⚫︎ 技術要素 － マルチメディア

⚫︎ コンピュータシステム － コンピュータ構成要素

⚫︎ 技術要素 － マルチメディア

（1）個人認証技術の種類と特徴

⚫︎ ID、パスワード

⚫︎ コールバック

⚫︎ デジタル署名

⚫︎ 生体認証技術

（2）暗号化技術の種類と特徴

⚫︎ 公開鍵暗号方式の仕組み

⚫︎ 秘密鍵暗号方式の仕組み

（3）不正侵入・コンピュータウイルス対策

⚫︎ 入退出管理

⚫︎ アクセス管理、機密管理

⚫︎ ファイアウォール・コンピュータウイルスの種類と対策

（4）演習問題【セキュリティの種類と対策】

2．そのほかの情報セキュリティ対策

（1）個人情報の漏えい

（2）情報セキュリティポリシー

（3）責任と権限の明確化

（4）情報セキュリティマネジメントシステム（ISMS）

（予定時間）

演習20分

技術要素－セキュリティ

（1）個人認証技術の種類と特徴

個人認証は、システムやネットワークへのアクセスを管理するための基本的な技術です。以下の主要な技術を説明します。

⚫︎ ID、パスワード

最も一般的な認証方法。IDで個人を特定し、パスワードで本人確認を行います。ただし、パスワードの漏えいリスクや、短い・単純なパスワードの使用がセキュリティの脆弱性となりがちです。

⚫︎ コールバック

電話やメッセージを使用して本人確認を行う方法。例えば、ログイン時にワンタイムパスワードを送信し、そのパスワードを使用してログインする方法などが含まれます。二要素認証（2FA）の一部として利用されることも多いです。

⚫︎ デジタル署名

公開鍵暗号方式を利用して、データの改ざんや成りすましを防ぐ技術。電子的な書類やメールの送信者が本人であることを証明する際に使用されます。

⚫︎ 生体認証技術

指紋、顔認証、虹彩認証など、生体的な特徴を利用して個人を特定します。高いセキュリティを実現できますが、技術の精度やプライバシー問題が課題となることもあります。

（2）暗号化技術の種類と特徴

情報を保護するために、データの暗号化は重要です。主に以下の2つの暗号化方式があります。

⚫︎ 公開鍵暗号方式

暗号化と復号に異なる鍵（公開鍵と秘密鍵）を使用する方式です。公開鍵で暗号化されたデータは対応する秘密鍵でのみ復号可能であり、安全な通信に使われます。

⚫︎ 秘密鍵暗号方式

暗号化と復号に同じ鍵を使用する方式。公開鍵暗号に比べて高速で、VPNやWi-Fiのセキュリティなどに使用されますが、鍵の管理が課題となります。

（3）不正侵入・コンピュータウイルス対策

ネットワークやシステムに対する攻撃を防ぐための対策です。

⚫︎ 入退出管理

システムや施設への物理的・論理的なアクセスを制限し、許可された者のみがアクセスできるようにする対策です。カードキーや生体認証が使用されます。

⚫︎ アクセス管理、機密管理

特定の情報にアクセスできるユーザーや権限を設定し、無許可のアクセスを防ぎます。これにより、社内のデータ流出や情報漏えいを防ぎます。

⚫︎ ファイアウォール

ネットワーク間の不正な通信を防ぐための装置またはソフトウェア。パケットフィルタリングやプロキシ機能などを使用し、外部からの攻撃を防ぎます。

⚫︎ コンピュータウイルス対策

ウイルス対策ソフトウェアの導入や、定期的なアップデート、メール添付ファイルの検査など、ウイルス感染を防ぐための措置が取られます。

（4）演習問題【セキュリティの種類と対策】

実際の状況を想定したシナリオを使い、各種セキュリティ対策がどのように適用されるかを検討します。

例：新しいウェブサービスを公開する際、どのような認証・暗号化技術を導入すべきかを考察する問題。

2. そのほかの情報セキュリティ対策

（1） 個人情報の漏えい

個人情報の漏えいリスクに対する対策として、データの暗号化、アクセス権限の制限、適切なバックアップの実施が重要です。また、外部とのデータ共有には必ずセキュリティ対策を講じ、セキュアなチャネルを使用することが推奨されます。

（2） 情報セキュリティポリシー

企業や組織が、情報資産をどのように保護するかを明確に定めた規程やガイドラインを「情報セキュリティポリシー」と呼びます。これにより、従業員全員がセキュリティの重要性を理解し、一貫した対策を講じることができます。

