セキュリティの要点とまちがえやすい点（ITパスポート試験 論点テキスト）

このページの論点

テクノロジ系｜技術要素｜23論点・要点195本・まちがえやすい点76本

• 情報セキュリティ
  • マルウェアの種類と特徴
  • 人の隙を突く攻撃と不正の要因
  • 標的型攻撃と感染経路の攻撃
  • パスワードを狙う攻撃と対策
  • Webアプリケーションと通信への攻撃
  • 脆弱性情報と修正の仕組み
  • AIを狙う攻撃と偽情報
• 情報セキュリティ管理
  • 情報セキュリティの要素
  • リスクアセスメントとリスク対応
  • ISMS・ポリシー・対応体制
  • 情報の格付け・権限・廃棄
• 情報セキュリティ対策・情報セキュリティ実装技術
  • ファイアウォールとDMZ
  • 侵入検知・監視・情報漏えい対策
  • ゼロトラスト・多層防御・SASE
  • 通信の保護・無線LAN・メール
  • 端末・物理・運用面の対策
  • セキュリティ評価と事後調査
  • 暗号方式
  • ハッシュ関数とデジタル署名
  • ブロックチェーン・暗号資産・コンテンツ保護
  • 利用者認証の方式
  • 生体認証
  • 公開鍵基盤とデジタル証明書

情報セキュリティ

マルウェアの種類と特徴

ウイルス・ワーム・トロイの木馬・ランサムウェアなどマルウェアの種類ごとの動作と目的の違い、およびランサムウェアへの備えを扱う。

要点

• コンピュータウイルスは、他のプログラムファイルに寄生し、そのファイルが実行されることで感染を広げるマルウェアである。
• ワームは、自己複製しながらネットワークなどを通じて、他のプログラムファイルに寄生することなく単独で感染を広げるマルウェアである。
• トロイの木馬は、一見無害な正規のプログラムやファイルを装って侵入し、内部でバックドアの設置や情報の窃取などの不正な動作を行うマルウェアである。
• ランサムウェアは、感染したコンピュータ内のファイルを暗号化するなどして使用不能にし、元に戻すことと引き換えに金銭（身代金）を要求するマルウェアである。
• スパイウェアは、利用者が気づかないうちに入り込み、閲覧履歴や個人情報などを収集して外部に送信するマルウェアである。
• キーロガーは、利用者が気づかないうちにキーボードの入力内容を記録し、IDやパスワードなどを不正に盗み取るために使われるプログラムや装置である。
• ルートキットは、攻撃者が侵入した後に、侵入の痕跡やマルウェアの存在を隠して発見を困難にするために用いるツール群である。
• ボットネットは、遠隔操作が可能になった多数の感染端末の集合であり、DDoS攻撃や迷惑メール送信の踏み台に使われる。
• ランサムウェア対策では、オフラインで隔離保管したバックアップがあれば、身代金を払わずにデータを復旧できる。
• 二重脅迫は、データを暗号化して身代金を要求するのに加え、盗み出した情報の公開も予告して支払いを迫る恐喝の手口。
• ファイルレスマルウェアは、実行ファイルをディスクに残さず、メモリ上やOSの正規機能を悪用して動作し、検知を逃れやすいマルウェア。

まちがえやすい点

• ファイル感染型ウイルスやマクロウイルスは他のファイルに寄生して広がり単独では活動できない点で、単独で感染を広げるワームとは異なる。
• トロイの木馬は無害を装って侵入するが、自己複製して感染を広げる性質を持たない点で、自己複製するワームとは異なる。
• スパイウェアは利用者に気づかれずに情報を外部へ送信するマルウェアであり、ファイルを暗号化して金銭を要求するランサムウェアとは目的が異なる。

人の隙を突く攻撃と不正の要因

フィッシング・スミッシング・BEC・ショルダーハッキングなど人の心理や行動を突く手口と、内部不正が起きる条件を扱う。

要点

• フィッシングは、実在する金融機関やサービスを装った偽の電子メールやWebサイトに利用者を誘導し、IDやパスワード、クレジットカード番号などをだまし取る攻撃である。
• スミッシングは、SMSとフィッシングを組み合わせた造語であり、SMSを使って偽サイトへ誘導する手口である。
• ビジネスメール詐欺（BEC）は、経営者や取引先を装ったメールで担当者をだまし、攻撃者の口座への送金を指示する詐欺である。
• ソーシャルエンジニアリングは、技術的な手段によらず、人の心理的な隙や行動のミスにつけ込んで重要情報を不正に入手する手法の総称である。
• ショルダーハッキングは、肩越しに画面やキー操作をのぞき見てパスワードや機密情報を盗む手口で、ソーシャルエンジニアリングの一種である。
• 不正のトライアングルは、機会・動機・正当化の3条件がそろうと内部不正が起きやすいとする理論で、各要素を減らすことが対策となる。
• 不審なメールには、身に覚えのない添付ファイルを開かず情報システム部門へ連絡し、他の社員へ注意喚起を行うという対応をとる。
• クラッキングは、他人のコンピュータやネットワークに悪意をもって不正に侵入し、データの破壊・改ざん・窃取などを行う行為。
• 人的脆弱性は、従業員の知識不足や不注意、ルールの不徹底など、人の側にあるセキュリティ上の弱点。
• 情報セキュリティ訓練は、疑似的な攻撃メールなどを従業員に送り、実際の対応を体験させて、対応力と意識を高める取組。
• 組織における内部不正防止ガイドラインは、従業員や委託先などによる内部不正を防ぐために、組織が講じる管理策や体制を示した、IPAの指針。

