技術要素(7)

なりすまし

顧客や会社内の人間になりすまして、企業秘密をはじめあらゆる情報を引き出そうとする手法。上司のふりをして社員のIDとパスワードを聞き出し、それを用いてシステム内に侵入、情報を悪用すること

侵入

拾得もしくは盗用したIDカードなどを利用し、建物や敷地内に侵入すること

トラッシング(ごみ箱あさり)

清掃員になりすますなどしてゴミ箱をあさり、顧客情報、人事情報、商品開発情報などの情報を得ること

盗み見

パスワードを入力しているときにキーボードをみたり、肩越しにパソコンのディスプレイを見たり、席を外している人の机上にあるメモやノートを見たりすること

漏洩

メールに間違った添付ファイルをつけた、送信先を間違った、公開するはずではない情報を公開用サーバに保存してしまった、…といった過失によって意図せぬ情報が外部に流出すること

紛失・盗難

データが記録されているノートパソコンやUSBフラッシュメモリなどをうっかり忘れて紛失したり、盗難にあったりして情報が流出すること

破損・誤操作

何らかの理由により、データが記録されているコンピュータや補助記憶装置を破損したり、誤操作によってデータの消去などが実行されたりして、重要なデータの復旧ができなくなること

クラッキング

システムの脆弱性を突き、システム内に侵入し、情報の漏洩・破壊など様々な行為をおこなうこと
そのような行為を行う者を「クラッカー」と呼ぶ

情報の改ざん

不正にコンピュータに侵入し、コンピュータ内のデータを不正な手段で書き換えること

電子透かし

データの不正コピーや改ざんなどを防ぐために、品質に影響を及ぼさない程度に作成日や著作権などの情報をデータに埋め込む技術のこと。埋め込んだ情報は、一見して判断できないが、専門の電子透かし検出ソフトウェアで確認できるので、不正コピーや改ざんなどを見破ることができる

コンピュータウイルス

ユーザの知らない間にコンピュータに侵入し、コンピュータ内のデータを破壊したり、他のコンピュータに増殖したりするなどを目的に作られた、悪意のあるプログラムのこと。情報システムやインターネットを利用する上で最も脅威のあるもの
通常、コンピュータウイルスは、「感染」「潜伏」「発病」のライフサイクルを持っている

マルウェア

悪意を持って利用されるプログラムを総称して「マルウェア」と呼ぶ。具体的には、利用者が知らない間にコンピュータ内に侵入し破壊工作をする、他のコンピュータへ増殖を試みる「コンピュータウイルス」、コンピュータを第三者が操作して破壊工作や情報の盗み出しなどを試みる「ボット」、感染したコンピュータの情報をインターネットなどにアップロードしようとする「スパイウェア」などがある

BOT(ボット)

コンピュータを悪用することを目的に作られた新種のコンピュータウイルスのこと
感染すると、悪意を持った第三者がコンピュータを操り、メール爆弾、DoS攻撃などの迷惑行為をするなど、深刻な被害をもたらす。第三者が感染先のコンピュータを「ロボット(robot)」のように操れるから、この名がついた

スパイウェア

コンピュータ内部からインターネットに個人情報などを送り出すソフトウェアの総称
ユーザはコンピュータにスパイウェアがインストールされていることに気づかないことが多いため、深刻な被害をもたらす

ステルス型ウイルス

コンピュータウイルスが自分自身を隠して、感染を見つけにくくするウイルスのこと

ワーム

ネットワークに接続されたコンピュータに対して、次々と自己増殖していくプログラムのこと
ネットワークの負荷によって、被害を増大させる

トロイの木馬

ユーティリティなどの有用なプログラムを装い、それを実行すると不正な処理を行うプログラムのこと
不正な処理には、システム内からのデータ破壊、キー入力情報の自動送信などがある。感染増殖機能がないことから厳密にはコンピュータウイルスとは区別される

ポートスキャン

コンピュータの開いているポート番号を調べること。そこから侵入を試みたり、そのポート番号を使っているサービスを停止させたりしようとする

パスワードクラック

クラッカーがコンピュータを不正に利用するときに必要となるユーザ名やパスワードを解析すること
ユーザ名やパスワードの候補が大量に記載されているファイル(辞書ファイル)と用い、その組み合わせで解析を行う「辞書攻撃」、プログラムがランダムに生成する文字の組み合わせで解析を行う「総当たり攻撃」がある

踏み台

クラッカーが目的のシステムを攻撃する場合に、セキュリティの甘いコンピュータを隠れ蓑としてりようすること

バッファオーバーフロー

コンピュータ上で動作しているプログラムで確保しているメモリ容量(バッファ)を超えるデータを送り、バッファを溢れさせ、クラッカーが意図する不正な処理を実行させること

DoS攻撃(Denial of Service attack)

特定のWebサーバに対して過大なリクエストを投げかけ、システムに許容範囲を超えた負荷をかけて、物理的に機能停止にしたり応答応答不能にしたりさせる手法。大量のデータを送信したり、同時に多量のコンピュータからアクセスしたりといった手法(DDoS攻撃)をとるDoS攻撃によってネットワークが混乱することで、一般のユーザがサーバを利用できなくなる場合もある

