実践・情報セキュリティ［概要編］　- -　マネジメントの道具箱

はじめに

　情報セキュリティとは、個人や企業の大切な情報を守るための取り組みです。
　コンピュータやインターネットが発達する中で、情報の盗難や改ざん、ウイルス感染などのリスクが増えており、セキュリティ対策はますます重要になっています。

　私はISO27001（JIS Q 27001）をもとにして、社内標準としての「情報セキュリティ」の実施マニュアルを作成していました。　
　それは、ISO27001（情報セキュリティマネジメントシステム）に則った社内規程全般の中の、情報セキュリティ関連の実施要領に当たります。

　ソフトウエア開発部門や共通部門（役員室、総務、人事、財務、営業、経営企画、社内システム管理、など）に対して
　　・何を実施するか
　　・どうやるか

　実施することそれぞれの
　　・具体的な解説（目的、概要など）
　　・実施手順
　　・標準様式
　などを記載していました。

　ここでは、情報セキュリティの基礎や歴史、技術的な背景、現在の状況、今後の展望について解説していきます。

1.情報セキュリティの基本

1.1 情報セキュリティとは何か

　情報セキュリティとは、情報の機密性、完全性、可用性を確保するための取り組みを指します。

　現代社会において、情報資産を適切に管理し、脅威から守ることは企業・個人にとって不可欠です。
　情報漏洩やサイバー攻撃は企業の信用を失墜させ、財務的な損害をもたらします。

　適切なセキュリティ対策を講じることで、リスクを最小限に抑えることができます。

1.2 情報セキュリティの変遷

1970年代
　初期のコンピュータとセキュリティの概念
　•1970年代は、大型コンピュータが企業や政府で使われ始めた時代です。
　•当時はまだネットワークが発展しておらず、情報漏洩のリスクは低かったものの、内部犯行によるデータの盗難が問題になっていました。
　•1970年代後半には「暗号技術」の研究が進み、1977年にはアメリカで「DES（Data Encryption Standard）」という暗号規格が制定されました。

1980年代
　パソコンとネットワークの普及
　•1980年代に入ると、個人向けパソコン（PC）が登場し、企業や家庭でも使われるようになりました。
　•この頃から、コンピュータウイルスの被害が増え始め、1986年には「Brain」という世界初のウイルスが発見されました。
　•企業では、ファイアウォールやウイルス対策ソフトを導入するようになり、情報セキュリティの重要性が高まりました。

1990年代
　インターネットの普及とセキュリティリスク
　•1990年代になると、インターネットが急速に普及し、電子メールやウェブサイトが一般的になりました。
　•しかし、ネットワークの発展に伴い、ハッキングやフィッシング詐欺、DDoS攻撃（大量のデータを送りつけてサーバーをダウンさせる攻撃）が発生するようになりました。
　•1995年には「SSL（Secure Sockets Layer）」という暗号化通信技術が登場し、安全なデータ通信が可能になりました。

2000年代以降
　クラウドとサイバー攻撃の増加
　•2000年代に入ると、クラウドサービスやスマートフォンが普及し、便利になる一方で、個人情報や企業データが狙われるリスクも増加しました。
　•2010年代以降は、AIを活用したセキュリティ技術や、ブロックチェーン技術の応用が進められています。

現在
　情報セキュリティは以下のような対策が求められています。
　・サイバー攻撃対策
　　ランサムウェア、DDoS攻撃、フィッシング詐欺
　・個人情報保護
　　GDPRや日本の個人情報保護法の適用
　・クラウドセキュリティ
　　AWSやGoogle Cloudなどの安全な運用
　・ゼロトラストセキュリティ
　　信頼しない前提でセキュリティ対策を実施

　特に企業では、従業員のセキュリティ教育が重要視されています。

2. 情報セキュリティの三要素と情報資産

2.1 情報セキュリティの三要素

(1)機密性（Confidentiality）
　　許可された人だけが情報にアクセスできること。
　　例：社内システムへのアクセス制限（役職ごとの権限管理）

(2)完全性（Integrity）
　　情報が改ざんされず正確であること。
　　例：重要なデータにデジタル署名を付与（電子契約など）

(3)可用性（Availability）
　　必要な時に情報へアクセスできること。
　　例：データセンターの冗長化（複数のサーバーに分散保存）

2.2 情報資産とは

　情報資産とは、個人や組織にとって価値のある情報およびその情報を支える要素を指します。
　情報そのものだけでなく、情報を保存・管理・活用するための媒体や仕組みも含まれます。

