情報セキュリティ 管理と対策 ― ISMS・技術的対策・セキュア開発

ISMS とリスクマネジメント

セキュリティ対策を思い付きで積み上げると、守るべき情報と支出が対応しなくなります。そこで組織はISMS（Information Security Management System、情報セキュリティマネジメントシステム）という枠組みで、方針を決め → 計画し → 運用し → 評価し → 改善する流れを回します。要求事項を定めた規格が JIS Q 27001（ISO/IEC 27001）で、認証（ISMS 適合性評価制度）の対象はこちらです。管理策の具体的な実践規範が JIS Q 27002、経営層のガバナンスが JIS Q 27014、クラウドサービス向けの追加指針が JIS Q 27017 です。

ISMS の下で文書化するのが情報セキュリティポリシーです。3 階層で覚えます。最上位が基本方針（情報セキュリティ方針。何を守り、誰が責任を負うかを宣言する。経営層が承認し、原則として公開する）、中位が対策基準（守るべき事項の水準を定める）、最下位が実施手順（機器ごと・業務ごとの具体的な手順書。改訂が最も多い）です。下位ほど詳細で、下位ほど頻繁に改訂されます。個別規程としては情報管理規程、秘密情報管理規程、インシデント対応規程、教育の規程、罰則の規程、例外の規程、ソーシャルメディアガイドライン（SNS 利用ポリシー）などが連なります。

リスクアセスメントの手順とリスク対応の 4 分類

ISMS の中核がリスクマネジメント（JIS Q 31000）です。まず情報資産台帳を作って情報資産（データ・文書・ソフトウェア・機器・人）を洗い出し、機密性・完全性・可用性の 3 側面から重要度を分類します。そのうえでリスクアセスメント（リスク特定 → リスク分析 → リスク評価）を行い、結果に応じてリスク対応を選びます。リスク＝資産 × 脅威 × 脆弱性で、どれか 1 つがゼロならリスクは顕在化しません。

分析には 定性的分析（大・中・小などの尺度で相対評価する。金額が見積もれなくても実施できる）と定量的分析（金額で見積もる。投資判断に直結する）があります。定量の代表が年間予想損失額です。

人的・物理的対策と情報セキュリティ継続

技術的対策は次節以降でまとめて扱うので、ここでは人的・物理的な管理策を押さえます。科目 B では「技術で塞げない穴を運用で塞ぐ」設問が繰り返し出ます。

情報セキュリティ継続は、災害や大規模障害でも守りを落とさないための備えで、事業継続マネジメント（BCP・BCM。第 16 章）に組み込みます。緊急事態の区分、緊急時対応計画（コンティンジェンシー計画）、復旧計画、災害復旧、バックアップによる対策、被害状況の調査手法を定めておきます。

セキュリティ組織とインシデント対応

組織・機関の名称問題は科目 A で 11 問出ています。単発の名称が多いので、社内の組織と社外の機関に分け、「誰の何を守るか」で引き当てられるようにします。

インシデントハンドリングの時系列

インシデント対応は「検知／連絡受付 → トリアージ → インシデントレスポンス → 報告／情報公開」の順で進みます。トリアージは医療の用語と同じで、影響範囲と緊急度から優先順位を付ける工程です。すべてに同じ力で当たると重大事案の初動が遅れるため、この一段を挟みます。

報告の経路をあらかじめ決めておくのがエスカレーションルールです。「誰が・いつまでに・誰へ」が決まっていないと、担当者が自分の判断で様子を見てしまい、初動が半日遅れます。公表と外部通報（個人データの漏えいなら個人情報保護委員会と本人への通知。第 22 章）の判断基準も規程側に書いておきます。

デジタルフォレンジックス

デジタルフォレンジックスは、インシデントの法的な証拠となりうるデータを保全・分析する技術と手続きです。「収集 → 検査 → 分析 → 報告」の順で進み、削除されたログやファイルの復元、通信履歴の突き合わせを行います。事前の予防策ではなく事後の証拠保全である点が正解の分かれ目です。

セキュリティ技術評価 ― 製品を測る物差し

「この製品は安全だ」と言い切るために、第三者が共通の物差しで測る仕組みがあります。科目 A ではシラバスの評価基準から 9 問出ており、そのうち 6 問が耐タンパ性です。まずここを固めます。

耐タンパ性 ― 物理的に解析させない作り込み

耐タンパ性（tamper resistance）は、機器を分解・観測して内部の秘密情報を取り出そうとする攻撃に耐える性質です。暗号アルゴリズムを強くするのではなく、解析されたら情報が残らないようにハードウェアを作るのが本質です。第 11 章のサイドチャネル攻撃（消費電力・電磁波・処理時間から鍵を推定する）に対する、防御側の答えがこれにあたります。