まちがえやすい点

• ショルダーハッキングはのぞき見による手口であり、偽のメールやWebサイトで情報を入力させるフィッシングや、カードの磁気情報を読み取るスキミングとは別である。
• 不審メールの本文中のリンクは、確かめるために開くものではなく、開いたこと自体が攻撃者にアドレスの有効性を知らせる合図になりうるため最も危険である。
• ソーシャルエンジニアリングは技術によらず人の隙を突く手口であり、Webアプリケーションの脆弱性を突く技術的な攻撃のSQLインジェクションやXSSとは異なる。
• 標的型攻撃は、不特定多数への同じ内容のメールの大量送信だけを指すのではなく、特定の組織や個人を狙って業務に関係するように見せかけた内容を送りつける点に特徴がある。

標的型攻撃と感染経路の攻撃

特定の組織を狙う標的型攻撃、供給網を経由する攻撃、閲覧だけで感染する攻撃、待ち伏せ型の攻撃の違いを扱う。

要点

• 標的型攻撃は、不特定多数ではなく特定の企業や組織を標的とし、長期間にわたり気づかれないよう周到に情報の窃取などを行う攻撃である。
• 標的型メール攻撃は、標的型攻撃で用いられる手口の一つであり、業務に関係する巧妙なメールを送りつける。
• サプライチェーン攻撃は、取引先やソフトウェア供給網など、標的より防御の弱い経路を踏み台にして侵入する攻撃である。
• ドライブバイダウンロード攻撃は、改ざんされたWebサイトを閲覧しただけで脆弱性を突かれ、マルウェアが自動的に送り込まれる攻撃である。
• 水飲み場型攻撃は、標的がよく訪れるサイトをあらかじめ改ざんして待ち伏せし、標的を狙って感染させる攻撃である。
• ダークウェブは、通常の検索では見つからず、特殊なソフトウェアでしかアクセスできない匿名性の高いネットワーク領域。違法な取引に悪用されることがある。

まちがえやすい点

• 水飲み場型攻撃はよく訪れるサイトでの待ち伏せであり、通信への割り込みである中間者攻撃や、盗んだ通信を再送するリプレイ攻撃とは異なる。
• サプライチェーン攻撃は供給網を経由して侵入する攻撃であり、人の心理を突くソーシャルエンジニアリングや、単語リストでパスワードを解読する辞書攻撃ではない。
• ドライブバイダウンロードは閲覧による自動感染であり、人をだますソーシャルエンジニアリングとは別である。

パスワードを狙う攻撃と対策

総当たり・辞書・パスワードリスト・パスワードスプレーの各攻撃の手口の違いと、アカウントロックやパスワード管理の対策を扱う。

要点

• ブルートフォース攻撃（総当たり攻撃）は、考えられる文字の組合せを片端からすべて試し、パスワードを解読しようとする攻撃である。
• パスワードの桁数や複雑さを増やすと、ブルートフォース攻撃による解読に要する時間を大幅に長くできる。
• 辞書攻撃は、実在する単語やよく使われる文字列を集めたリスト（辞書）をもとに順番に入力して突破を試みる攻撃で、単純な単語のパスワードは破られやすい。
• パスワードリスト攻撃は、流出したID・パスワードの組合せを他の複数のサービスに試す攻撃で、同じ組合せを使い回している利用者が被害を受けやすい。
• パスワードスプレー攻撃は、少数のよくあるパスワードを多数のIDへ横断的に試すことで、アカウントロックを回避する攻撃である。
• アカウントロックは、規定回数連続でログインに失敗するとそのアカウントを一時凍結する仕組みで、総当たり攻撃などを困難にする。
• パスワード管理の基本は、サービスごとに別のパスワードを使い、長く推測されにくい文字列を管理ソフトで保管することである。
• 辞書攻撃は、パスワードに使われやすい単語や人名などの一覧を用い、その語を順に試してログインを試みる攻撃。

まちがえやすい点

• 辞書攻撃は辞書に基づくリストを使う攻撃であり、あらゆる組合せを試すブルートフォース攻撃や、流出済みの組を使い回すパスワードリスト攻撃とは手口の起点が異なる。
• パスワードの使い回しは覚えやすさを優先する運用であり、サービスごとに別のパスワードを使う運用とは異なる。使い回すと1か所から漏れた認証情報で他のサービスにも次々と侵入される。

Webアプリケーションと通信への攻撃

DoS攻撃、SQLインジェクション、XSS、CSRF、中間者攻撃、DNSキャッシュポイズニングの仕組みと狙いの違いを扱う。

要点

• DoS攻撃は、大量のアクセスやデータを一斉に送りつけてサーバやネットワークに過大な負荷をかけ、サービスを提供できない状態に追い込む攻撃である。
• DoS攻撃を複数の端末から一斉に行うものは、DDoS攻撃と呼ばれる。
• SQLインジェクションは、入力フォームなどにデータベースへの命令文の一部となる不正な文字列を入力し、データベースを不正に操作する攻撃である。
• SQLインジェクションは、入力値がデータベースへの命令として解釈されてしまう欠陥を突く攻撃である。
• クロスサイトスクリプティング（XSS）は、脆弱性のあるWebサイトに悪意のあるスクリプトを埋め込み、閲覧した利用者のブラウザ上で不正なスクリプトを実行させる攻撃である。
• クロスサイトリクエストフォージェリ（CSRF）は、ログイン中の利用者に気づかせないまま、利用者の権限で不正な要求をサービスへ送らせる攻撃である。
• 中間者攻撃（MITM）は、通信を行う二者の間に割り込み、双方に気づかれないまま通信内容の盗聴や改ざんを行う攻撃である。
• DNSキャッシュポイズニングは、DNSに偽の名前解決情報を記憶させ、正規サイトへ向かう利用者を偽サイトへ誘導する攻撃である。
• 妨害行為は、不正なアクセスや大量の通信などによって、システムやサービスの正常な稼働を妨げ、業務を継続できなくする行為。
• クロスサイトスクリプティング対策は、Webアプリケーションで、出力する値の特殊文字をエスケープ処理するなどして、悪意あるスクリプトの実行を防ぐ対策。
• SQL インジェクション対策は、入力値をSQL文の一部として組み立てず、プレースホルダを使うなどして、データベースへの不正な命令の実行を防ぐ対策。