メール爆弾

メールサーバに対して大量のメールを送り過負荷をかけ、その機能を停止させること。DoS攻撃の一種だが、特定のユーザに対する嫌がらせにも使用される

スパムメール

インターネットなどで収集したメールアドレスをもとに、無差別に大量の広告メールを送り付けてくること。望んでもいない情報が大量に送られてくることで回線に負荷がかかったり、必要なメールが分かりにくくなったりすることから「迷惑メール」と呼ばれる

フィッシング詐欺

インターネット詐欺の一種で、大手ショッピングサイトや金融機関の公式サイトといったWebサイトに偽装して利用者をだまし、クレジットカード情報や個人情報を入力させるタイプの詐欺

クロスサイトスクリプティング

Webサイト上のバナー広告やCGIなどのプログラムの脆弱性につけこみ、悪意あるプログラムを埋め込む手法。クロスサイトスクリプティングが仕掛けられたWebページにアクセスしてしまうだけで、個人情報が盗み出されたり、コンピュータ上のファイルが破壊されたりする

セキュリティホール

ソフトウェアが潜在的に持っているセキュリティ上の弱点のこと。ソフトウェア自体にはそもそも悪意がなく、多くの利用者を持つ点がリスクとなり得る。セキュリティホールが発見された場合、製作者はすみやかに修正プログラムを開発し、各利用者は修正プログラムを追加インストールする必要がある

ファイル交換ソフト

インターネットを通じて、外部の複数のコンピュータと相互通信を行いながらファイルを交換するソフトウェアを「ファイル交換ソフト」と呼ぶ。ファイル交換ソフトの多くは、中央のサーバを立てず、インターネットを通じて利用者のコンピュータシステム同士を接続する「ピアツーピア(P2P)」技術を採用している
利用者は、ファイル共有のための、公開しても支障のないファイルのみをファイル交換ソフトに登録する。しかし、設定ミスやコンピュータウイルスなどによって、意図しない範囲のファイルが公開ファイルに登録されると、情報漏洩が起こる。ファイル交換ソフトを狙ってランダムな情報のアップロードを引き起こすコンピュータウイルスも登場している

プログラムによる自動投稿の防止

コンピュータによる無料メールアカウントの大量取得、電子掲示板やブログへの無差別な自動投稿を防止するのに利用されている技術に「CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart：キャプチャ)」がある。CAPTCHAはWebサイトにアクセスしようとしているのが人間なのかを識別するための技術のこと。人間は読み取ることができても、コンピュータ(プログラム)が読み取ることができない、右のような文字の画像をWebサイトに表示し、同じ文字を入力させることによって識別する

クッキー(cookie)

Webサイトを管理しているWebサーバがWebサイトに接続しているユーザを特定するために、ユーザのパソコンに渡す情報のこと。閲覧したWebサイトの内容や入力したデータなどが記録している情報に基づき、ユーザことにカスタマイズした画面を表示したり、入力の手間を省ける

自然災害

地震などの自然災害や落雷・火災など、物理的な災害はシステムにとっても脅威となり得る
この種のリスクへの対策としては、ディザスタ・リカバリと呼ばれる芸念が知られている。データセンタを遠隔地に分散しておき、システムの全滅を防いだり、システム内部のデータを常にバックアップしながら運よすることで迅速な復旧を図ったりする

破壊・妨害行為

第三者の手によって、システムに物理的なダメージが加えられ、業務妨害が行われるケースも考えられる

リスクマネジメント

情報システム、特にネットワークに接続された情報システムを利用する場合には、情報セキュリティを考慮する必要がある。情報セキュリティを考えるうえでは、リスクの管理(「リスクマネジメント」)が欠かせない
リスクアセスメント：リスクを評価すること
リスクアセスメントの手順

情報セキュリティマネジメントシステム(ISMS)の運用方法

リスク分析・評価の結果に基づいて、具体的な情報セキュリティの基本方針や目標を策定する。その上で、技術的対策のほかに人的・物理的セキュリティ対策を含んだ情報セキュリティ対策を実施する。その結果を検証して対策を見直すことによって、継続的に組織の情報セキュリティを改善することが求められる

基本方針

情報資産を脅威から守るための姿勢を明確にし、組織全体でセキュリティに対する取り組みを示す

対策基準

基本方針に基づいた、ルールや判断基準、セキュリティ対策の確保といった行動を示す

実施手順

通常の情報セキュリティポリシには含まれないが、実施手順の策定により対策基準に基づいた個々の行動を具体化する

機密性

アクセスを許可されたものだけが、情報にアクセスできることを確実にする

安全性

情報及び処理方法が正確であることを確保する

可用性

許可された利用者が必要な時に、情報及び関連する資産にアクセスできることを確実にする

プライバシーマーク制度

「プライバシーマーク制度」は、個人情報の取り扱いについて適切な保護措置を実行できる体制を整備している組織に対して、認定証となる「プライバシーマーク」を付与する制度。財団法人日本情報処理開発協会(JIPDEC)が執り行っている。「Pマーク」とも呼ばれる