティ、クラウドサービスのセキュリティ、IoT 機器のセキュリティ、工場などの制御システムのセキュリティ
• 証拠保全・新技術対応：不正アクセスの痕跡を分析するデジタルフォレンジックス、AI を活用した検知技術（AI for Security）と AI モデル自体を守る技術（Security for AI）

たとえば「テレワークで社外から社内と同じ PC 環境を利用できる VDI（仮想デスクトップ基盤）」も、データを手元の端末に残さずサーバ側に集約することで情報漏えいリスクを下げる技術的対策の一種であり、IPA の基本情報技術者試験 科目Aサンプル問題 問49（出典）でも技術用語として取り上げられている。

③ 物理的セキュリティ対策

物理的セキュリティ対策とは、外部からの侵入・盗難・水害・落雷・地震・大気汚染・爆発・火災などの物理的な脅威から情報システムを保護し、信頼性・可用性を確保するための取り組みである。システムの品質を表す指標として RASIS（信頼性・可用性・保守性・保全性・安全性）という考え方があり、物理的対策はこの RASIS を土台から支える役割を持つ。

具体例としては、耐震・耐火設備の整備、停電時にも電源を維持する UPS（無停電電源装置）、データを二重化するミラーリングなどの多重化技術、監視カメラやセキュリティゲートの設置、施錠管理・入退室管理の徹底、離席時に書類や画面を放置しない「クリアデスク・クリアスクリーン」、遠隔地へのバックアップ保管、機器の盗難を防ぐセキュリティケーブル、そして廃棄・再利用時に記憶媒体からデータが漏れないようにする処分プロセスなどが挙げられる。サーバ室の入り口に IC カード認証と生体認証を組み合わせて設置する、というのは物理的対策の典型例である。

3 つの対策は互いに補い合う

3 つの分類はどれか 1 つを選ぶものではなく、組み合わせて初めて機能する。技術的対策だけでは、社員がフィッシングメールに騙されて認証情報を漏らす「人」のリスクは防げない。人的教育だけでは、サーバ室に誰でも入れる「モノ・場所」のリスクは防げない。物理的対策だけでは、インターネット経由のサイバー攻撃は防げない。実務でセキュリティ対策を検討する際は、常にこの 3 つの視点で抜け漏れがないかを確認する姿勢が重要になる。

---