まちがえやすい点

• DoS攻撃はサービスの妨害を狙う攻撃であり、情報の窃取や不正利用を目的とするフィッシングやなりすましとは目的が異なる。
• クロスサイトスクリプティングは閲覧者のブラウザ上でスクリプトを実行させる攻撃であり、データベースへの命令文を悪用するSQLインジェクションとは別である。
• CSRFは本人の権限を悪用して要求を送らせる攻撃であり、パスワードを総当たりで試すブルートフォースや、偽サイトで情報をだまし取るフィッシングとは異なる。

脆弱性情報と修正の仕組み

パッチ、ゼロデイ攻撃、CVE、CVSS、SBOMなど、脆弱性の識別・評価・対応に関わる用語と実務を扱う。

要点

• パッチは、OSやソフトウェアに見つかった不具合や脆弱性を修正するために開発元から配布される小規模な更新プログラムである。
• パッチを定期的に適用すると、セキュリティリスクの低減や動作の安定化につながる。
• ゼロデイ攻撃は、脆弱性の発見後、開発元が修正プログラムを提供するより前の、対策が存在しない期間を狙って行われる攻撃である。
• CVE（共通脆弱性識別子）は、見つかった脆弱性1件ごとに世界共通で一意の識別番号を割り振る仕組みである。
• CVSSは、脆弱性の深刻度を0〜10の数値で表す共通の評価基準である。
• SBOM（ソフトウェア部品表）は、ソフトウェアの構成部品を一覧化したもので、脆弱性の発覚時に影響範囲を素早く特定でき、供給網対策に有効である。
• 脆弱性への対応では、公表情報と自社の資産を突合し、修正プログラムをすぐ適用できない場合は暫定的な回避策を検討する。
• ソフトウェア等の脆弱性関連情報に関する届出制度は、ソフトウェアやWebサイトの弱点を発見した者がIPAに届け出て、開発者への通知や公表の調整につなげる制度。

まちがえやすい点

• CVEは脆弱性1件ごとの識別番号であり、深刻度を数値で評価するCVSSや、脆弱性の種類を分類するCWEとは役割が異なる。
• 公表された脆弱性は、攻撃者にまだ知られていないものではなく攻撃側にも広く知られており、公表後に攻撃が急増することが多い。
• ゼロデイ攻撃は未対策の脆弱性を突く攻撃であり、特定の組織を狙う標的型攻撃や、パスワードを推測する総当たり攻撃とは攻撃の切り口が異なる。
• パッチは不具合修正を主目的とし、周辺機器を制御するドライバや機器に組み込まれた制御用のファームウェアとは性質が異なる。

AIを狙う攻撃と偽情報

プロンプトインジェクション、敵対的サンプル、ディープフェイクなど、AIを標的にする攻撃やAIを悪用した偽コンテンツを扱う。

要点

• プロンプトインジェクションは、巧妙な指示文を入力に紛れ込ませて生成AIの制約を回避させ、意図しない出力や情報漏えいを引き起こす攻撃である。
• 敵対的サンプルは、人が気づかない微小な変化を入力データに加えて、AIに誤った認識をさせる攻撃である。
• ディープフェイクは、AIで人物の顔や声を精巧に合成して偽の動画や音声などのコンテンツを作る技術で、悪用が社会問題化している。

まちがえやすい点

• ディープフェイクは合成による偽コンテンツの作成技術であり、学習手法そのもののディープラーニングや、規則性を発見するデータマイニングではない。
• プロンプトインジェクションは生成AIの制約を回避させる攻撃であり、データベースへ不正な命令を送るSQLインジェクションとは対象が異なる。
• 敵対的サンプルはAIを誤認識させる攻撃であり、生成AIが誤情報を作り出す現象であるハルシネーションとは別である。

情報セキュリティ管理

情報セキュリティの要素

機密性・完全性・可用性に加え、真正性・責任追跡性・信頼性・否認防止など各特性の定義と区別を扱う。

要点

• 機密性は、許可された者だけが情報にアクセスでき、許可されていない者には情報が漏れない状態を保つ特性である。
• 可用性は、許可された利用者が必要なときにいつでも情報やシステムを中断なく利用できる状態を保つ特性である。
• 完全性は、情報が破壊、改ざん又は消去されていない、正確かつ完全な状態を確保する特性である。
• 真正性は、利用者や情報、システムなどのエンティティが、主張されたとおりの本物であることを確実にする特性で、なりすましの防止などに関わる。
• 責任追跡性は、誰が、いつ、どの情報にアクセスしたのかをログなどの記録によって後から追跡できるようにする特性である。
• 信頼性は、システムや情報処理において、意図した処理や動作が矛盾なく一貫して行われるという特性である。
• 否認防止は、行為の事実を後から否定できないようにする特性で、デジタル署名などで実現する。

まちがえやすい点

• 可用性は必要なときに使える状態を保つことであり、情報を誰にでも公開して自由に持ち出せる状態にすることではない。公開すれば機密性を失う。
• 信頼性は処理の一貫性を指し、改ざんや消去がされていないことを指す完全性や、主張するとおりのものであることを指す真正性とは異なる。
• 否認防止は行為の事実を後から否定させない特性であり、必要時に利用できる可用性や、改ざんされていない完全性とは別である。

