情報セキュリティ基礎概念と脅威・脆弱性

「守れている状態」を言い表す言葉と、それを崩す側

情報セキュリティとは、情報が守れている状態を、いくつかの性質として言い表したものです。この単元では、その性質の並びと、状態を崩しにくる脅威や脆弱性を扱います。

土台は三つの性質です。機密性は許された者だけが情報に触れられること、完全性は情報が正確なままで書き換えられていないこと、可用性は必要なときに使えることです。改ざんは完全性を、機器を止める攻撃は可用性を崩します。多重化やバックアップが可用性を支えます。

JIS Q 27000では、この三つに加えて別の特性も定義されています。真正性は、エンティティが主張するとおりのものであるという性質で、エンティティとは、人でも機器でも、識別の対象になるものを広く指します。責任追跡性は誰が何をしたかを後から追えること、否認防止はある行為が確かにあったと示せること、信頼性は意図した結果が意図したとおりに得られることです。相手が本物かを問うのか、後から証明できるかを問うのかを分けると混同しにくくなります。

脅威は情報資産に害を与えうる出来事や存在、脆弱性はそこにつけ込まれる弱点です。修正が用意される前の弱点を突くのがゼロデイ攻撃、公開済みの手順や道具をそのまま使って侵入する者がスクリプトキディです。会話や覗き見で情報を聞き出すソーシャルエンジニアリングのように、人が入口になることもあります。

内部の人による不正も同じ範囲です。不正のトライアングルは、機会・動機・正当化の三つがそろったときに不正が起きやすいとする考え方で、組織が手を打ちやすいのは機会です。軽微な違反の放置がより大きな不正を招くという割れ窓理論も同じ発想です。

守り方にも考え方の違いがあります。企画・設計の段階から安全の仕組みを組み込むのがセキュリティバイデザインで、後から手当てするより手戻りが小さく済みます。社内なら安全という前提を置かず、内側でも都度確かめるのがゼロトラストです。許可を得ずに業務で使われる機器やクラウドサービスがシャドーITで、組織の目が届かない穴になります。