セキュリティって、すごいハッカーがパソコンで攻撃してくるイメージです。
それも一つだけど、実は人のうっかりや油断を狙う手口がとても多いんだ。まずは「何が」「どこを」狙うのかを整理しよう。
情報資産・脅威・脆弱性
情報セキュリティで守る対象を 情報資産 といいます。顧客名簿や設計図などのデータだけでなく、それを保存しているPCやサーバ、紙の書類、さらには社員の知識も含まれます。
- 脅威：情報資産に損害を与える 原因 になるもの（攻撃者、ウイルス、災害、うっかりミスなど）
- 脆弱性：脅威につけ込まれる 弱点（ソフトウェアの欠陥、ルールの不備、施錠していない部屋など）
家にたとえると、泥棒 が脅威、鍵の閉め忘れ が脆弱性、家の中の財産 が情報資産です。泥棒がいても鍵がかかっていれば入られにくく、鍵を閉め忘れても泥棒が来なければ被害は出ません。
泥棒をいなくするのは無理ですよね…。
そう。だから対策の中心は自分たちの弱点（脆弱性）を減らすことなんだ。ソフトウェアを最新版に更新するのも、脆弱性をふさぐためだよ。
脅威の3分類
脅威は、その原因によって3つに分けられます。
| 分類 | 内容 | 例 |
|---|---|---|
| 人的脅威 | 人による誤り・不正 | 誤操作、PCやUSBメモリの紛失・置き忘れ、メールの誤送信、のぞき見、内部不正、ソーシャルエンジニアリング |
| 技術的脅威 | ITの技術を使った攻撃 | マルウェア、不正アクセス、盗聴、DoS攻撃 |
| 物理的脅威 | 災害・破壊・故障など | 地震・火災・落雷、機器の故障、盗難・破壊 |
うっかりミスも人的脅威 です。「悪意のある人」だけが脅威ではありません。また、ソーシャルエンジニアリングは「人をだます」手口なので、技術的脅威ではなく人的脅威 に分類されます。
脆弱性はシステムだけではない
脆弱性というと、ソフトウェアの欠陥（セキュリティホール）を思い浮かべがちですが、人や組織の側にもあります。
- 技術的な脆弱性：ソフトウェアのバグ、更新していないOS、推測しやすいパスワード
- 人的・組織的な脆弱性：セキュリティのルールがない、教育が不十分、退職者のアカウントが残っている
- 物理的な脆弱性：サーバ室に鍵がない、入退室を記録していない
近年問題になっているのが シャドーIT です。社員が会社の許可を得ずに、個人のスマホや無料のクラウドサービスなどを業務に使うことで、管理の目が届かない情報の置き場所ができてしまいます。
ソーシャルエンジニアリング ― 人のすきを突く
ソーシャルエンジニアリング は、ITの技術を使わずに、人の心理的なすきや不注意につけ込んで パスワードなどの重要な情報を盗み出す手口です。どれほど高度なシステムを入れても、人がだまされれば突破されてしまいます。
| 手口 | 内容 | 主な対策 |
|---|---|---|
| なりすまし | 上司や管理者、取引先などを装い、電話やメールで情報を聞き出す | 電話でパスワードを教えない。正規の連絡先にかけ直して確認する |
| ショルダーハッキング | 肩越しに画面やキー入力をのぞき見る | のぞき見防止フィルタ、入力時に周囲を確認 |
| トラッシング（スキャビンジング） | ごみ箱に捨てられた書類やメモをあさる | シュレッダーで処分、溶解処理 |
| 共連れ（ピギーバック、テールゲート） | 認証を受けた人の後ろについて、一緒に入館・入室する | 1人ずつしか通れないゲート、アンチパスバック |
アンチパスバック は、入室の記録がない人は退室できない（またはその逆）ようにする仕組みです。共連れで入った人は「入室記録なし」になるので、出るときに引っかかります。
ほかにも、取引先や経営者になりすまして偽の振込先に送金させる ビジネスメール詐欺（BEC） も、人をだます手口として注意が必要です。日ごろから、机の上に書類を出しっぱなしにしない（クリアデスク）、離席時は画面をロックする（クリアスクリーン） といった習慣も、人を狙う手口への備えになります。
内部不正と不正のトライアングル
組織の内部の人による情報の持ち出しなども、重大な脅威です。米国の犯罪学者クレッシーが提唱した 不正のトライアングル では、次の3つの要素がそろうと不正が起きやすいとされています。
- 機会：不正をしようと思えばできる環境（アクセス権限が広すぎる、操作が記録されていない）
- 動機・プレッシャー：不正をしたくなる事情（借金、過大なノルマ、処遇への不満）
- 正当化：不正を自分の中で言い訳する気持ち（「会社が悪いのだから」「少しなら許される」）
対策としては、アクセス権限を必要最小限にする、操作ログを記録・監視していることを周知する、といった 機会を減らす 取組みが中心になります。
試験に出るポイント
- 脅威 ＝ 損害の原因、脆弱性 ＝ つけ込まれる弱点。脆弱性を減らすことが対策の中心
- 脅威の分類：人的（誤操作・紛失・ソーシャルエンジニアリング・内部不正）、技術的（マルウェア・不正アクセス）、物理的（災害・故障・破壊）
- ソーシャルエンジニアリング ＝ 技術を使わず人のすきを突く。なりすまし、ショルダーハッキング、トラッシング、共連れ
- 対策の組合せ：のぞき見 → のぞき見防止フィルタ、ごみあさり → シュレッダー、共連れ → アンチパスバック
- 不正のトライアングル ＝ 機会・動機（プレッシャー）・正当化
- シャドーIT ＝ 組織の許可なく私物の機器やサービスを業務に使うこと