情報資産の具体例

(1)データ（情報そのもの）
　　•個人情報
　　　顧客名、住所、電話番号、クレジットカード情報など
　　•機密情報
　　　ビジネス戦略、営業情報、価格情報など
　　•知的財産
　　　特許情報、設計図、研究データなど
　　•業務記録
　　　会議記録、契約書、財務データなど

(2)ハードウェア（情報を扱う物理的な機器）
　　•PC、サーバー、スマートフォン
　　　データの保管や処理
　　・外付けハードディスク、USBメモリ
　　　データのバックアップや持ち運び
　　•ネットワーク機器
　　　ルーター、スイッチ、Wi-Fi機器など

(3)ソフトウェア（情報を活用するためのプログラム）
　　•業務システム
　　　販売管理、顧客管理、会計ソフトなど
　　•OS
　　　Windows、Linux、macOS など
　　•クラウドサービス
　　　Google Drive、Dropbox、OneDriveなど

(4)ネットワーク（情報を伝達する経路）
　　•社内LAN
　　　オフィス内のデータ共有
　　•インターネット接続環境
　　　VPN、ファイアウォールなど

(5)文書（紙媒体）
　　•契約書
　　　取引先との合意文書
　　•会議資料
　　　議事録、プレゼン資料
　　•技術マニュアル
　　　システムの仕様書や手順書

(6)人的情報資産
　　•社員の知識・ノウハウ
　　　技術スキル、業務知識
　　•顧客リストや人的ネットワーク

3.リスクアセスメント（現状分析）

　情報セキュリティ対策を実施する前に、まずはリスクアセスメントを行い、現状を正しく把握することが重要です。
　リスクアセスメントの主な手順は以下の通りです。

(1)情報資産の特定

　どのような情報資産が存在するのかを洗い出します。
　例：顧客データ、社内業務システム、機密文書、メールサーバー など。

(2)脅威の識別

　情報資産に対してどのような脅威があるのかを特定します。
　例：マルウェア感染、内部不正、フィッシング攻撃、物理的盗難。

(3)脆弱性の分析

　セキュリティ上の弱点（脆弱性）がどこにあるのかを評価します。
　例：古いソフトウェアの使用、パスワードの管理不備、不適切なアクセス権限設定。

(4)リスク評価

　脅威が実際に発生した場合の影響度と発生確率を評価し、優先度を決定します。
　例：影響度が大きく、発生確率が高いリスクを優先的に対処。

(5)対応策の検討

　リスクの低減策、回避策、移転策、受容策のいずれかを検討します。
　例：ウイルス対策ソフトの導入（低減）、不要なアクセス権の削除（回避）、サイバー保険への加入（移転）。

