IT・セキュリティ ・ 分野パック
情報セキュリティの基本
全社員に必要な守りの共通語。脅威・対策・事故対応・法令まで
＋ このパックを追加して始める 他の分野を見る収録ジャンル
- 基本概念 11
- 攻撃の手口 13
- 技術的対策 15
- 運用・事故対応 9
- 法令・規格 7
カードの例
- 許可された人だけが情報を見られる状態。IDとパスワードで閲覧を制限し、部外者には見せないことを指す、情報セキュリティ3要素の1つ機密性CIAのC。完全性・可用性とセットで覚える。情報漏えいはこれが破られた状態
- 銀行や宅配業者、社内システムをかたったメールやSMSで偽サイトへ誘導し、IDやパスワード、カード番号を入力させて盗む手口フィッシング送信者名は偽装できるのでリンク先ドメインで判断する。SMS 経由は「スミッシング」と呼ぶ
- パスワードに加えて、スマホアプリの確認コードや指紋など別の種類の要素でも本人確認する仕組み。パスワードが漏れても不正ログインを防ぐ多要素認証知識・所持・生体のうち2種類以上を組み合わせるのが定義。「二段階認証」は段階数の話で、同じ要素を2回でも成り立つ点が違う
- メールの誤送信、PCの紛失、ウイルス感染、不正アクセスの痕跡など、情報の安全を脅かす事故や事象の総称。発見したらまず報告するインシデント「未遂」や「疑い」も含めて報告するのが原則。隠して対応が遅れることが最も被害を広げる
- 氏名や連絡先などから特定の個人が分かる情報について、利用目的の明示、安全管理、本人同意のない第三者提供の制限などを事業者に求める法律個人情報保護法漏えい時は一定の場合に個人情報保護委員会への報告と本人への通知が義務。「要配慮個人情報」は取得に同意が要る
- 脅威が脆弱性を突いて情報資産に損害を与える可能性の大きさ。「起こりやすさ」と「起きたときの影響」の2軸で評価するリスク発生可能性×影響度で優先順位を付ける。対応は低減・回避・移転（保険など）・受容の4つ
- 特定の会社や部署を狙い、取引先や社内を装った自然な文面のメールで添付ファイルを開かせ、内部に侵入して情報を盗む攻撃標的型攻撃ばらまき型と違い文面が自然で見抜きにくい。「開いてしまった」をすぐ報告できる空気づくりが対策の要
- サービスごとに異なる長いパスワードを自動生成し、暗号化して保管・入力してくれるツール。使い回しをなくすために会社で導入するパスワードマネージャー「定期変更」より「使い回さない・長くする」が現在の主流。マスターパスワードには多要素認証を必ず付ける
どう覚えるか
- 場面の説明を読んで用語で答える（日本語OK）。分からなければ Enter で答えを見て、数問後にもう一度出ます。
- 自力で思い出せた語は復習の間隔が伸び、思い出せなかった語は近いうちにまた出ます（想起練習と間隔反復）。
- 学習の記録は端末に保存され、ログインすると別の端末でも引き継げます。