1. 情報セキュリティと標準化I
第８回
WEB公開版のため
内容は大幅に抜粋・省略しています。

2. 前期：第１５回
1 情報セキュリティの概要：基本概念、実装技術と対策方法
2 情報セキュリティの概要：脅威リスクの分類と評価、その対策方法
3 技術的セキュリティの技術と実装
4 人的・物理的セキュリティと技術的セキュリティの関係
5 対称暗号技術：秘密鍵技術と実装（セキュアプログラミング）
6 非対称暗号技術：公開鍵技術と実装（セキュアプログラミング）
7 セキュリティ監査と管理:セキュリティ技術評価 評価方法、保証レベル
8 セキュリティ監査と標準化:セキュリティ評価基準と標準化
9 リスクの分析評価と管理対策：情報資産とリスクの概要，
リスク分析評価
10 情報セキュリティのマネジメントとセキュリティポリシー:
IMIS、関連法規
11 デジタル認証技術と標準化: デジタル署名、メッセージ認証、認証基盤
12 物理的認証技術と標準化:利用者確認、生態認証、関連標準化動向
13 観測・基盤実装技術:セキュアOS，セキュアプログラミング
14 観測・応用実装技術:アプリケーションセキュリティ
15 情報セキュリティ技術、分析評価方法、管理対策、標準化動向まとめ

3. 第８回
• セキュリティ監査と標準化：セキュリティ評価基準と標準化
ISO/IEC 15408
情報セキュリティには達成状態に高低があり、組織の
性質やシステムの稼働環境に即した評価基準の設定が必要で
ある。また現実的な情報セキュリティ管理には標準化による他
組織との比較検討や連携が不可欠である。第８回ではこれらの
評価基準の策定方法について解説する。ISO/IECの情報セ
キュリティ関連標準と、国内外の標準化団体の体系等を紹介す
る。

4. 情報セキュリティの３条件
CIA（秘匿性・完全性・可用性）
• 秘匿性 Confidentiality
許可されたものが情報にアクセスできる。
• 完全性 Integrity
情報が正確であり、改ざんされないこと。
• 可用性 Availability
許可されたユーザが情報にアクセスし利用できる。

5. 情報セキュリティのCIA
C
I A
アクセス制御、パスワード認
証、暗号化、入退室管理
暗号化、デジタル署名、
ハッシュによる改ざん防止
情報漏洩
WEBクラッキング
パスワードが盗まれる
アクセス制御、冗長構成、認証
不正アクセス
WEBが改竄される
サイバー攻撃
WEB封鎖
アクセスできなくなる

6. 暗号化：秘匿性（I）を守る
送信
第３者が通信データを
盗聴しても内容が
わからないようにする。
共通鍵・公開鍵を
用いて暗号化 内容は受信者しか
わからないように
する。
？

7. 認証：完全性（I）を守る
送信
相手認証
通信相手が
本人かどうか
メッセージ認証
通信の途中で
メッセージが改ざんされ
ていないか
デジタル署名
送信する文書が
正当化かどうか

8. 脆弱性管理：（A)を守る
リスク
脆弱性
脅威
発生する前の想定
脆弱性：リスクを発生
させる原因のこと。
プログラムを間違って
書くと発生する。
発生した後の事象

9. リスク管理
• 許容：リスクのうち、発生頻度やダメージが少ないと
予想される場合、対策を行わないこと。
• 低減：リスクの発生頻度や損害額を抑えること。
• 移転：リスクが発生する情報システムを外部に委託
すること。
• 回避：リスク発生の原因を取り除くこと。

10. セーフガード：セキュリティ対策
抑止
予防
検知
回復
許容
低減
移転
回避
発生しないよう
にする
被害を最小
にする
脅威をすばやく
発見する
発生しないよう
にする
被害が小さけれ
ばOK
発生頻度と損害
額を小さくする
発生要因を
外部に
発生要因を
取る
リスクコントロール リスク管理

11. リスクコントロール
高
高
低
低
低減
reduction
回避
avoidance
受容
Acceptance
移転
transference
発生
頻度
被害額

