図解入門 よくわかる 最新 情報セキュリティの技術と対策

サイバー犯罪者の攻撃を防ぎ、また組織内部のリテラシーを向上させることが情報セキュリティの目的です。このようなサイバー犯罪との攻防において、重要視されるのが組織としてどのように防御するかという視点です。本書は、一般向けに情報セキュリティの基礎知識から具体的な対策までをわかりやすく図説した入門書です。ウイルス対策ソフトやクラウドの活用、ゼロトラスト・セキュリティなど、貴社の情報資産を守る手法がわかります。

『図解入門 よくわかる 最新 情報セキュリティの技術と対策』 (若狭直道 著、秀和システム、2021 年 11 月刊) は、情報セキュリティの基礎知識から組織としての具体的な対策、関連する規格と法律までを図解で説明する入門書です。版元の案内には、一般向けに情報セキュリティの基礎知識から具体的な対策までをわかりやすく図説した入門書で、ウイルス対策ソフトやクラウドの活用、ゼロトラスト・セキュリティなど情報資産を守る手法を扱うとあります。副題は「情報技術の脆弱性と安全対策を知る!」です。シリーズは秀和システムの図解入門です。

全 5 章の構成、セキュリティの基礎から関連する制度まで

第 1 章「情報セキュリティの基礎」は、サイバー攻撃とサイバー犯罪、情報セキュリティの範囲、脅威とリスク、インシデント、情報セキュリティの要素、コンピューターウイルス、セキュリティホール、心の隙を狙った攻撃、個人情報に関する世界の動きを取り上げ、章の最後の節はゼロトラストです。第 2 章「サイバー攻撃を知り、備え、防ぐ」は、ポートスキャン、標的型攻撃、DDoS 攻撃、Spoofing 攻撃、フィッシング攻撃、Web サイトの改ざん、Active Directory のセキュリティ、SQL インジェクション攻撃、クロスサイトスクリプティング、クロスサイトリクエストフォージェリ、バッファオーバーラン、APT 攻撃、Wi-Fi のセキュリティ、バージョンロールバック攻撃を節ごとに扱います。

第 3 章「攻撃への技術的な対応」は、ファイアウォール、IDS/IPS、DMZ、WAF、UTM といった防御の仕組みと、共通鍵暗号、ストリーム暗号とブロック暗号、公開鍵暗号、電子署名、ハッシュ関数、暗号へのアタックを説明し、ワンタイムパスワード、量子コンピューターと電子鍵、量子暗号通信、生体認証、ペネトレーションテストへ進みます。第 4 章「セキュリティを高める具体策」は、脆弱性やウイルス、不正アクセスへの対策、パスワード管理、IoT のセキュリティ、中小企業の情報セキュリティ、情報セキュリティポリシー、経営者の情報セキュリティ、個人情報の漏えいと扱い、組織内部の不正の防止、サプライチェーン攻撃への対抗、PPAP 撤廃、クラウドとセキュリティ、標的型攻撃への対策、ランサムウェア対策を取り上げます。第 5 章「関連する制度」は、ISO/IEC 27000 シリーズの各規格、JIS Q 15001、内部監査、政府情報システムのためのセキュリティ評価制度 (ISMAP)、不正アクセス禁止法、NOTICE、プライバシーマーク、OECD のガイドライン、ENISA、GDPR、中国サイバーセキュリティ法までを扱います。

暗号の方式と Web への攻撃の仕組み

情報セキュリティは一般に、許可された人だけが情報を見られる機密性、情報が改ざんされていない完全性、必要な時に使える可用性の 3 つの性質を守る取り組みとして整理されます。暗号化 の方式のうち、共通鍵暗号は暗号化と復号に同じ鍵を使う方式で、鍵を相手へ安全に渡す方法が弱点として知られています。公開鍵暗号は公開する鍵と手元で秘密に保つ鍵を組にして使う方式で、電子署名は秘密鍵で作った署名を公開鍵で検証し、送り手の確認と改ざんの検出に使われます。Web アプリケーションへの攻撃では、SQL インジェクション が入力欄の文字列をデータベースへの命令の一部として解釈させる欠陥を突き、クロスサイトスクリプティングは利用者のブラウザーの上で攻撃者のスクリプトを動かします。

組織の対策、ゼロトラストと ISO/IEC 27001

ゼロトラスト は、社内のネットワークの内側にあるという理由だけで端末や通信を信頼せず、アクセスのたびに利用者と端末を確かめる考え方です。ISO/IEC 27001 は情報セキュリティマネジメントシステム (ISMS) の要求事項を定めた国際規格で、ISO/IEC 27002 は管理策の指針を示す規格です。PPAP は、パスワード付きの ZIP ファイルをメールで送り、そのパスワードを別のメールで送る方式を指す呼び名です。第 4 章のコラムでは情報セキュリティマネジメント試験も取り上げています。

国立国会図書館の書誌では索引ありと記録されています。情報セキュリティの本の選び方は セキュリティ本ガイド にまとめています。本書は、サイバー攻撃の手口、攻撃への技術的な対応、組織での具体策、関連する規格と法律を全 5 章に収めています。