ITパスポート 情報セキュリティ基礎

情報セキュリティは、情報を秘密に保つ機密性、正確で改ざんされていない完全性、必要な時に使える可用性の三つから整理します。守る対象が情報資産、損害を起こし得るものが脅威、悪用され得る弱点が脆弱性です。対策は、起こりやすさと影響の大きさを見て優先します。認証では異なる種類の要素を組み合わせ、権限は業務に必要な最小限にします。暗号化は内容を読ませないため、ハッシュは同一性の照合、ディジタル署名は送信者と改ざんの検証に使う、と目的を分けて覚えましょう。

攻撃は技術だけでなく、人の焦りや信頼も狙います。ログインを急かすメールではリンクを使わず、自分が保存した公式入口から確認します。ランサムウェアへの備えは、更新、最小権限、分離した複数世代のバックアップ、復元試験を組み合わせます。公衆無線LANは名前だけで正規と判断せず、機密操作を避けます。持ち主不明のUSBは挿さずに報告します。パスワードはサービスごとに長く異なるものを使い、管理ツールと多要素認証を組み合わせます。HTTPSの表示だけでサイトの事業者まで無条件に信頼せず、接続先も確認しましょう。

事故を疑ったら、被害を広げないこと、決められた窓口へ速やかに報告すること、調査に必要な証拠を勝手に消さないことが基本です。ログは操作の足跡として検知と調査に使います。異動や退職では不要な権限を外し、媒体の廃棄時は復元できない方法で処理します。クラウドでも事業者と利用者の責任範囲を確認します。RTOは復旧までの目標時間、RPOはどの時点までデータを戻すかという目標です。場所だけを信頼せず、利用者、端末、状況を検証する考え方がゼロトラストです。