情報セキュリティ

基本の仕組み

給与情報の閲覧制限は機密性、不正な金額変更の検知は完全性、障害時の代替サーバは可用性に対応します。何を防ぐ対策かを具体的な事故で考えます。

認証は誰であるかの確認、認可は何をしてよいかの判断です。多要素認証では、知識・所持・生体など異なる種類の要素を組み合わせます。

パスワードを二回入力しても、同じ知識要素なので多要素認証とはいえません。バックアップも復元できるかを確認して初めて役立ちます。

ランサムウェアはデータを暗号化する等して金銭を要求し、フィッシングは偽の画面等へ誘導して認証情報を盗みます。メールの見た目だけを信用せず、別の正規経路で確認し、更新、権限制限、復元可能なバックアップを組み合わせます。

共通鍵暗号は暗号化と復号に同じ鍵を使い、公開鍵暗号は対応する異なる鍵を使います。ディジタル署名では秘密鍵で署名し、対応する公開鍵で検証します。改ざん等を確かめる目的と、内容を秘密にする暗号化の目的を分けます。

社内ネットワークの内側は安全という前提を置かず、利用者や端末を問わずアクセスのたびに確認する考え方がゼロトラストです。テレワークやクラウドの利用で境界が曖昧になったことを背景に、多要素認証や権限の最小化、記録の監視を組み合わせます。

目的に合う防御の選択

機密性は許された人だけが読めること、完全性は不正な改ざんがないこと、可用性は必要なとき利用できることです。認証は本人確認、認可は操作の許可です。多要素認証は知識・所持・生体など異なる要素を組み合わせます。

共通鍵暗号は同じ秘密の鍵で暗号化・復号し、公開鍵暗号は公開鍵と秘密鍵を対にします。受信者だけが復号できるようにするには、受信者の公開鍵で暗号化します。ディジタル署名では送信者の秘密鍵で署名し、送信者の公開鍵で検証します。

公開鍵が本当にその相手のものかは、認証局（CA）が発行するディジタル証明書で確かめます。この仕組みをPKI（公開鍵基盤）といいます。HTTPSで使うTLSでは、公開鍵暗号の技術で共通鍵を安全に共有し、データ本体は処理の速い共通鍵暗号で暗号化します（ハイブリッド暗号方式）。

バックアップはランサムウェア等からの復旧に役立ちますが、感染を防ぐ対策ではありません。ネットワークにつながったままの保存先は一緒に暗号化されることがあるため、切り離した場所にも保管します。

主な攻撃と対策

攻撃は、人をだますもの、認証を破るもの、Webアプリケーションの弱点を突くもの、サービスを止めるものに分けると対策を選びやすくなります。一つの対策で全てを防げるわけではないため、技術的な対策と教育・手順を組み合わせます。