Registered Information Security Specialist Examination key terms

組織の情報資産を守るための最上位の宣言文。経営陣が承認し、目的・適用範囲・基本原則・責任体制を示す。下位の規程や手順の根拠となる。

基本方針を具体化した文書群で、対策基準と実施手順に分かれることが多い。誰が何をどの手順で行うかを定め、運用と監査の判断基準になる。

情報資産の価値、想定される脅威、存在する脆弱性からリスクの大きさを見積もる作業。資産の洗い出し、脅威と脆弱性の特定、リスク値の算定という流れで行う。

アセスメントで判明したリスクへの処置方針を選ぶこと。低減、回避、移転、受容の四つが基本で、選んだ理由と残留リスクを記録し経営層が承認する。

対策を実施した後もなお残ると評価されたリスク。受容するか追加対策するかを経営判断で決め、その判断根拠を文書化して説明責任を果たす。

保護すべき情報や機器、システムを一覧化した台帳。管理者、保管場所、重要度、関連する規程などを記し、リスクアセスメントや棚卸しの基礎資料とする。

情報資産を機密性・完全性・可用性の観点で格付けし、取扱いの厳しさを段階的に定めること。分類に応じて暗号化やアクセス制御の要求水準を変える。

情報セキュリティの三つの基本特性。機密性は許可された者だけが閲覧できること、完全性は正確で改変されないこと、可用性は必要なときに使えることを指す。

調達や開発の初期段階で、発注者がシステムに求める保護水準を明文化したもの。認証方式、暗号化範囲、ログ保持期間などを検証可能な形で記載する。

企画・要件定義フェーズで機能要件と並べてセキュリティ要件を定める工程。後工程での手戻りを防ぐため、脅威分析の結果を要件に反映させる。

設計段階からセキュリティ対策を組み込む考え方。後付けの対策より低コストで脆弱性を作り込みにくく、開発ライフサイクル全体で安全性を確保する。

納品物が契約上のセキュリティ要求事項を満たすか発注者が確認する工程。脆弱性診断結果の提出や設定値の確認などを通し、不合格なら是正を求める。

外部に業務や開発を委託する際、選定から契約、実施中の監督、終了時のデータ返却までを管理すること。再委託の承認や秘密保持契約の締結を含む。

業務上知り得た秘密情報の取扱いを定める契約。目的外利用の禁止、開示範囲、契約終了後の返却又は破棄、違反時の責任などを規定する。

委託先がさらに別の事業者へ業務を委ねる場合の統制。事前承諾を契約条件とし、再委託先のセキュリティ水準を把握して責任範囲を明確にする。

暗号化と復号に同じ鍵を使う方式。AESは128ビット以上の鍵長をもつ代表的な共通鍵暗号で、大量データの暗号化に向くが鍵配送が課題となる。

暗号化鍵を公開し復号鍵を秘密にする方式。鍵配送問題を緩和し、デジタル署名にも使えるが、共通鍵暗号より処理が遅く鍵長を長くする必要がある。

共通鍵暗号で本文を暗号化し、その共通鍵を公開鍵暗号で相手に送る組合せ。TLSなどで使われ、両方式の長所を活かして安全性と速度を両立する。

送信者の秘密鍵でメッセージのハッシュ値を署名し、公開鍵で検証する仕組み。改ざんの検知と送信者の真正性の確認に用い、否認防止にも役立つ。

任意長のデータから固定長の値を生成する一方向関数。同じ入力には同じ値が得られ、少しの変化で大きく変わる。改ざん検知やパスワード保管に使う。

パスワードごとに異なる乱数（ソルト）を付けてハッシュ化する方法。同じパスワードでも異なる値になり、レインボーテーブルによる一括解読を難しくする。

知識・所持・生体のうち異なる二つ以上を組み合わせて本人確認する方式。パスワード漏えいだけでは突破されにくく、重要な操作や管理者ログインに適用する。

一度の認証で複数のシステムを利用できる仕組み。利便性が上がる一方、認証基盤が侵害されると影響が広がるため、認証基盤自体の厳重な管理が必要になる。

利用者やプログラムに業務上必要な最小限の権限だけを与える原則。不要な権限を排除することで、アカウント侵害時の被害範囲を小さく抑える。

システムの設定不備や既知の脆弱性を検査し、リスクを洗い出す作業。自動ツールと人手による確認を組み合わせ、発見した問題の修正と再確認まで行う。

公開された脆弱性情報を収集し、影響範囲を評価して修正プログラムの適用や回避策を実施すること。対応期限を定め、未対応の残存を管理する。

修正プログラムを検証したうえで本番環境に適用する作業。緊急度と業務影響を天秤にかけ、適用できない場合は代替の緩和策を講じて記録する。

不正なプログラムによる被害を防ぐための対策全般。定義ファイルに依存しない検知、実行制限、教育、バックアップなど多層で備えることが重要である。

特定の組織を狙い、業務に見せかけたメールや文書で侵入を試みる攻撃。侵入後の横展開や情報窃取まで長期にわたり行われる点が特徴である。

疑わしいメールへの対応力を測るため、訓練用メールを送って開封や添付の実行状況を確認する取組み。結果を教育に反映し、報告の習慣づけを狙う。

ファイルを暗号化したり窃取したデータの公開を脅したりして金銭を要求するマルウェア。感染拡大の防止と、復旧のためのオフラインバックアップが重要になる。

データの複製を三つ、異なる二種類の媒体に、一つは遠隔地に保管する考え方。ランサムウェア対策では少なくとも一つをオフラインで保持する。

セキュリティ事故の検知、初動、復旧、再発防止を担う組織横断のチーム。役割と連絡経路を定め、経営層や法務、広報と連携して対応する。

検知から報告、封じ込め、根絶、復旧、振り返りまでの流れを定めた手順書。判断の基準と連絡先を明記し、訓練で有効性を確かめる。

被害の拡大を防ぐため、感染端末のネットワーク遮断やアカウント停止を行うこと。証拠を消さないよう、実施内容と時刻を記録しながら進める。

事故原因の調査や法的対応に備え、記憶媒体やログを改変されない形で確保すること。取得手順と時刻を記録し、ハッシュ値で同一性を確認する。

システムや機器が出力する記録を、必要期間保存し参照できる状態に保つこと。時刻同期、改ざん防止、保管期間を定め、調査や監査に備える。

実際の攻撃に近い手法でシステムへの侵入を試み、防御の弱点を評価する試験。事前に範囲と時期を合意し、発見した問題の改善まで行う。

セキュリティ対策が規程や基準に適合しているかを独立した立場で検証し、改善を促す活動。監査基準を定め、証拠に基づいて判断し報告する。

個人情報の適正な取扱いを定める日本の法律。安全管理措置、第三者提供の制限、漏えい時の報告などを求め、企業の運用体制に影響する。