関連するハードウェアの仕組みも科目 A に出ます。TPM（Trusted Platform Module）は 3 回出題されており、PC のマザーボードに実装される耐タンパ性を持つセキュリティチップで、鍵の生成・保管とプラットフォームの構成情報（起動時のハッシュ値）の記録を担います。セキュアブート（UEFI の機能。令和 5 年秋 問 42）は、起動する OS ローダやドライバのデジタル署名を検証し、改ざんされたものを起動させない仕組みです。署名の検証なので、TPM のような鍵保管とは役割が違います。

製品評価の制度と脆弱性の測り方

CVSS は 3 つの基準の組合せで読みます。基本評価基準は脆弱性そのものの特性（攻撃元区分・攻撃条件の複雑さ・必要な権限・利用者の関与、および機密性／完全性／可用性への影響）を表し、時間が経っても変わりません。現状評価基準は攻撃コードの有無や対策の提供状況といった「今の状況」を反映し、時間とともに変化します。環境評価基準は自組織での重要度や既に施した対策を加味した、利用者ごとの値です。ベンダが公表するのは基本評価基準の値なので、それをそのまま自社の優先順位にしてはいけません。

ファイアウォールと DMZ ― 境界での通信制御

ファイアウォール（FW）は、ネットワークの境界で「通す通信」と「通さない通信」を選り分ける装置です。方式は見る階層で分かれます。

公開サーバは、インターネットからも社内からもアクセスされます。これを社内 LAN に置くと、サーバが乗っ取られた時点で社内が丸見えになります。そこで両者のどちらにも属さない区画DMZ（DeMilitarized Zone、非武装地帯）を設け、公開 Web サーバ・メール中継サーバ・外部 DNS サーバを置きます。

フィルタリングルール表の読み方

科目 A・科目 B とも、ルール表を読んで「どの通信が通るか」を答えさせる形式が出ます。上の行から順に照合し、最初に一致したルールを適用すること、そしてどれにも一致しない通信は拒否される（暗黙の拒否）ことが読み方の柱です。次の表は、DMZ に置いた Web サーバを公開しつつ、内部 LAN を守る最小限の例です。

この表で「インターネットから内部 LAN の共有サーバへ 445 番ポートで接続できるか」と問われたら、1〜3 のどれにも一致せず 4 で拒否、が答えです。逆に「DMZ の Web サーバから内部 DB へ SQL を投げたい」という要件があるなら、番号 3 より上に個別許可の行を追加しなければ通りません。順序が答えを変えるので、必ず上から追ってください。

IDS・IPS・WAF ― 守る層と検知の精度

パケットフィルタリング型の FW は IP アドレスとポート番号しか見ません。443 番ポートを開けた以上、その中を流れる SQL インジェクションは FW を素通りします。そこで「もっと上の層を見る装置」を重ねます。これが多層防御の考え方です。

IDS・IPS の検知方式は 2 つです。シグネチャ型（不正検出型）は既知の攻撃パターンと照合するもので、既知の攻撃には強い一方、未知の攻撃は見逃します。アノマリ型（異常検出型）は平常時の通信をモデル化しておき、そこから外れた通信を異常とみなすもので、未知の攻撃を捉えられる代わりに誤検知が増えます。設置場所では、ネットワークを流れるパケットを監視する NIDS（ネットワーク型）と、サーバに導入してログやファイルの変更を監視する HIDS（ホスト型）を区別します。

設置場所には理由があります。HTTPS の通信はそのままでは暗号化されていて中身を読めないため、WAF は SSL/TLS アクセラレータやリバースプロキシで復号された後ろ側に置きます。負荷分散装置で TLS を終端している構成なら、その内側が WAF の定位置です。前段に置くと暗号文しか見えず、何も検査できません。

マルウェア対策・EDR・ログ管理

境界を越えて入ってくる前提に立つと、対策は「入る前」「入った瞬間」「入った後」の 3 つの時間帯に分かれます。どの製品がどの時間帯を担うかが整理できていないと、科目 B で選択肢を絞れません。

EDR とエンドポイント・クラウドの製品群

EDR（Endpoint Detection and Response）は、端末の操作・プロセス起動・通信を継続的に記録し、侵入後の不審な挙動を検知して、端末の隔離や原因追跡を支援する仕組みです。マルウェア対策ソフト（EPP）が「入れない」ことを狙うのに対し、EDR は入られた後に素早く気付いて広げないことを狙います。端末だけでなくサーバ・ネットワーク・クラウドのログを横断して相関させるものを XDR と呼びます。