リスクアセスメントとリスク対応

リスクの特定・分析・評価からなるアセスメントと、回避・移転・低減・保有というリスク対応の種類を扱う。

要点

• リスク移転（リスク転嫁）は、保険や外部委託によって損失の負担を第三者に移す対応である。
• リスク回避は、リスクを生む活動自体をやめて、リスクをなくす対応である。
• リスク低減は、対策を講じてリスクの発生確率や影響を下げる対応である。
• リスク保有は、リスクを許容範囲のものとして、対策をとらずそのまま受け入れる対応である。
• リスクアセスメントは、リスクの特定・分析・評価をまとめたプロセスで、対応方針を決める前段階にあたる。
• リスク特定はどこにどのようなリスクがあるかの洗い出し、リスク評価は基準と照らして優先度と対応の要否を決める段階である。
• 情報セキュリティリスクは、脅威が脆弱性につけ込んで顕在化し、情報資産に損失や被害をもたらす可能性。
• リスクコミュニケーションは、リスクに関する情報を関係者で共有し、意見交換を通じて相互の理解や合意を深めること。
• サイバー保険は、情報漏えいや業務停止などの際の原因調査・復旧の費用や賠償金を補償する、リスク移転の手段となる損害保険。

まちがえやすい点

• リスク対応はアセスメントの結果を受けて回避や低減などの手を打つ段階であり、リスクアセスメントそのものには含まれない。
• リスク移転は損失を第三者に移す対応であり、発生確率そのものを下げるリスク低減（軽減）とは異なる。
• リスク移転・低減・保有はいずれも活動を中止する対応ではなく、活動自体をやめるリスク回避ではない。

ISMS・ポリシー・対応体制

ISMS、情報セキュリティポリシーの階層、CSIRT・SOC・CISOなどの体制と、関連する法律の位置づけを扱う。

要点

• ISMSは、方針の策定、リスクアセスメント、対策の実施、評価・見直しのサイクルを継続的に運用して情報資産を管理・保護する仕組みで、ISO/IEC 27001が代表例である。
• 情報セキュリティ基本方針は、情報セキュリティポリシーの構成で最上位に位置づけられ、組織の基本的な考え方や方針、経営層の姿勢を示す文書である。
• 情報セキュリティ対策基準は基本方針を実現する具体的なルールを定める中位の文書で、実施手順はそれを作業手順に落とし込んだ最下位の文書である。
• CSIRTは、組織内でインシデントが発生した際の対応（検知・分析・復旧・再発防止など）を専門に行う体制やチームである。
• SOCは、システムを常時監視し、攻撃の検知・分析を専門に行う拠点である。
• CISOは、組織の情報セキュリティを統括する最高責任者を表す役職である。
• サイバーセキュリティ基本法は、国の施策の基本理念を定め、国・地方公共団体の責務や国全体の施策の推進体制を規定している法律である。
• インシデントが起きたときは、経営判断を伴うため、速やかに経営層へ報告する必要がある。
• 情報セキュリティインシデントは、情報漏えいや不正アクセスなど、情報セキュリティを脅かす望ましくない事象が実際に発生したこと。
• 情報セキュリティ委員会は、経営層や各部門の責任者などで構成し、組織の情報セキュリティの方針や重要事項を審議・決定する会議体。
• コンピュータ不正アクセス届出制度は、不正アクセスの被害を受けた者が、被害の状況をIPAに届け出る制度。
• コンピュータウイルス届出制度は、ウイルスを発見した者が、被害の有無にかかわらず、その情報をIPAに届け出る制度。
• ISMAPは、政府が利用するクラウドサービスについて、セキュリティ要求への適合を評価し、登録簿に掲載する制度。
• J-CSIPは、重要インフラ事業者などが、サイバー攻撃に関する情報をIPAを介して共有し、被害の拡大防止につなげる取組。
• サイバーレスキュー隊は、標的型サイバー攻撃を受けた組織の被害の把握や原因分析、対策を支援するIPAの専門チーム。
• SECURITY ACTIONは、中小企業が情報セキュリティ対策への取組を自ら宣言する、IPAの制度。取組の段階に応じたロゴマークを使える。
• 中小企業の情報セキュリティ対策ガイドラインは、規模の小さな事業者でも取り組めるよう、情報セキュリティ対策の考え方や実践手順を示した、IPAのガイドライン。
• サイバーセキュリティ経営ガイドラインは、経営者が認識すべき原則と、CISOなどの担当幹部に指示すべき重要項目を示した、サイバー攻撃対策の指針。
• 情報セキュリティ管理基準は、組織が情報セキュリティの管理を実践する際に整備すべき管理策を、体系的に示した基準。
• サイバー・フィジカル・セキュリティ対策フレームワークは、企業間のつながりや現実空間と仮想空間のつながりなど、産業全体を複数の観点から見てリスクを整理し、対策例を示した枠組み。
• IoT セキュリティガイドラインは、IoT機器やシステムの企画から廃棄までの各段階で、考慮すべきセキュリティ対策の方針と指針を示したもの。
• PCI DSSは、クレジットカードの会員データを取り扱う事業者に遵守を求める、カード情報保護のための国際的なセキュリティ基準。

まちがえやすい点

• ISMSは継続的な運用の仕組みであり、災害時などの事業継続に関する計画であるBCPとは対象範囲が異なる。
• CISOは情報セキュリティの最高責任者であり、情報システム全般を統括する最高情報責任者のCIOではない。
• SOCは常時監視と検知に重心がある組織であり、事故発生時に窓口となって対応を統括するCSIRTとは別である。
• サイバーセキュリティ基本法は国の施策の基本理念や推進体制を定める法律であり、不正アクセス行為そのものを禁じる不正アクセス禁止法とは目的が異なる。

情報の格付け・権限・廃棄

情報の重要度による分類、最小権限の原則、アクセス権の見直し、廃棄時のデータ消去といった情報の取扱い管理を扱う。

要点

• 情報の格付け（分類）は、情報を重要度に応じて区分し、区分ごとに保管・持出し・廃棄などの取扱いルールを定める管理手法である。
• 最小権限の原則は、利用者に業務の遂行に必要な最小限の権限だけを与える原則で、誤操作や不正利用による被害の範囲を抑える効果がある。
• 異動時のアクセス権の見直しと、退職時のアカウントの停止は、不要な権限が残ることを防ぐ基本的な運用である。
• パソコンの廃棄時は、記憶装置の物理的な破壊や、規格に沿った専用ソフトでの上書き消去を行えば、データを復元困難にできる。
• プライバシーポリシーは、事業者が、個人情報の取得目的や利用方法、管理体制などを本人に分かるよう示した方針。