12. セーフガード選択の例
組織内のコン
ピュータ
情報漏えい 低減 予防 ファイル暗号化
回避 予防 添付ファイル禁止
顧客個人情報 情報漏えい 低減 予防
パソコンとファイルの
持ち出しの制限
低減 予防 廃棄ルールの徹底
①抑止：脅威の発生する可能性を少なくする、あるいは消去する。
外部委託、システム移転、不要なサービスの停止
②予防：事前の対策により、脅威が発生した際の被害を小さくする。
区画化：ファイアウォールやセグメントの設定、アンチウィルスソフトの適用
③検知：不正アクセスや攻撃を速やかに発見するようにする考え方。
ログの監視、ネットワークの観測
④回復：問題が発生した際に正常な状態まで戻す。
バックアップ、予備の機器の利用、普及マニュアルの作成

13. 情報セキュリティ対策技術
予防機能
抑止機能 セキュリティポリシーと策定とポリシーによるネットワーク管理
防御機能 アクセス制御、認証（パスワード等）、暗号化、デジタル署名、ファイアウォール
分析・予測機能 脆弱性検査、バージョンのアップデート、パッチ適用、不要サービス削除
検知機能
検知機能 ウィルススキャナ、ログ解析、侵入検知、監視カメラの設置
回復機能
被害軽減機能 セグメント化、サーバの切り替え、ルータの冗長化
応急対応機能 インシデント対応、コンティンジェンシプラン、ファイル修復
再構築機能 新たにリリースされたセキュリティ技術の対応、情報セキュリティ監査

14. その他のセキュリティ対策
• 隠蔽：資産が存在する場所を多数にする。
• 不可視化：資産が見えないようにする
• 反撃：相手にコストやダメージを与える
• 陽動：相手の攻撃の焦点をずらす
• だまし：偽の資産を標的にさせる
• 逃走：相手の攻撃範囲から外れる
• 封印：攻撃の記録をする
• 複製：情報資産が盗難されても紛失しないようにする。
• 警告表示：防御反撃策の存在を示す
• 嫌悪感の喚起：情報資産の価値を下げる

15. 情報セキュリティの国際標準と法規
ISO/IEC 27001：情報セキュリティマネジメントシステム
ISO/IEC 27002：セキュリティポリシーの作成
ISO/IEC 27005：リスクマネジメントシステム
ISO/IEC 13335：リスクの分析と評価（GMITS)
ISO/IEC 15408：製品とシステムのセキュリティ
RFC 2828：セキュリティの用語を規定
RFC 2504：ユーザセキュリティ
RFC 2196：サイトセキュリティ
RFC 3365：プロトコルセキュリティ

16. ISO/IEC 27001とISMS
• ISO/IEC 27001：情報セキュリティマネジメントシス
テム (Information Security Management System
– Specification with guidance for use)
• ISMSの定義：事業リスクに対するアプローチに基づ
き、情報セキュリティを確立、導入、運用、監視、修
正、維持および改善するマネジメントサイクル全体
の一部
• IMISの文書校正が規定されている。①序文、②適
用範囲、③引用規格、④用語及び定義、⑤情報セ
キュリティマネジメントシステム、⑥経営陣の責任、
⑦ISMS内部監査、⑧ISMSマネジメントレビュー、
• ⑨ISMSの改善

17. ISIM：情報セキュリティマネジメント
システム
• 情報セキュリティマネジメントシステム (information
security management system)は、個別の情報セ
キュリティ対策を補完する形で、組織のマネジメント
戦略のとしてリスク分析と評価を行い、その上でシ
ステムに要求されるセキュリティレベルを運用するこ
と。
• ISIMによる情報セキュリティに対する要求事項を充
足するために、PDCAモデルを適用する。
• PDCA: Plan （計画） / Do （実行） / Check (点検）
/ Act (処置）の４段階でセキュリティ対策を実施する
こと。、

18. ISMSとPDCA
計画 (Plan)
ISMS推進計画の作成
リスク評価の実施
ISMS基本方針の策定
見直し (Act)
IMIS基本方針の評価と修正
個別問題の検討など
評価・点検(Check)
IMIS基本方針が遵守されているか
ISMS基本方式は適切か
導入・運用 (Do)
ISMS基本方針による対策の実施・運用
ISMSによる教育
ISMSの運用状況の監視

