セキュリティの基礎（3大対策とCIA）

③ 認証の3種類

認証は、何を確かめるかによってさらに3つに分かれます。

「誰を確かめるか」で3つに分かれていることに注目してください。

④ 3大対策を役割で並べ直す

⑤ なぜ3つを組み合わせる必要があるのか

定義文にある「バランス良く組み合わせて」という部分が重要です。1つだけでは守りきれません。

それぞれが別の危険に対応しているため、組み合わせて初めて実効性のある守りになります。

⑥ この章の地図

いま学んでいる技術が3大対策のどれにあたるかを意識しながら進めると、章全体が1枚の図として頭に入ります。

1つでも欠けたらどうなるか

「安全に買い物ができる」という当たり前のことが、5つの対策の重なりで成り立っている——この見方ができるようになると、個々の技術が何のためにあるのかが腑に落ちます。

中小企業への助言という観点から

顧問先から「セキュリティ対策は何から手をつければよいか」と問われたとき、3大対策の枠組みは答えの骨格になります。

「何から」ではなく「3つそれぞれで、いま何ができていないか」を確認する——この順番で考えると、抜けのない診断ができます。

確認してみましょう

> 次の記述の正誤を判定せよ。

> a　セキュリティ対策の代表的なものに、暗号化、認証、アクセスコントロールの3つがある。

> b　サーバ認証とは、システムの利用者が正当な本人であることを確認することである。

> c　アクセスコントロールとは、許可された利用者のみが情報にアクセスできるよう制御することである。

解答　a：○　b：×　c：○

• b：×……システムの利用者が正当な本人であることを確認するのはユーザ認証です。サーバ認証は、通信先のサーバが正当な運営者であることを確認します。

頭文字を並べると C・I・A となり、まとめてCIAとよばれます。

③ 3つが守るもの

④ 可用性が見落とされやすい

「セキュリティ＝情報を守ること」と考えると、機密性と完全性ばかりに目が向きます。しかし可用性も情報セキュリティの一部です。

3つ目も、企業にとっては深刻な損害です。攻撃によってシステムを停止させるタイプの攻撃（DoS攻撃など）は、まさに可用性を狙ったものです。

⑤ 3つは互いに引っ張り合う

CIAの3要素は、すべてを最大化できるわけではありません。

「パスワードを複雑にし、頻繁に変更し、二要素認証を必須にする」——機密性は高まりますが、利用者が使いづらくなり、業務が滞るなら、それは可用性を損なっています。

どこで釣り合いを取るかが、セキュリティ設計の実務です。「対策は厳しければ厳しいほどよい」というわけではありません。

⑥ 3大対策とCIAの対応

前のテーマで学んだ3大対策と、CIAの対応を整理します。

可用性を守る技術は、この章ではなく第7章（システム構成技術）で扱われます。

情報セキュリティは、この章だけで完結しない——という点を押さえておいてください。

⑦ 3要素に加えられる4つの特性

試験で直接問われることは多くありませんが、CIAに加えて次の特性が挙げられることもあります。

これらを含めて情報セキュリティの7要素とよぶこともあります。CIAを基本として押さえたうえで、こうした言葉も知っておくとよいでしょう。

1つ破られても、次の層で止められる——これが多層防御の狙いです。

③ なぜ1つでは足りないのか

4つ目がとくに重要です。ファイアウォールもDMZも「外からの攻撃」を前提にしています。正規の権限を持つ従業員による持ち出しには、まったく効きません。

だからこそ、第2章で学んだアクセス権限や最小権限の原則が要るのです。

④ 技術だけでは守れない

セキュリティ対策は、技術・人・組織の3つで成り立ちます。

技術的対策だけを厚くしても、

• 従業員が不審なメールの添付ファイルを開けば、感染します
• パスワードを机に貼っていれば、認証は意味をなしません
• サーバ室に誰でも入れれば、機器ごと持ち去られます

もっとも弱いところから破られる——第1章のUSBの話（経路のうちいちばん遅いところが全体の上限になる）と同じ構造が、セキュリティにも当てはまります。

⑤ リスクの考え方

第11章で詳しく学びますが、対策の水準を決める考え方をここで示しておきます。

リスクの大きさ ＝ 起こりうる損害の大きさ × 発生する可能性

すべてのリスクをゼロにすることはできませんし、そうする必要もありません。限られた費用を、損害の大きいところに配分する——これが現実的な対策の組み立て方です。

⑥ ISMSという枠組み

第6節で学ぶISMS（情報セキュリティマネジメントシステム）は、この考え方を組織として回す仕組みです。

> ISMSが求めるのは、個々の穴をふさぐ技術的な手当てだけではありません。組織としてリスクアセスメントを自ら行い、どこまで守るかの水準を自分で決め、計画を立て、人と金を割り当てて回していく——その運営のしかたまでを含みます。

「個別の技術対策の他に、組織のマネジメントとして」という部分が要点です。技術を導入して終わりではなく、自社にとってのリスクを評価し、どこまで守るかを決め、資源を配分するという一連の流れが求められます。

診断士として企業に助言する際も、製品の導入を勧める前に、何をどこまで守るべきかを一緒に考える——この順番が大切になります。