（3） 責任と権限の明確化

セキュリティ対策においては、誰がどのような責任を持ち、どのような権限を持つのかを明確にすることが不可欠です。これにより、インシデント発生時の対応がスムーズに進行し、迅速な問題解決が可能となります。

（4） 情報セキュリティマネジメントシステム（ISMS）

ISMSは、企業や組織がセキュリティ管理をシステム的に行うためのフレームワークです。国際規格であるISO/IEC 27001に準拠して、リスクの評価、管理、改善を繰り返すことで、継続的なセキュリティ強化を図ります。

⚫︎ データやデジタル技術に対して徒に不安を感じることなく、適切に利用するためには、情報を守る仕組みを知ることが求められる。

⚫︎ 企業が用意する環境・対策に加えて、個人もセキュリティ対策を行う必要性とその方法を理解する必要がある。

✔︎  機密性

✔︎  完全性

✔︎  可用性

⚫︎ セキュリティ技術

✔︎  暗号

✔︎  ワンタイムパスワード

✔︎  ブロックチェーン

✔︎  生体認証

⚫︎ 情報セキュリティマネジメントシステム（ISMS）

⚫︎ 個人がとるべきセキュリティ対策

✔︎  IDやパスワードの管理

✔︎  アクセス権の設定

✔︎  覗き見防止

✔︎  添付ファイル付きメールへの警戒

✔︎  社外メールアドレスへの警戒

⚫︎ 機密性

情報を許可された人だけがアクセスできる状態を保つこと。例えば、パスワードや暗号化によってデータを保護します。

⚫︎ 完全性

情報が正確で、改ざんや破壊されていない状態を維持すること。例えば、ハッシュ関数を使ったデータ検証により、データの一貫性を確保します。

⚫︎ 可用性

情報やシステムに必要なときにアクセスできる状態を維持すること。例えば、サーバーの冗長化やデータバックアップにより、障害発生時も業務を継続できるようにします。

セキュリティ技術

⚫︎ 暗号

暗号は、データを「鍵」を使って別の形に変える技術です。この変えられたデータは、正しい「鍵」を持っている人だけがもとの形に戻せる仕組みです。

⚫︎ ワンタイムパスワード

一度限り有効な使い捨てのパスワード。時間制限や一回の使用で無効になるため、パスワードが盗まれても再利用されるリスクが低いです。

⚫︎ ブロックチェーン

取引データを分散型の台帳に記録する技術。ブロックチェーンは変更が困難で、データの透明性と信頼性を高めるために使用されます。

⚫︎ 生体認証

ユーザーの身体的特徴（指紋、顔、虹彩など）を使用して本人確認を行う技術。これにより、なりすましのリスクを減らします。

⚫︎ 情報セキュリティマネジメントシステム（ISMS）

組織が情報セキュリティを計画的に管理・運営するための仕組み。ISO 27001がその基準として有名で、リスクアセスメント、セキュリティ方針の策定、従業員の教育などが含まれます。

個人がとるべきセキュリティ対策

⚫︎ IDやパスワードの管理

複雑なパスワードを使用し、使い回しを避ける。パスワードマネージャーを活用することも推奨されます。

⚫︎ アクセス権の設定

必要最低限のアクセス権限を設定し、不要な権限を持たないようにする。例えば、共有フォルダへのアクセス権限を適切に管理することが重要です。

⚫︎ 覗き見防止

公共の場所で作業する際に、画面を覗かれないように注意する。プライバシーフィルターなどの物理的な対策も効果的です。

⚫︎ 添付ファイル付きメールへの警戒

信頼できない送信者からの添付ファイルは開かない。特に.exeファイルやスクリプトファイルは注意が必要です。

⚫︎ 社外メールアドレスへの警戒

社外からのメールにはフィッシングや詐欺のリスクが伴うことが多いため、注意深くメールの内容やリンクを確認することが重要です。

期間：半日〜1日（1セッションあたり30分〜1時間）

目的：基本的なセキュリティ知識を学び、実務でのリスクを軽減できるレベルにする。

研修プログラム例

1日目：セキュリティの基本

内容：セキュリティの3要素（機密性、完全性、可用性）の基本説明。

方法：簡単なプレゼンテーションと事例紹介を活用し、各自が自身の業務におけるセキュリティの問題点を考えます。

2日目：セキュリティ技術の紹介

内容：暗号化、ワンタイムパスワード、生体認証の基本説明。

方法：専門的な用語を避け、従業員が使い慣れている技術やツールを例に出すことで、日常にどう活かせるかを具体的に説明します。

3日目：個人がとるべきセキュリティ対策

内容：パスワード管理、メールの警戒、物理的なセキュリティの基本説明。

方法：従業員が今すぐできる行動に絞り、具体的な行動リストを共有します。例えば、「今日から自分のパスワードを強化する」「メールのリンクをクリックする前にURLを確認する」といった実践的な対策を提案します。