19. ISMS：情報セキュリティマネジメントの確立手順
⑥リスク対応処置の特定と検討
②ISMSの基本的な方針の列挙
③リスクアセスメントに関する方針決定
④リスクの識別
⑤リスクの分析および評価
①組織におけるISMSの適用範囲の決定
⑦リスク対応処置の管理の検討
⑧処置後の残留リスクについての検討
⑨IMISの導入運用についての承認
⑩適用宣言書の作成

20. ISO/IEC 27005：リスクマネジメント
リスクの評価
リスクの特定
リスクの算定
状況の設定
リスクの対応
リスクの受容
リスク分析
リスク評価
対応は充分？
評価は充分？

21. ISO/IEC 15408
• 概説と一般モデル
• セキュリティ機能要件
• セキュリティ保証要件
１ セキュリティ監査
２ 通信
３ 暗号サポート
４ 利用者データ保護
５ 識別と認証
６ セキュリティ管理
７ プライバシー
８ TOEセキュリティ機能の保護
９資源アクセス
１０ TOEアクセス
１１ 高信頼バス・チャネル
１ PP評価
２ ST評価
３ 構成管理
４ 配布と運用
５ 開発
６ ガイダンス文書
７ ライフサイクルサポート
８ テスト
９脆弱性評定
１０ 保証維持
作り方
構築の仕方
評価の仕方 TOE: Target of
Evaluation

22. ISO/IEC 13335 (GMITS):リスク分析の種類
GMITS: Guidelines for the Management of IT Security
①ベースラインアプローチ：一定のセキュリティの水準
を定めてシステムを構築する。システムの利用者に
チェックリストやアンケートに答えてもらい、セキュリ
ティ上の問題点を洗い出す。この際に標準のセーフ
ガードを選択することでベースラインと呼ばれる一
定の水準をを適用する。情報資産や脅威の詳細な
調査を行わないため、リスク分析を最小限のコスト
で行うことができる。
②非公式アプローチ：個人の経験や専門知識による
手法。詳細リスク分析より迅速であるが、分析者の
力量に大きく左右され、正当化が難しい、見落とし
が発生するなどの欠点がある。

23. ISO/IEC 13335 (GMITS):リスク分析の種類
GMITS: Guidelines for the Management of IT Security
③詳細リスク分析：情報資産の洗い出し、脅威分析、
脆弱性分析の結果からリスクを分析する。適切な
セーフガードを数値化して選択・適用する。精密だ
が、情報資産が多い場合、多大なコストがかかり、
緊急の場合に手遅れになる可能性がある。
④組み合わせアプローチ：情報資産を分類し、リスク
が大きいものには③の詳細リスク分析、それ以外に
は①のベースラインアプローチを適用する。リスク分
析のコストを最適化できる場合があるが、情報資産
の評価により詳細リスク分析を過剰に行ってしまう
場合がある。

24. ISO/IEC 27002
情報セキュリティ管理策１１か条
①セキュリティの基本方針
②情報セキュリティのための組織
③資産の管理
④人的資源のセキュリティ
⑤物理的および管理的セキュリティ
⑥通信および運用管理
⑦アクセス制御
⑧情報システムの取得・開発および保守
⑨情報セキュリティ・インシデントの管理
⑩事業継続管理
⑪法的要求事項の遵守

25. リスク評価（アセスメント）
①組織内の情報資産の価値を求める
②組織内の情報資産への脅威を分析
③内在する脆弱性を分析
①価値、②脅威、③脆弱性からリスク値を算出
公開、社外秘、秘密、極秘
改ざんされると業務に
支障が出るなど
公開、社外秘、秘密、極秘
改ざんされると業務に
支障が出るなど
WEBサーバの不備
攻撃難易度
管理レベルなど

26. 情報資産の分類と価値 (JIS Q 27002)
区分 例
情報 データベース、データファイル、契約書、運用マニュアル、システム仕様書
監査証跡、各種バックアップ、事業継続計画
ソフトウェア 業務用ソフトウェア、プラットフォームソフトウェア、開発用ツールなど
物理的資産 コンピュータ装置、通信機器、外部記憶装置など
サービス 空調装置、計算処理サービス、通信サービス、データベースサービスなど
その他 人的資産、保有する資格、経験、技能、無形資産
リスクの大きさ ＝ 情報資産の価値 ＊ 脅威 ＊ 脆弱性
価値の算出方法
①機密性、可用性、完全性いずれかの最高値をもって資産価値とする。
②特定の値を超えた要素によって情報資産の価値を決める。
③機密性、完全性、可用性の平均値を求める。