まちがえやすい点

• アクセス権は付与して終わりではなく、定期的に棚卸しをして外す運用が要る。棚卸しをしないと、理由を説明できない権限が積み上がる。
• ごみ箱を空にしたりファイルを移動・改名したりしても管理情報が変わるだけで実データは残るため、確実な消去ではなく、復元ソフトで読み取られる恐れがある。
• 最小権限の原則は権限の付与範囲を絞る原則であり、1人に権限が集中しないよう業務を分担させる職務分掌の原則とは焦点が異なる。

情報セキュリティ対策・情報セキュリティ実装技術

ファイアウォールとDMZ

ファイアウォールの通信制御の役割と、外部公開サーバを置く緩衝地帯であるDMZの目的を扱う。

要点

• ファイアウォールは、外部ネットワークと内部ネットワークの境界に設置し、あらかじめ定めた通信ルールに従って通過させる通信を制限する仕組みである。
• ファイアウォールは、送信元や宛先、ポート番号などの条件に基づいて、通信の可否を判断する。
• DMZ（非武装地帯）は、外部に公開するサーバを置くことで、そのサーバが攻撃を受けても内部ネットワークへの被害の波及を抑える緩衝地帯である。
• 公開サーバを社内LANと切り離した区域に置き、そこから社内へ入る通信もファイアウォールで制限すると、被害を区域内にとどめやすい。

まちがえやすい点

• ファイアウォールを設置すれば社内からの情報の持ち出しが起こらなくなるわけではなく、許可された通信に紛れた持ち出しや記憶媒体による物理的な持ち出しは防げない。
• DMZは公開サーバを隔離する区域であり、公衆回線上に仮想の専用線を作るVPNや、論理的にネットワークを分けるVLANとは異なる。
• ファイアウォールは通信の可否を判断する仕組みであり、ウイルスの検出と駆除を担うウイルス対策ソフトや、IPアドレスの自動割当てを担うDHCPとは役割が異なる。

侵入検知・監視・情報漏えい対策

IDS/IPS、WAF、SIEM、EDR、検疫ネットワーク、DLP、CASB、サンドボックスの役割の違いを扱う。

要点

• IDS（侵入検知システム）は、ネットワークやサーバへの不正アクセスやその兆候を検知し、管理者へ通知する仕組みである。
• IPS（侵入防止システム）は、IDSの検知に加えて、通信の自動的な遮断まで行う仕組みである。
• WAFは、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーション特有の攻撃を検知・遮断する。
• SIEMは、複数の機器のログを統合して相関分析し、セキュリティ上の脅威や異常を可視化・検知する仕組みである。
• EDRは、端末上の挙動を監視し、マルウェアの侵入後の不正な動作を検知して対応する仕組みである。
• 検疫ネットワークは、接続前に端末のウイルス対策やパッチ適用状況を検査し、基準を満たす端末だけを本来のネットワークへ接続させる仕組みである。
• DLPは、機密情報の内容を監視し、外部への不正な持ち出しを検知・防止する対策である。
• CASBは、利用者とクラウドの間で利用状況を可視化・制御し、シャドーITや情報漏えいを防ぐ仕組みである。
• サンドボックスは、未知の不審なプログラムを業務環境から隔離された仮想的な領域で実際に動作させ、その挙動を観察して安全性を確認する仕組みである。
• ファイル交換ソフトウェアは、利用者どうしがネットワーク上で直接ファイルを共有するためのソフトウェア。感染や設定の誤りで情報漏えいの原因になることがある。

まちがえやすい点

• 一般的なファイアウォールは通信内容そのものの精査までは行わない点で、HTTP通信のデータ部分まで検査するWAFとは異なる。
• EDRは端末の挙動監視に特化し、IDSは不正侵入の検知に特化している。横断的なログ統合分析を担うSIEMとは役割が異なる。
• ファイアウォールはあらかじめ定めた通信ルールで通信を制限する仕組みであり、未知の攻撃パターンの検知を主目的とするIDS/IPSではない。

ゼロトラスト・多層防御・SASE

境界防御に頼らないゼロトラスト、対策を重ねる多層防御、クラウドで提供するSASEの考え方を扱う。

要点

• ゼロトラストは、社内・社外を問わずすべての通信やアクセスを信頼せず、その都度検証を行うことを前提とするセキュリティの考え方である。
• 多層防御は、複数の異なる対策を重ねて配置し、一つが突破されても他の対策で被害を食い止める考え方である。
• SASEは、SD-WANなどの通信機能とゼロトラスト型のセキュリティをクラウドで一体提供する概念である。

まちがえやすい点

• 境界防御は社内と社外の境界を守る従来型の考え方で、境界内部は基本的に信頼するため、すべてを検証するゼロトラストとは前提が異なる。
• 多層防御は対策を重ねる考え方であり、故障時に安全側へ導く設計のフェールセーフや、認証の仕組みのシングルサインオンとは別である。
• SASEはクラウドでの統合的な提供概念であり、暗号化した仮想専用線のVPNや、IPアドレス変換技術のNATとは異なる。

通信の保護・無線LAN・メール

VPN、無線LANの暗号化規格とアクセス制限、公衆無線LANの注意点、S/MIMEとSPFによるメールの保護を扱う。

要点

• VPNは、公衆回線上に暗号化技術を用いて、あたかも専用回線のような安全な通信経路を仮想的に構築する技術である。
• WPA3は、WPA2の後継として策定された無線LANの暗号化規格で、より強固な暗号化方式や個々の通信ごとに異なる暗号鍵を用いる。
• MACアドレスフィルタリングは、登録済みのMACアドレスの機器だけに接続を許可する、簡易なアクセス制限機能である。
• 暗号化されていない公衆無線LANでは通信内容を傍受されるおそれがあるため、VPNやHTTPSサイトの利用などで通信を保護する。
• 無線LANでは強度の高い暗号化方式を選び、信頼できない公衆無線LANではVPNで通信路そのものを保護するのが有効な対策である。
• S/MIMEは、電子メールに署名と暗号化を施し、送信者のなりすましや内容の盗聴・改ざんを防ぐ方式である。
• SPFは、送信元のメールサーバが正当な送信サーバかどうかを、DNSに登録された送信許可サーバの情報をもとに受信側で検証する送信ドメイン認証技術である。
• コールバックは、リモート接続の要求を受けたあと、いったん切断し、登録済みの電話番号などへかけ直して接続元を確認する方式。

