情報セキュリティの基礎(CIA・脅威と脆弱性)

情報セキュリティマネジメント試験(SG)の全範囲を貫く土台が、情報セキュリティの三大特性(CIA)である。JIS Q 27000:2019は情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義する。機密性(Confidentiality)とは、認可されていない個人、エンティティ又はプロセスに対して情報を使用させず、また開示しない特性であり、アクセス制御や暗号化が代表的な維持手段である。完全性(Integrity)とは、正確さ及び完全さの特性であり、ハッシュ関数による改ざん検知やディジタル署名が対応策となる。可用性(Availability)とは、認可されたエンティティが要求したときにアクセス及び使用が可能である特性であり、機器の冗長化、バックアップ、UPSの設置などで維持する。科目Aでは三特性の定義文を相互に入れ替えた選択肢が繰り返し出題されており、各定義の主語と述語を正確に区別して覚えることが最初の関門である。

JIS Q 27000:2019は、情報セキュリティには「さらに、真正性、責任追跡性、否認防止、信頼性などの特性を維持することを含めることもある」と規定しており、この拡張特性も科目Aの頻出論点である。真正性(Authenticity)は、エンティティはそれが主張するとおりのものであるという特性で、なりすましの防止に対応し、ディジタル署名や利用者認証が手段となる。責任追跡性(Accountability)は、あるエンティティの動作がそのエンティティまで一意に追跡できることを確実にする特性とされ、アクセスログ・操作ログの取得と保全が該当する。否認防止(Non-repudiation)は、主張された事象又は処置の発生、及びそれらを引き起こしたエンティティを証明する能力であり、「後から行為を否定させない」ことが核心である。信頼性(Reliability)は、意図する行動と結果とが一貫しているという特性で、システムが設計どおりに動作することを指す。責任追跡性と否認防止は定義が紛らわしく、入替え選択肢の定番である。

脅威と脆弱性の関係は、第2章のリスクマネジメントへ接続する重要概念である。JIS Q 27000における脅威(threat)とは、システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因をいう。一方、脆弱性(vulnerability)とは、一つ以上の脅威によって付け込まれる可能性のある、資産又は管理策の弱点をいう。すなわち脅威は資産に対して外部・内部から働きかける要因であり、脆弱性は資産や管理の側に内在する弱さである。リスクの大きさは「資産価値×脅威×脆弱性」の組合せで整理され、脅威が存在しても、それに付け込まれる脆弱性がなければリスクは顕在化しない。例えば「ノートPCの盗難」という脅威に対しては「事務所を施錠管理していない」ことが脆弱性に当たる。科目A・科目Bとも、事例文中の記述が脅威なのか脆弱性なのかを判別させる問題が頻出するため、この対応関係を具体例で押さえておくことが重要である。

脅威は人的脅威・技術的脅威・物理的脅威に大別される。人的脅威には、不正アクセスや内部不正といった意図的なものと、誤操作・紛失・置き忘れといった偶発的なものがあり、人の心理的な隙や行動のミスにつけ込んで情報を不正に入手するソーシャルエンジニアリング(ショルダーハッキング、なりすましの電話、ごみ箱をあさるスキャベンジング等)も人的脅威に含まれる。技術的脅威はマルウェア感染や不正アクセスなどITを介する脅威であり、物理的脅威は地震・水害などの災害、盗難、破壊行為である。内部不正を説明する理論として、米国の犯罪学者クレッシーが提唱した「不正のトライアングル」が公式シラバスにも掲載されており、不正は「機会」「動機」「正当化」の3要素がそろったときに発生するとされる。組織側が職務分掌やアクセス権の最小化などの管理策で最も直接的に統制できるのは「機会」であり、この観点は科目Bの内部不正事例でも問われる。

技術的脅威の中心はマルウェアである。他のプログラムに寄生して自己複製するウイルス、単独のプログラムとして動作し自己複製しながらネットワーク経由で感染を広げるワーム、有用なソフトウェアを装って侵入し裏で不正な動作を行うトロイの木馬、利用者の情報をひそかに収集して外部へ送信するスパイウェア、ファイルを暗号化して復号と引換えに金銭を要求するランサムウェア、攻撃者のC&Cサーバから遠隔操作されるボットなどが代表である。IPA「情報セキュリティ10大脅威」の組織編では、ランサムウェアによる被害が近年連続して最上位級に挙げられているほか、標的型攻撃による機密情報の窃取、経営者や取引先になりすまして送金させるビジネスメール詐欺(BEC)、サプライチェーンの弱点を悪用した攻撃が常連である。攻撃の入口としてはフィッシングメールや添付ファイルが多用されるため、各マルウェアの挙動の違いと侵入経路をセットで整理することが得点に直結する。

法制度面では、サイバーセキュリティ基本法が国のサイバーセキュリティ施策の基本理念や国・地方公共団体等の責務を定め、同法に基づきサイバーセキュリティ戦略本部が設置されている。不正アクセス行為の禁止等に関する法律(不正アクセス禁止法)は、他人の識別符号を悪用したなりすましログインやセキュリティホール攻撃による不正アクセス行為に加え、フィッシング行為、他人の識別符号を不正に取得・保管する行為も処罰対象とする。刑法には不正指令電磁的記録に関する罪(第168条の2・第168条の3、いわゆるウイルス作成罪)があり、正当な理由なくマルウェアを作成・提供・供用する行為が処罰される。さらに令和2年改正個人情報保護法(令和4年4月全面施行)により、漏えい等が発生し個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告と本人への通知が義務化された。いずれも脅威の理解と直結する頻出法令である。

本試験はCBT方式で、多肢選択式の科目A(48問)と長文事例形式の科目B(12問)を120分で解答し、1000点満点中600点以上で合格となる。第1章の内容は、科目Aでは用語定義を直接問う形式で、科目Bでは事例中の脅威・脆弱性の識別や、インシデントによって損なわれた特性(機密性・完全性・可用性のいずれか)の判定として出題される。学習の要諦は三つある。第一に、CIAと拡張特性の定義をJIS Q 27000の文言レベルで正確に区別すること。第二に、脅威と脆弱性を「外から働きかける要因」と「内側にある弱点」として峻別し、事例文への適用練習を積むこと。第三に、マルウェアの類型と代表的な攻撃手法を挙動の違いで整理することである。本章は暗記量こそ多くないが、リスクマネジメント、ISMS(JIS Q 27001)、セキュリティ対策技術といった以降の全章と科目B読解の前提となるため、あいまいさを残さず固めておくべきである。