ログ管理では、取得しているだけでは意味がない点を押さえます。機器ごとに時刻がずれていると、複数機器のログを時系列で突き合わせられません。そのため NTP による時刻同期が前提になります。保管期間を短くしすぎると、潜伏期間の長い攻撃を追跡する段階で古い記録が上書きされて残っていません。UEBA（利用者と機器の振る舞い分析）は、平常時と異なる操作（深夜の大量ダウンロードなど）を内部不正の兆候として検知します。

ランサムウェア対策とバックアップ設計

ランサムウェアはバックアップまで暗号化しようとします。共有ディスクに常時接続されたバックアップは、感染端末から到達できるため一緒にやられます。そこで「取ってあるか」ではなく「攻撃者から到達できないか」で設計します。

情報漏えいを前提にした技術も並べておきます。暗号化消去は、暗号化して保存したストレージの鍵を破棄して復元不能にする消去方法で、大容量ディスクを短時間で無効化できます。データマスキングは本番データの一部を別の値に置き換えて開発・テストに使う手法です。統計利用のための匿名化では、項目・レコード・セルの削除、極端な値をまとめるトップコーディング、同じ属性の組合せを k 件以上にそろえる k-匿名化などを使います。

脆弱性管理は、OS のアップデートとセキュリティパッチの適用を、資産目録と結び付けて回す活動です。何がどこで動いているか分からなければ、脆弱性情報が出ても影響範囲を判断できません。近年は利用しているソフトウェア部品の一覧である SBOM（Software Bill of Materials）を持ち、部品に脆弱性が見つかったとき即座に該当製品を特定する方式が問われます（令和 6 年秋 問 43・令和 7 年春 問 40）。

VPN・無線 LAN・ゼロトラスト

セキュアプロトコルはシラバス上で 15 問が集まる厚いテーマです。そのうち IPsec 系（IPsec 3 問・VPN プロトコルの階層 3 問・IPv6 拡張ヘッダ 3 問）が 9 問を占め、しかも 3 回とも正解が同じ「上位から TLS → IPsec → L2TP」でした。図 1 枚で 9 問分を回収できます。

無線 LAN と検疫・NAC

ゼロトラストと SASE、クラウドの責任分担

境界型防御は「内側は信頼できる」という前提に立っています。テレワークとクラウドが当たり前になると、守るべき資産と利用者の大半が境界の外に出てしまい、前提が崩れます。そこでゼロトラストでは、場所を信頼の根拠にせず、アクセスのたびに利用者・端末・要求内容を検証します。

メール・DNS・Web のセキュリティ

認証・認可技術（シラバス 5(2)）は 12 問が集まる区分で、DNSSEC 4 問・SPF 3 問・DKIM 2 問・サブミッションポート 2 問がその中心です。これらはいずれも「なりすましを見抜く」ための署名と照合で、通信内容を暗号化する技術ではありません。ここを取り違えると誤答肢を選びます。

DNSSEC

DNSSEC（DNS Security Extensions）は、DNS の応答が正当な権威サーバから来た改ざんのないものだと確認できるようにする拡張です。権威 DNS サーバが応答（リソースレコード）に電子署名を付け、問い合わせた側（キャッシュ DNS サーバ）が公開鍵で署名を検証します。信頼は上位のゾーンから下位へ順に鍵をたどる連鎖で担保されます。第 11 章の DNS キャッシュポイズニングに対する根本的な対策がこれです。

Web とセッションの守り方

セッションハイジャック対策は科目 A で 3 回出題されています。ポイントは「盗まれない工夫」（HttpOnly・Secure）と「盗まれても使えなくする工夫」（ログイン時の再発行・短い有効期限・ログアウト時の無効化）を両方挙げられることです。

セキュア開発 ― 実装とライフサイクル

アプリケーションセキュリティ（シラバス 5(6)）は 15 問が集まる厚い区分で、その 6 問がファジングです。ここは配点効率が最も高い場所なので、検査手法の違いをはっきり分けて覚えます。

セキュアプログラミングと開発プロセス

ひっかけポイント

理解度チェック（科目 A 形式）

まとめ

ここまでで、攻める側（第 11 章）と守る側（本章）がそろいました。次の第 13 章では、システム開発技術として要件定義から設計・実装・テスト・保守までの工程を扱います。本章で見たセキュリティバイデザインや静的・動的解析が、開発工程のどこに組み込まれるのかは、そちらの流れの中でもう一度確認できます。