まちがえやすい点

• MACアドレスフィルタリングは接続機器の制限、ステルスSSIDは名前を通知しない対策であり、暗号化方式そのものを定めるWPA3とは異なる。
• 暗号化されていない公衆無線LANの通信は安全ではなく、自動で暗号化もされないため、傍受のおそれがある。
• S/MIMEは電子メールに署名・暗号化を施す方式であり、メール受信プロトコルのIMAP4や、WebのSSL/TLS通信であるHTTPSとは異なる。
• SPFは送信ドメインの正当性を検証する技術であり、メール受信のPOP3や、送信時に利用者認証を行うSMTP-AUTHとは目的が異なる。

端末・物理・運用面の対策

共連れ防止、標的型メール訓練、MDM、IoT機器の設定、更新プログラムの適用、記憶装置の暗号化といった運用と物理面の対策を扱う。

要点

• 共連れ（テールゲーティング）の防止には、入室記録がないと退室できないアンチパスバックや、1人ずつしか通れないゲートが有効である。
• 標的型攻撃メール訓練は、模擬の不審メールを従業員に送り、開封や添付実行の有無を確認して意識向上を図る教育的な訓練である。
• MDM（モバイルデバイス管理）は、業務用のモバイル端末を一元管理し、遠隔ロックやデータ消去、設定の強制などを行う仕組みである。
• 業務で使うスマートフォンの画面ロックと遠隔消去は、紛失時の被害を抑える。
• IoT機器では、初期パスワードの変更とファームウェアの更新が、機器が乗っ取られないための基本である。
• 更新プログラムの適用は既知の脆弱性をふさぐ最も基本的な対策であり、定義ファイルの更新は新しいマルウェアの検知に必要である。
• 記憶装置全体を暗号化しておくと、盗難で記憶装置を取り出されても、暗号鍵がなければ内容を読めず情報漏えいを防げる。
• 情報セキュリティ啓発は、従業員にセキュリティの重要性や守るべきルールを周知し、意識を高めて行動の改善を促す活動。
• 耐タンパ性は、ICカードなどの機器の内部情報や処理を、分解や解析による不正な読み出し・改ざんから守りやすい性質。
• セキュアブートは、コンピュータの起動時に、OSなどの電子署名を検証し、改ざんされたものや許可されていないものの実行を防ぐ仕組み。
• TPMは、暗号鍵の生成や保管などを安全に行うために、機器に組み込まれるセキュリティ用のチップ。
• 施錠管理は、ドアや保管庫などに施錠し、鍵の貸出しと保管を管理して、許可のない立入りや持出しを防ぐ対策。
• インターロックは、出入口の二つの扉を連動させ、一方が閉まって施錠されるまでもう一方を開かないようにして共連れなどを防ぐ入退室管理の仕組み。
• セキュリティケーブルは、ノートPCなどを机や柱などにワイヤで固定し、持ち去りによる盗難を防ぐための物理的な器具。
• 遠隔バックアップは、本拠地から離れた場所にデータの複製を保管し、災害や火災で拠点が被災してもデータを失わないようにする対策。
• ディスク暗号化は、パソコンなどの記憶装置に保存されたデータ全体を暗号化し、盗難や紛失があっても内容を読み取られないようにする対策。
• セキュリティバイデザインは、システムやIoT機器の企画・設計の段階から、セキュリティ対策を組み込んで開発する考え方。
• プライバシーバイデザインは、個人情報の保護を、企画・設計の段階からシステムや事業に組み込んで進める考え方。

まちがえやすい点

• 提供元が確認できない配布元からのアプリは、業務効率の向上ではなく、マルウェアを含む可能性があり被害が広がるおそれが大きい。
• IoT機器を初期設定のままインターネットに直接つなぐ運用は適切ではなく、既知の初期パスワードによる侵入や攻撃の踏み台化を招く。
• 出所を確認せずに共有サイトからファイルを入手する行為は対策ではなく、マルウェアを自ら取り込む行為に等しい。
• 記憶装置の暗号化は盗難時の漏えい対策であり、データを複数ディスクに分散するストライピングや、断片化を解消するデフラグではない。

セキュリティ評価と事後調査

ペネトレーションテスト、脆弱性診断、デジタルフォレンジックの目的と、評価・調査としての違いを扱う。

要点

• ペネトレーションテストは、攻撃者と同様の手法で対象システムに疑似的に攻撃を仕掛け、実際に侵入や情報の窃取が可能かどうかを検証する評価手法である。
• 脆弱性診断は、対象に既知の脆弱性が存在しないかを、専用のツールなどで機械的・網羅的に洗い出す作業である。
• デジタルフォレンジックは、インシデント発生時にログなどの記録を収集・分析して原因究明や法的な証拠に活用する技術・手続きで、証拠データを改変しない手順が重視される。
• デジタルフォレンジックスは、不正アクセスなどの発生後に、機器やログのデータを証拠として収集・保全し、原因や被害を分析する調査手法。

まちがえやすい点

• 脆弱性診断は既知の脆弱性を洗い出すだけで、実際に侵入を試みるまでは行わない点で、ペネトレーションテストとは異なる。
• デジタルフォレンジックはインシデント発生後の証拠収集・分析を主目的とし、疑似攻撃を行うペネトレーションテストや脆弱性診断とは別である。
• ペネトレーションテストは侵入の可能性を検証する手法であり、使いやすさを評価するヒューリスティック評価やユーザビリティテストとは目的が異なる。