4.情報セキュリティの具体的な対策

　リスクアセスメントの結果を踏まえ、具体的な情報セキュリティ対策を実施します。

　主な対策は以下の通りです。

(1)技術的対策

A.ファイアウォールの設置
　　外部からの不正アクセスを防ぐ。

B.ウイルス対策ソフトの導入
　　マルウェア感染を防止。

C.暗号化技術の活用
　　機密情報の保護（SSL/TLS、AESなど）。

D.多要素認証（MFA）の導入
　　パスワード漏洩時のリスク軽減。

E.アクセス制御の強化
　　最小権限の原則（Least Privilege）を適用。

F.セキュリティパッチの適用
　　OSやソフトウェアの最新化。

(2)物理的対策

A.入退室管理の強化
　　オフィスやサーバールームへの不正侵入を防止。

B.監視カメラの設置
　　物理的な不正行為の監視。

C.書類の適切な廃棄
　　シュレッダーを使用し、機密文書を適切に処分。

D.USBメモリの利用制限
　　情報漏洩リスクを低減。

(3)人的対策

A.セキュリティ教育・研修の実施
　　従業員の意識向上。

B.ソーシャルエンジニアリング対策
　　フィッシング詐欺やなりすましへの注意喚起。

C.パスワード管理の徹底
　　定期的な変更と強固なパスワードの利用。

D.内部不正の防止
　　従業員の行動監視と適切な権限管理。

(4)運用・管理の対策

A.インシデント対応計画の策定
　　サイバー攻撃や情報漏洩が発生した際の対応手順を明確化。

B.ログ管理の強化
　　アクセスログや操作履歴を記録・監視。

C.バックアップの実施
　　定期的なデータバックアップと復旧手順の整備。

D.セキュリティポリシーの策定・更新
　　組織全体で遵守すべきルールの整備。

5.情報セキュリティと法制度

5.1 日本の主要な法制度

(1) 個人情報保護法（個人情報の保護に関する法律）

【概要】
　個人情報の適切な取り扱いを定めた法律で、事業者が個人情報を取得・利用・管理する際のルールを規定しています。

【主なポイント】
　•適用範囲
　　すべての個人情報を取り扱う事業者に適用（ただし、例外規定あり）
　•個人情報の定義:
　　氏名、住所、電話番号、メールアドレスなど特定の個人を識別できる情報
　•基本原則:
　　目的外利用の禁止、適正取得、第三者提供の制限、安全管理措置の義務化
　•個人情報保護委員会:
　　監督機関として、指導・勧告・命令を行う
　•罰則:
　　違反した場合の罰金や行政処分が規定されている

【改正動向】
　2022年の改正では、個人の権利強化（開示請求の範囲拡大）、データの越境移転に関する規制強化、罰則の強化などが行われました。

(2)不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）

【概要】
　コンピューターネットワークへの不正アクセスを防ぎ、情報の保護を目的とする法律です。

【主なポイント】
　•不正アクセスの定義
　　A.他人のID・パスワードを無断で使用する行為（なりすまし）
　　B.脆弱性を悪用してシステムに侵入する行為（クラッキング）
　　C.他人のID・パスワードを不正に取得・提供する行為
　　　•禁止行為: 不正アクセス行為およびその助長行為（ID・パスワードの提供など）
　　　•罰則: 個人には懲役・罰金、法人には法人責任が課せられることもある

【近年の動向】
　サイバー犯罪の増加に伴い、違反者への取り締まりが強化されています。

(3)サイバーセキュリティ基本法

【概要】
　日本のサイバーセキュリティ政策の基本方針を定めた法律で、国や企業が適切なサイバーセキュリティ対策を講じることを目的としています。

【主なポイント】
　•基本理念
　　サイバーセキュリティの確保が国の責務であり、経済・社会の発展に寄与することを明確化
　•政府の役割
　　内閣サイバーセキュリティセンター（NISC）の設置、国全体の方針策定
　•事業者の責務
　　民間企業や地方公共団体におけるサイバーセキュリティ対策の促進
　•国際協力
　　他国との情報共有やサイバー攻撃対策の連携強化

【最新の動向】
　デジタル社会の進展に伴い、政府はサイバーセキュリティ強化のための施策を拡充しており、企業に対する義務の強化も議論されています。

5.2 国際的なセキュリティ基準

(1)ISO/IEC 27001（情報セキュリティマネジメントシステム, ISMS）

【概要】
　ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）を確立・実施・維持・改善するための国際規格です。
　企業や組織が情報資産を適切に管理し、リスクを最小限に抑えるための枠組みを提供します。

【主なポイント】
•目的
　　情報の機密性、完全性、可用性（CIAの三要素）を確保し、組織の情報資産を保護する。
•適用範囲
　　企業、政府機関、非営利組織など、あらゆる組織が対象。
•要求事項
　　A.リスクアセスメントの実施 - 情報セキュリティ上のリスクを特定し、評価する。
　　B.リスク対応策の策定 - 適切な管理策を実施し、リスクを低減する。
　　C.セキュリティポリシーの策定 - 組織全体で情報セキュリティの方針を明確にする。
　　D.継続的な改善 - 定期的な監査や評価を通じて、ISMSを強化する。
•関連規格
　　•ISO/IEC 27002: セキュリティ管理策の具体的なガイドラインを提供
　　•ISO/IEC 27701: プライバシー管理に関する拡張規格

【取得メリット】
　•顧客や取引先の信頼獲得
　•情報漏洩リスクの低減
　•法規制（GDPR等）への対応

(2) GDPR（EU一般データ保護規則）

【概要】
　GDPR（General Data Protection Regulation）は、EU圏内で収集・処理される個人データの保護を目的とした規則で、2018年5月に施行されました。
　EU域外の企業でも、EU市民のデータを取り扱う場合には適用されるため、グローバルな影響力があります。

【主なポイント】
•適用範囲
　　EU域内のすべての個人データ処理者（企業・組織）およびEU域外でEU市民のデータを扱う企業。
•個人データの定義
　　氏名、住所、メールアドレス、IPアドレス、クッキー情報、生体データなど、特定の個人を識別できる情報。
•個人の権利
　　A.データアクセス権 - 自身のデータがどのように処理されているか確認できる。
　　B.データポータビリティ - 他のサービスにデータを移行できる。
　　C.忘れられる権利（削除請求権） - 不要になったデータを削除できる。
　　D.異議申し立て権 - 不適切なデータ処理に対して異議を申し立てられる。
•義務と罰則
　　•データ保護責任者（DPO）の任命（一定の規模の企業）
　　•データ漏洩の72時間以内の報告義務
•違反時の罰則:
　　最大2,000万ユーロまたは企業売上の4%のいずれか高い方

