図解即戦力 情報セキュリティの技術と対策がこれ 1 冊でしっかりわかる教科書

情報セキュリティに関する基本的な知識を、キーワード形式で、イラストを使ってわかりやすく解説しています。掲載している項目は、「情報セキュリティマネジメント試験」の午前重点分野で出題される項目が中心になっています。
1 章 セキュリティの概念と対策の方針
01 情報セキュリティとは
02 情報セキュリティを構成する 7 つの要素
03 OECD セキュリティガイドライン
04 リスク
05 情報資産とは
06 脅威の種類
07 脆弱性の種類
08 人為的不正のメカニズム

2 章 サイバー攻撃の手法 1
09 サイバー攻撃の攻撃者
10 サイバー攻撃の手法
11 パスワードを狙った攻撃
12 マルウェア
13 スパイウェア

3 章 サイバー攻撃の手法 2
14 標的型攻撃
15 Web ブラウザを狙った攻撃
16 サーバーを狙った攻撃 1
17 サーバーを狙った攻撃 2
18 乗っ取り / 不正アクセス / なりすまし
19 負荷をかける攻撃
20 プログラムの脆弱性を突いた攻撃

4 章 セキュリティ確保の基礎技術
21 暗号化技術の基礎
22 暗号化技術の種類
23 暗号鍵管理システム
24 ディスク / ファイルの暗号化
25 危殆化
26 利用者に対する認証技術
27 生体認証技術
28 PKI
29 デジタル証明書のしくみ

5 章 情報セキュリティの管理
30 情報資産と無形資産
31 リスクマネジメント
32 情報セキュリティインシデント
33 情報資産の調査と分類
34 リスクの分析と評価
35 情報セキュリティリスクアセスメント
36 リスクコントロール
37 情報セキュリティマネジメントシステム
38 セキュリティの評価
39 セキュリティ規定と関連機関

6 章 情報セキュリティ対策の基礎知識
40 内部不正防止ガイドライン
41 入口対策と出口対策
42 マルウェア / 不正プログラム対策
43 ファイアウォール
44 WAF
45 プロキシサーバー
46 不正侵入検知システム
47 侵入防止システム
48 DMZ
49 ネットワーク認証 / フィルタリング
50 無線通信セキュリティ
51 著作権保護
52 メール認証
53 ネットワーク管理
54 対策機器
55 物理対策

7 章 セキュリティの実装に関する知識
56 セキュア・プロトコル
57 ネットワークセキュリティ
58 データベースセキュリティ
59 アプリケーションセキュリティ

情報セキュリティの言葉を一通り押さえ、攻撃と対策がどう対応しているかの全体像を作りたい初学者に向けた図解の入門書です。『図解即戦力 情報セキュリティの技術と対策がこれ 1 冊でしっかりわかる教科書』は、中村行宏、若尾靖和、林静香の 3 氏が著し、技術評論社の「図解即戦力」シリーズとして 2021 年 5 月に刊行されました。版元の紹介によると、基本的な知識をキーワード形式で区切り、イラストを使って解説する作りで、掲載項目は情報セキュリティマネジメント試験の午前重点分野で出題される項目が中心です。版元は同試験の受験者をおすすめの読者に挙げています。著者プロフィールによると、3 氏はセキュリティ診断とインシデントレスポンス、セキュリティ関連サービスの検討と開発、脆弱性診断から事業会社のセキュリティ担当まで、それぞれ異なる立場でセキュリティの仕事に携わってきました。

全 7 章 59 項目、概念から攻撃、暗号、管理、対策へ

目次は全 7 章で、項目には 01 から 59 までの通し番号が振られています。1 章「セキュリティの概念と対策の方針」は、情報セキュリティを構成する 7 つの要素、OECD セキュリティガイドライン、リスク、情報資産、脅威と 脆弱性 の種類、人為的不正のメカニズムを扱う土台の章です。2 章と 3 章は「サイバー攻撃の手法」の 1 と 2 で、攻撃者の分類、パスワードを狙った攻撃、マルウェア、スパイウェア、標的型攻撃、Web ブラウザーやサーバーを狙った攻撃、負荷をかける攻撃、プログラムの脆弱性を突いた攻撃が並びます。4 章「セキュリティ確保の基礎技術」は 暗号化 の基礎と種類、暗号鍵管理システム、ディスクやファイルの暗号化、危殆化、利用者の認証と生体認証、PKI、デジタル証明書のしくみです。5 章「情報セキュリティの管理」はリスクマネジメントからリスクアセスメント、リスクコントロール、情報セキュリティマネジメントシステム、セキュリティの評価、規定と関連機関まで、6 章「情報セキュリティ対策の基礎知識」は内部不正防止ガイドライン、入口対策と出口対策、ファイアウォール、WAF、プロキシサーバー、不正侵入検知システムと侵入防止システム、DMZ、無線通信、メール認証、物理対策などの対策側、7 章「セキュリティの実装に関する知識」はセキュア・プロトコルとネットワーク、データベース、アプリケーションのセキュリティです。

攻撃と対策を一枚の地図に載せる読み方

情報セキュリティ の学習でつまずきやすいのは、用語が攻撃、技術、管理、法令と別々の棚に散らばっていて、どれがどれに効くのかが見えにくい点です。たとえば標的型攻撃への備えは、メールの入口で止める対策と、侵入された後に外部への通信を止める対策の両方で考えるのが一般的で、本書の並びでは 3 章の攻撃手法と 6 章の入口対策と出口対策がこの関係に当たります。同様に、4 章の暗号と認証の技術は 7 章のセキュア・プロトコルの前提になり、5 章のリスクアセスメントはどの対策にどれだけ手当てするかを決める根拠になります。章を順に読むだけでなく、攻撃の項目を読んだら対応する対策の項目を引き直す使い方をすると、キーワードの寄せ集めではなく、つながった知識として残りやすい構成と読めます。

情報セキュリティマネジメント試験の区分との関係

版元が掲げる午前重点分野という言い方は、刊行時の試験の区分に基づくものです。情報処理推進機構 (IPA) の案内によると、情報セキュリティマネジメント試験は令和 5 年度 (2023 年度) から CBT 方式で年間を通じて随時実施されており、出題は科目 A と科目 B に分かれています。科目 B のケーススタディ形式の設問の練習は、改訂後の区分に合わせた問題集と組み合わせる前提で考えるのが安全です。

向いている読者、セキュリティ担当の初任者と受験者

向いているのは、情報システム部門や業務部門でセキュリティの担当を任された人、情報セキュリティマネジメント試験の受験を考えていて、まず用語の意味と関係を図で押さえたい人です。逆に、機器の設定手順や、安全なコードの書き方を手を動かして学びたい人には、7 章の実装の項目は 4 つにとどまるため物足りないはずです。開発者の視点で本を選びたい場合は、Web 開発者向けのセキュリティ本の選び方 も参考になります。攻撃の名前を聞いて、どの対策が効くのかを自分の言葉で説明できるようになりたい人にとっては、短い項目を往復しながら全体像を組み立てられる本書が、学び始めの投資として無駄の少ない 1 冊です。