暗号方式

共通鍵暗号方式と公開鍵暗号方式の鍵の使い方の違い、両者を組み合わせるハイブリッド暗号方式を扱う。

要点

• 共通鍵暗号方式は、暗号化と復号に同じ鍵（共通鍵）を用いる暗号方式で、AESが代表例である。
• 共通鍵暗号方式は処理が高速だが、通信相手ごとに鍵を安全に共有・管理する必要がある。
• 公開鍵暗号方式は、暗号化に使う公開鍵と復号に使う秘密鍵が異なる方式で、公開鍵は誰に公開してもよい。RSAが代表例である。
• 受信者の公開鍵で暗号化したデータは、対になる受信者の秘密鍵でしか復号できない。
• ハイブリッド暗号方式は、処理が速い共通鍵で本文を暗号化し、共通鍵を公開鍵暗号で安全に相手へ渡す方式で、SSL/TLSで使われる。
• ファイル暗号化は、文書やデータをファイルごとに暗号化し、鍵を持たない人が開いても内容を読めないようにする対策。

まちがえやすい点

• 公開鍵暗号方式は共通鍵暗号方式より高速ではなく、計算量が大きく低速であるため、実際の通信では本文の暗号化に共通鍵方式が使われる。
• 送信者の秘密鍵で暗号化する使い方はデジタル署名であり、受信者の公開鍵で暗号化して秘密にする使い方とは異なる。目的が本人が作ったと示すことに変わる。
• 公開鍵暗号方式は暗号化と復号に異なる鍵を用いる方式であり、同じ鍵を使うため鍵を秘密に共有する必要のある共通鍵暗号方式とは異なる。

ハッシュ関数とデジタル署名

ハッシュ関数の性質、パスワード保管に使うソルト、デジタル署名で確認できることを扱う。

要点

• ハッシュ関数は、入力データから固有の固定長の値を算出する関数で、同じ入力からは常に同じ値が得られ、出力値から元のデータを逆算することは極めて困難である。
• ハッシュ関数は、データの改ざん検知やパスワードの安全な保管などに利用される。
• SHA-256は、入力データの長さによらず256ビットの固定長のハッシュ値を出力するハッシュ関数である。
• ソルトは、パスワードに付加するランダムな文字列で、同じパスワードを使う利用者同士でもハッシュ値が異なる値になる。
• デジタル署名は、送信者の秘密鍵による署名を受信者が公開鍵で検証し、送信者本人が作成したこと（真正性）と改ざんされていないこと（完全性）を確認できる仕組みである。
• デジタル署名は、ハッシュ関数で得た値を送信者の秘密鍵で暗号化し、受信者が送信者の公開鍵で確かめることで本人性と非改ざん性を示す。

まちがえやすい点

• デジタル署名は内容を秘密にするものではなく、誰が作ったか、変わっていないかを示す仕組みであり、内容を秘密にすることが目的なのは暗号化である。
• 共通鍵暗号や公開鍵暗号は暗号化したデータを元に戻すことを前提とする点で、元のデータを逆算できないハッシュ関数とは異なる。
• SHA-256はハッシュ関数であり、共通鍵暗号方式のAESや、公開鍵暗号や鍵交換に関する方式であるRSAではない。
• ソルトはパスワードに付加するランダムな文字列であり、コードの入力誤りを検出するチェックディジットとは別である。

ブロックチェーン・暗号資産・コンテンツ保護

ブロックチェーンの仕組み、暗号資産、ステーブルコイン、NFT、Web3、DRMといった関連用語を扱う。

要点

• ブロックチェーンは、取引記録をブロックにまとめ、直前のブロックのハッシュ値を含めて鎖のようにつなぐ分散型の台帳技術で、過去のデータを改ざんすると以降のブロックの整合性が崩れる。
• ブロックチェーンは、記録を多数の参加者で分散して保持し、中央の管理者に依存しない点に特徴がある。
• 暗号資産（仮想通貨）は、ブロックチェーンを基盤として発行され、法定通貨とは異なりインターネット上で電子的にやり取りされるデジタルな財産的価値である。
• ステーブルコインは、法定通貨などの資産と価値を連動させて価格の安定を図った暗号資産である。
• NFT（非代替性トークン）は、ブロックチェーン上でデジタルコンテンツの唯一性や所有を証明し、代替不可能な資産として取引できるようにする仕組みである。
• Web3は、ブロックチェーンを基盤に、データや権限の集中を避けて利用者自身が分散的に所有・管理することを目指す次世代インターネットの概念である。
• DRM（デジタル著作権管理）は、音楽・映像・電子書籍などについて、購入者以外による不正なコピーや利用を技術的に制限する仕組みである。

まちがえやすい点

• ブロックチェーンは特定の管理者が1か所で全記録を保管する集中型の仕組みではなく、中央の管理者に依存しない分散型の技術である。
• 暗号資産はブロックチェーンを基盤とする点で、中央の発行主体が管理する電子マネーやプリペイドカードとは異なる。
• 電子透かしは著作権情報を埋め込んで追跡に役立てる技術であり、利用そのものを直接制限するDRMとは異なる。
• ステーブルコインは価格安定を図る通貨であり、条件成立で契約を自動実行するスマートコントラクトや、取引を検証して報酬を得るマイニングとは別である。