⚫︎ リスクとリターンのバランスを踏まえ、サイバーセキュリティリスクの影響を抑制するための戦略や、対策の実施体制を検討する

⚫︎ サイバーセキュリティリスク抑制のための対策の実施状況の管理や監査を行う

⚫︎ 事業実施に用いているデジタル環境で発生するサイバーセキュリティインシデントへの対応を行う

サブカテゴリ：セキュリティマネジメント

スキル項目

⚫︎ セキュリティ体制構築・運営

⚫︎ セキュリティマネジメント

⚫︎ インシデント対応と事業継続

⚫︎ プライバシー保護

セキュリティ対策を実施する体制の構築とその維持運営（要員の確保・育成を含む）を円滑に行うためのスキル、および組織としてのセキュリティカルチャーを企業内で醸成する活動を行うためのスキル

⚫︎ セキュリティマネジメント

情報、サイバー空間、OT/IoT環境などのセキュリティマネジメントのプロセスを適切に実施するためのスキル

⚫︎ インシデント対応と事業継続

各種リスク（サイバー攻撃、過失、内部不正、災害、障害など）がデジタル利活用におけるセキュリティインシデントとして顕在化した際の影響を抑制し、事業継続を可能とするためのスキル

⚫︎ プライバシー保護

パーソナルデータなどのプライバシー情報の保護に求められる要件の理解とその実践に関するスキル

Q1. セキュリティ体制を効果的に構築し、維持運営するために最も重要な要素は次のうちどれですか？

a. セキュリティ体制を継続的に見直し、必要に応じて改善するプロセスを設ける

b. セキュリティソフトウェアを定期的にアップデートする

c. IT部門の従業員だけでセキュリティ体制を構築し、他の従業員には任せない

d. 外部ベンダーにすべてのセキュリティ対策を委託する

答え：「a. セキュリティ体制を継続的に見直し、必要に応じて改善するプロセスを設ける」

解説：セキュリティ体制の構築や運営は、一度設けたら終わりではなく、常にリスクや組織の変化に応じて見直し、改善することが求められます。従業員の育成や全員が参加するセキュリティカルチャーの醸成も重要です。