27. 基本情報処理技術者試験：
リスク管理
①リスクの種類
投機的リスク：損もするが得する場合もある
純粋リスク：損するのみ
②リスク分析と評価
分析：守るべき複数の情報資産の価値（損失額）を決める
評価：それぞれの情報資産の許容損失額を決定する。
③リスクファイナンス：攻撃された時の損失を補填する備えをす
る、会社に入るなど
④リスク分析手法
定量的分析：損失を金額などの具体的な数字で表す。
定性的分析：情報資産が失われたときの損失の大きさの順
位をつける。

28. リスク対応の種類
①リスクの低減：リスクの最適化。ウィルスソフ
トをインストールする、入出室管理をする。
②リスクの回避：リスクを生じる業務内容を変更
したり、情報資産を廃棄するなどする。
③リスクの移転：契約やアウトソーシングにより、
リスクを外部の組織へ移転する。
④リスクの受容：発生しても問題ないと判断でき
るリスクは許容する。

29. 基本情報処理技術者試験：
情報セキュリティ対策
①物理セキュリティ対策：物理的な脅威から情報資産
を保護する。
耐震設備、電源設備、入退室管理（IDカード）
②技術的セキュリティ管理：技術的な脅威から情報資
産をまもる。
コンピュータウィルス対策、WEB認証、アクセス制
御など
③人的セキュリティ対策：人的な脅威から情報資産を
保護する。
従業員、組織の人員の管理、セキュリティポリシー
を守らせる（周知させる）。

30. 基本情報処理技術者試験
セキュリティポリシー
情報セキュリティ
基本方針
情報セキュリティ
対策基準
情報セキュリティ対策手続き
規定類
情報セキュリティポリシは、経営層の同意に基づき、組織の保
有する情報資産（ハードウェア、ソフトウェア、ネットワーク、デー
タ、設備など）を脅威から守るために、組織の情報システムの機
密性、完全性、可用性を確保するために規定するきまりのこと。

31. 基本情報処理技術者試験
情報セキュリティ基本方針と対策基準
• 情報セキュリティ基本方針：組織のリスクマネ
ジメントの一貫として、情報セキュリティの方
針を、組織に属する人に伝達することを目的
に作成される。
• 情報セキュリティ対策基準：情報セキュリティ
基本方針に基づいて、組織に属する人に具
体的な基準を示して、実際の義務と責任を割
り当てるために作成される。

32. 基本情報処理技術者試験
情報セキュリティ管理と対策
• 情報セキュリティポリシーとISMS
IMIS (information security
management system)
• リスク管理
純粋リスクと投機的リスク
• 情報セキュリティ対策
物理的対策、技術的対策、人的対策

33. セキュリティポリシーと監査
専門家と利用者（素人）
攻撃者
外部IT専門職
セキュリティ技術者
IT専門職
IT担当者
一般ユーザ
（素人）
とシステム
脅威・リスク分析
対策を立てる
セキュリティポリシー
（マニュアル）の実施 情報資産
セキュリティ監査
攻撃可能点がないか
調べる

34. 参考（参照）文献
【１】図解入門 よくわかる最新情報セキュリティの基本と仕組み
- 基礎から学ぶセキュリティリテラシー
相戸 浩志 秀和システム
【２】基本情報処理技術者試験、応用情報処理技術者試験のテ
キストや過去問題集の情報セキュリティの関連箇所等を参照す
る。テキストとしては例えば下記がある。
情報処理教科書 基本情報技術者 2013年版
日高 哲郎 （翔泳社）
情報処理教科書 応用情報技術者 2013年版
日高 哲郎 （翔泳社）

35. 第９回
リスクの分析評価と管理対策：情報資産とリスクの概
要，リスク分析評価
情報セキュリティ対策を現実的なものにするには、情
報資産を分類し、組織とシステムが孕むリスクの分析
評価を行うことが必要である。第９回では情報資産とリ
スクの概要，リスクの種類，リスク分析と評価，リスク
対策、セキュリティコントロールとサービスと標準化等
を解説する。またこれらの観点から個々の要素技術の
評価を行う。