利用者認証の方式

多要素認証、シングルサインオン、ワンタイムパスワード、リスクベース認証、OAuth、パスキーなど認証方式の違いを扱う。

要点

• 多要素認証は、記憶情報・所持情報・生体情報のうち、2種類以上の異なる要素を組み合わせて本人確認を行う認証方式である。
• パスワードとワンタイムパスワード（知識と所持）や、ICカードと指紋認証（所持と生体）の組合せは、多要素認証に該当する。
• シングルサインオン（SSO）は、一度の認証で連携設定された複数のシステムやサービスを再ログインなしで利用できる仕組みで、利便性の向上とパスワード管理の簡素化につながる。
• ワンタイムパスワードは、ログインのたびに新しく生成され一度使うと無効になるため、通信を盗聴されて値を知られても再利用できない。
• リスクベース認証は、アクセス状況からリスクを評価し、危険度が高いときだけ追加の認証を要求する方式である。
• OAuthは、パスワードを渡さずに、アクセス権限（認可）を他のサービスへ限定的に委譲する仕組みである。
• チャレンジレスポンス認証は、サーバの乱数とパスワードから計算した応答値を返すことで、パスワード自体を送らずに認証する方式で、盗聴に強い。
• パスキーは、公開鍵暗号を用いて秘密情報をサーバへ送らずにログインする、FIDOアライアンスが標準化したパスワードレス認証である。
• EMV 3-D セキュアは、インターネット上のカード決済で、カード発行会社が本人確認を行う仕組み。取引内容や端末の情報から危険度を判定し、必要な場合だけ追加の認証を求める。
• SMS 認証は、携帯電話番号宛てにショートメッセージで確認用の番号を送り、入力させて本人の端末を確かめる認証方式。

まちがえやすい点

• パスワードと秘密の質問への答えは、どちらも知識であり要素が1種類しかないため、多要素認証には当たらない。
• シングルサインオンは一度の認証で複数のサービスを利用できる仕組みであり、サービスごとに毎回入力させる方式ではない。
• ワンタイムパスワードは一度限りの使い捨てであり、変更するまで同じ値を使い続ける固定パスワードとは異なる。

生体認証

指紋・虹彩・静脈・顔・声紋など身体的特徴を使う生体認証の方式と、認証の3要素での位置づけを扱う。

要点

• 指紋認証は、指先の紋様（隆線）の模様を光学的または静電容量式のセンサで読み取り、登録した情報と照合して本人確認を行う生体認証の方式である。
• 虹彩認証は目の虹彩の模様、静脈認証は手のひらや指の血管の模様、顔認証は顔の特徴を読み取って照合する方式である。
• 生体認証（バイオメトリクス認証）は、指紋・虹彩・静脈・顔・声紋など、個人ごとに異なる身体的・行動的特徴を用いて本人確認を行う方式である。
• 認証の三要素は、知っているもの（知識情報）、持っているもの（所持情報）、本人自身の特徴（生体情報）である。
• 静脈パターン認証は、指や手のひらの内部にある静脈の形状を読み取って本人を確認する生体認証。
• 声紋認証は、声の高さや響きなどの特徴から作った声紋を照合して本人を確認する生体認証。
• 網膜認証は、眼球の奥にある網膜の毛細血管のパターンを読み取って本人を確認する生体認証。
• 本人拒否率は、登録済みの本人を誤って拒否してしまう割合。値が大きいと、正当な利用者が認証に失敗しやすくなる。
• 他人受入率は、他人を誤って本人と判定し、受け入れてしまう割合。値が大きいと、なりすましを許しやすくなる。

まちがえやすい点

• ICカードやUSBトークン、社員証は所持情報、パスワードやPINコードは記憶情報の認証であり、身体的特徴を用いる生体認証とは分類が異なる。
• パスワードと秘密の質問のように同じ知識情報を二つ重ねても二要素認証にはならず、種類の異なる二つを組み合わせる必要がある。
• 虹彩認証・静脈認証・顔認証は、指先の紋様を用いる指紋認証とは読み取る身体的特徴が異なる。

公開鍵基盤とデジタル証明書

認証局が発行する電子証明書による公開鍵の保証、PKIの仕組み、SSL/TLSでの利用を扱う。

要点

• PKI（公開鍵基盤）は、認証局が電子証明書を発行して公開鍵の持ち主を保証する仕組みの総称である。
• CA（認証局）は、電子証明書を発行し、公開鍵の持ち主を保証する信頼された第三者機関である。
• 電子証明書は、公開鍵と所有者情報に認証局が署名したデータで、公開鍵が本人のものであることを証明する。
• SSL/TLSは、通信を暗号化し、サーバ証明書で相手を確認する仕組みで、HTTPSの基盤となる。
• デジタル証明書は、公開鍵とその持ち主の情報を結び付け、認証局の署名を付けて正当性を証明する電子データ。
• ルート証明書は、認証局が自分自身の署名を付けて発行する、証明書の連鎖の最上位に位置する証明書。
• トラストアンカーは、証明書の連鎖を検証するときに、無条件で信頼する出発点とする認証局や証明書のこと。
• クライアント証明書は、利用者や端末の正当性を認証局が証明する電子証明書。サーバへの接続時に提示し、本人や端末の確認に使う。
• CRLは、有効期間内でも無効になった証明書を、認証局が一覧にして公開するリスト。受け取った側が失効の有無を確認する。

まちがえやすい点

• PKIは公開鍵の信頼を保証する基盤であり、仮想専用線のVPNや、公開サーバを置く緩衝地帯のDMZ、一度の認証で複数サービスを使うSSOとは別である。
• 認証局は証明書を発行する機関であり、インターネット接続事業者のISPや、インシデント対応組織のCSIRTとは異なる。
• 電子証明書は公開鍵の正当性を証明するデータであり、データの要約値であるハッシュ値や、著作権情報を埋め込む電子透かしではない。
• SSL/TLSは通信の暗号化とサーバ認証を担う仕組みであり、メール送受信のSMTP/POP3や、ファイル転送のFTPとは別である。

ほかのページ

出典と作り方

この読み物は、IPA「ITパスポート試験 シラバス Ver.6.5」の中分類の順に、アプリ「ITウカール」の収録問題の解説をもとにアプリ製薬が作成したものです。公式の文章の転載ではありません。問題文・選択肢は載せていません。

• ITパスポート試験 シラバス Ver.6.5（IPA）