セキュリティマネジメント

Q2. セキュリティマネジメントのプロセスで、最も重要な「リスクアセスメント」とは何ですか？

a. セキュリティソフトウェアの更新スケジュールを確認すること

b. 会社のセキュリティ予算を決定すること

c. 企業が直面するセキュリティリスクを評価・分析すること

d. セキュリティインシデントの発生回数を計測すること

答え：「c. 企業が直面するセキュリティリスクを評価・分析すること」

解説：リスクアセスメントは、組織の脅威や脆弱性を特定し、どのようなリスクが最も重大であるかを評価するプロセスです。

インシデント対応と事業継続

Q3. サイバー攻撃が発生した場合に、最初に行うべき対応はどれですか？

a. 影響を受けたシステムを速やかにオフラインにする

b. すぐに新しいセキュリティソフトウェアをインストールする

c. メディアにインシデントを報告する

d. インシデントの原因を調査するためのチームを編成する

答え：「a. 影響を受けたシステムを速やかにオフラインにする」

解説：サイバー攻撃を受けた場合、被害の拡大を防ぐために、まず影響を受けたシステムを隔離することが重要です。

プライバシー保護

Q4. プライバシー保護の観点から、企業が顧客の個人情報を処理する際に最も重要な点は何ですか？

a. データの物理的な保存場所を定期的に変更する

b. データ処理の目的を明確にし、顧客からの同意を得る

c. データを自動で削除するソフトウェアを購入する

d. 顧客にデータ処理の手続きを詳細に説明する

答え：「b. データ処理の目的を明確にし、顧客からの同意を得る」

解説：プライバシー保護法において、データ処理の目的を明示し、事前に顧客の同意を得ることは最も基本的かつ重要な要件です。

目標：

3ヶ月以内に、基本的なセキュリティポリシーを策定して社内に共有し、従業員全員が日常業務においてそのポリシーを実践できるようにする。

2. セキュリティマネジメント

目標：

3ヶ月以内に、主要なセキュリティリスクを把握し、それに基づいた簡単なリスク評価（例えば、データバックアップやアクセス権管理）を実施できるようにする。

3. インシデント対応と事業継続

目標：

3ヶ月以内に、インシデント発生時の基本的な対応フロー（インシデントの報告、初期対応、関係者への連絡）を整備し、従業員がそのフローに従って行動できるようにする。

4. プライバシー保護

目標：

3ヶ月以内に、顧客データや個人情報の取り扱いに関する基本的なガイドラインを策定し、従業員がデータ保護の基本的な手順を実践できるようにする。

目標：3ヶ月以内に、基本的なセキュリティポリシーを全従業員に共有し、日常業務において実践できるようにする。

第1週 – 第2週

セキュリティポリシーの作成

インターネット上で公開されている無料のセキュリティポリシーテンプレートを活用し、パスワード管理やフィッシング対策を含むシンプルなポリシーを作成します。

ツール例：NISTや中小企業向けサイバーセキュリティポリシーの無料リソースを利用。

第3週 – 第4週

社内で簡単な説明会を開催

経営者やIT担当者がリーダーとなり、30分程度の説明会を開催し、セキュリティポリシーの内容を簡単に説明します。

クイズやディスカッション形式で理解を深めます。

第5週 – 第6週

実践トレーニング

タスク： USBデバイスの管理と紙資料の処理に関する簡単な演習を実施。

内容

⚫︎ USBデバイスの管理：従業員がUSBメモリなどを使用する際、デバイスを適切に取り扱い、安全にデータを移動・管理する方法を実演。

例：外部デバイスを使う際のリスクや、使用後のデバイスの安全な保管方法を学びます。

⚫︎ 紙資料の取り扱い：紙ベースの情報管理について、重要な資料の廃棄方法（シュレッダーの使用）や、デスクの片付け（クリアデスク）の実践演習を行います。

例：印刷された重要書類をどのように処理すべきかを実際に体験させます。

第7週 – 第12週

簡単な社内チェックとフィードバック

月に1度、従業員がセキュリティポリシーを実践できているか簡単なチェックを行い、必要に応じて改善フィードバックを行います。

目標：3ヶ月以内に、主要なセキュリティリスクを把握し、簡単なリスク評価を実施できるようにする。

第1週 – 第2週

主要なリスクのリストアップ

経営者とIT担当者がリーダーとなり、事業に関連するリスク（データ漏えい、内部不正、機器故障など）をリストアップし、シンプルなリスク評価シートを作成します。

第3週 – 第4週

データバックアップの実施指導

各部門で定期的に重要データのバックアップが行われるように指導し、クラウドストレージを利用してデータ保護を強化します。

第5週 – 第6週

アクセス権限の簡単な見直し

各部門で使用しているファイルやシステムに対して、必要な人だけがアクセスできるよう、アクセス権限を見直します。特別なシステムがない場合は、共有フォルダの権限設定を調整。

第7週 – 第12週

リスク評価結果の共有

各部門が実施したリスク評価の結果を簡単な報告書としてまとめ、全体会議で共有します。大きなリスクに対する対応策を検討し、全従業員に対策を通知。

目標：3ヶ月以内に、インシデント発生時の基本的な対応フローを整備し、従業員が対応できるようにする。

第1週 – 第2週

シンプルなインシデント対応フローを作成

報告から初期対応、上司や関係部署への連絡までのシンプルなフローを作成します。例えば、チャットやメールで報告する際のフォーマットを準備。

第3週 – 第4週

インシデント対応説明会

全従業員に対して、インシデント対応フローの説明会を開催し、実際のシナリオを使って報告の練習を行います。

第5週 – 第6週

インシデント対応シミュレーション

簡単なインシデント（例えば、ウイルス感染やデータ損失）を想定したシミュレーションを実施し、従業員がフローに従って報告・対応できるかを確認します。

第7週 – 第12週

定期的なチェックと改善

週に1度、インシデントが発生した場合の報告フローをチェックし、問題がないかを確認し、必要に応じてフローを改善します。

目標：3ヶ月以内に、顧客データや個人情報の取り扱いガイドラインを策定し、従業員が実践できるようにする。

第1週 – 第2週

シンプルなガイドライン作成

法令（個人情報保護法）を参照しつつ、データの収集、保存、破棄に関する基本的な手順をガイドラインとして作成。データの最小限の収集や、不要なデータの定期的な削除方法などを明確にします。

第3週 – 第4週

従業員向けガイドラインの共有

ガイドラインを全従業員に配布し、短い説明会を通じてデータ保護の基本的な考え方を共有します。

第5週 – 第6週

データ保護の実践

従業員が日常業務の中で、顧客データの取り扱いやアクセス権の管理を実際に行えるよう指導し、定期的なデータ監査を行います。

第7週 – 第12週

フォローアップと改善

ガイドラインが遵守されているか、簡単なチェックリストを作成し、各部門で確認します。問題点があればすぐに改善策を検討し、再度周知します。