6.書籍

・セキュリティ技術の教科書　第3版 教科書シリーズ Kindle版
　長嶋仁 (著)
　アイテック (2023/3/1)
　この1冊で、セキュリティ技術の知識を深める！
　情報セキュリティ分野の教育経験豊富な著者が執筆。情報処理安全確保支援士試験対策セミナーなどを担当し、受講生からも好評を得ている著者が執筆した信頼の一冊です。
　技術分野ごとに知識事項を分かりやすく解説。重要用語は色付きで示し、イメージしづらい概念的な内容は図解しています。
　知識確認用に「例題演習」問題を掲載。テキストを読んで終わりではなく、アウトプットして知識の確認ができるよう、例題演習問題138問を掲載しています。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

・図解即戦力　情報セキュリティの技術と対策がこれ1冊でしっかりわかる教科書 Kindle版
　中村 行宏 (著)、 若尾 靖和 (著)、林 静香 (著)
　技術評論社 (2021/4/30)
　情報セキュリティに関する基本的な知識を、キーワード形式で、イラストを使ってわかりやすく解説しています。掲載している項目は、「情報セキュリティマネジメント試験」の午前重点分野で出題される項目が中心になっています。
　情報セキュリティマネジメント試験受験者にもおすすめです。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

・社会人1年生の情報セキュリティ超入門 Kindle版
　ハッカーかず (著)、一般社団法人 あしたの仕事力研究所 (著)
　 技術評論社 (2025/3/4)
　「サイバー攻撃でシステムがダウン！ 利用者は大混乱！」
　「個人情報が流出！ 氏名や住所、クレカ情報まで…」
　情報漏洩やランサムウェアなどのニュースが絶えない今、あなたの普段の行動は本当に安全ですか？実はパスワードの正しい管理方法、安全なファイルの共有方法など、知っているだけで被害のリスクを大きく減らせます。
　本書は、難しい専門用語をなるべく使わず、図やイラストを用いて解説しているので、事前知識がなくてもわかります。
（こんな方におすすめ）
　・これから社会人になる学生
　・セキュリティ知識に不安があるビジネスパーソン
　・社員のセキュリティ意識を高めたい経営層・人事担当者
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

・情報処理教科書 出るとこだけ！情報セキュリティマネジメント［科目A］［科目B］2025年版 Kindle版
　橋本 祐史 (著)
　翔泳社; 第1版 (2024/11/20)
　初心者でも挫折しない学習書。入門から合格までていねいに導きます。
　科目Aで必要な知識をやさしく解説。
　科目Bの長文問題を解くための対策法を伝授。
　模擬問題と、IPA公開のサンプル問題の解答・解説を掲載。
　さらにWebアプリが付いているので、コンピュータで行われるCBT方式の試験に慣れておくこともできます。
　本書により、情報セキュリティマネジメント試験のための万全の学習が可能です。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

・サイバーセキュリティの新標準 NIST SP800-171 Kindle版
　翔泳社; 第1版 (2024/8/9)
　内海 良 (著)、ニュートン・コンサルティング
　今、これまでのサイバーセキュリティの取組みに加え、経済安保の観点からも、特に基幹産業に関連する組織には、国も含めたサプライチェーンのなかで、さらにレベルアップしたサイバーセキュリティが求められます。これらの対応を考えるうえで注目されるのが、「NIST SP800-171」です。
　本書は、今後のさらなるセキュリティ強化に向けて、企業や組織のCIO、CISO、IT 部門やリスク・危機管理部門の責任者や実務担当者に向け、「NIST SP800-171」の実践手法やノウハウを示し、その具体的な構築手法を、わかりやすく解説するものです。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

7.おわりに

　情報セキュリティは単なる技術的な問題ではなく、組織全体で取り組むべき課題です。
　リスクアセスメントを適切に行い、技術・物理・人的・運用などの各側面から対策を実施することで、安全な情報環境を確保できます。

　今回紹介したことは、あくまでも情報セキュリティの入り口／概要です。まだまだ奥の深いものがあります。正しい考え方／やり方を理解して、情報セキュリティマネジメントの成功に結びつけていってください。