用語集

Artificial Intelligenceの略。「AI（人工知能）」という言葉は、昭和31年に米国の計算機科学研究者ジョン・マッカーシーが初めて使った言葉。昭和25年代後半から昭和35年代が第一次AIブーム、昭和55年代が第二次AIブーム、現在は平成20年代から始まる第三次AIブームである（近年の大規模言語モデルなどの登場を契機に、第4次AIブームに入ったとの見方もある）。「AI」に関する確立した定義はないが、人間の思考プロセスと同じような形で動作するプログラム、あるいは人間が知的と感じる情報処理・技術といった広い概念で理解されている。

AI Management Systemの略。AIを開発・提供・利用する組織が、AIに関わるリスクや責任を適切に管理し、信頼性・透明性・説明責任を確保するための管理の仕組み。国際規格「ISO/IEC 42001」に基づき、AIのライフサイクル全体を通じたリスク評価やガバナンス体制、継続的な改善を行い、生成AIを含むAIの責任ある活用を支援する。

Business Continuity Plan（事業継続計画）の略。企業が災害やテロ攻撃などの緊急事態に直面した際に、被害を最小限に抑え、企業の存続に関わる最も重要な事業を継続または早期復旧するための計画。

Computer Security Incid ent Response Team の略。コンピュータセキュリティにかかるインシデントに対処するための組織の総称。インシデント関連情報、脆弱性情報、攻撃予兆情報を常に収集、分析し、対応方針や手順の策定などの活動を行う。

Common Vulnerability Scoring Systemの略。情報システムの脆弱性に対するオープンで汎用的な評価手法のこと。ベンダーに依存しない共通の評価方法を提供している。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになる。ベンダー、セキュリティ専門家、管理者、ユーザーなどの間で、脆弱性に関して共通の言葉で議論できるようになる。

Distributed Denial of Service Attackの略。攻撃者が複数のコンピュータを操作し、標的となるコンピュータに対して同時に大量の問い合わせを送ることで、過剰な負荷をかけてサービスを利用できなくする攻撃手法。

Data Free Flow with Trustの略。日本が提案したコン セプトであり、ビジネスや社会的な課題を解決するために、データの国際的な自由な流れを促進すると同時に、プライバシー、セキュリティ、知的財産権に対する信頼を確保することを目指している。

Endpoint Detection and Response の略。パソコンやスマホ、サーバーなどのエンドポイントにおける不審な動作を検知し、迅速な対応を支援するソリューション。従来のツールやソリューションでは防げなかった未知のマルウェアや不正アクセスを検知し被害の拡大を防止する。

General Data Protection Regulationの略。欧州連合（EU）における個人データ保護とプライバシーを目的とした一般データ保護規則。個人データの取得・利用・保存・移転に関する厳格なルールを定めており、EU域内外を問わず、EU居住者の個人データを取り扱う組織に適用される。生成AIを含むデータ活用においても、適切なデータ管理とプライバシー保護を求める国際的に重要な規制である。

平成29年4月にIPA内に設置された産業サイバーセキュリティセンター（Industrial Cyber Security Center of Excellence, ICSCoE）が実施している人材育成プログラム。制御技術（OT：Operational Technology）と情報技術（IT）の両方の知識・スキルを有し、社会インフラ・産業基盤へのサイバーセキュリティリスクに対応できる人材の育成を目的としている。

Information and Comm unication Technologyの略。 IT（情報技術）に加えて、コンピュータやスマホなどを用いて行うコミュニケーションを実現する技術（通信技術）を含んでいる。

Intrusion Detection Systemの略。不正アクセスや異常な通信を検知して管理者に通知するシステムのこと。IPSと異なり、不正アクセスや異常な通信をブロックする機能はない。

Internet of Thingsの略。日本語では「モノのインターネット」。インターネットにコンピュータやセンサー、カメラ、産業機械、家電などさまざまな「モノ」が接続され、データを収集したり、相互に情報をやり取りしたりする概念や仕組み、技術のこと。

Intrusion Prevention Sys tem（不正侵入防止システム）の略で、ネットワークやサーバーへの不正アクセスをリアルタイムで検知し、遮断するセキュリティシステム。ネットワーク型とホスト型がある。

コンピュータをネットワークで接続するために、それぞれのコンピュータに割り振られた一意の数字の組み合わせのこと。IPアドレスは、127.0.0.1 のように0～255 までの数字を4つ組み合わせたもので、単にアドレスと略されることがある。 現在主に使用されているこれらの4つの数字の組み合わせによるアドレス体系は、IPv4（アイ・ピー・ブイフォー）と呼ばれている。また、今後情報家電などで大量にIPアドレスが消費される時代に備えて、次期規格として、IPv6（アイ・ピー・ブイシックス）と呼ばれるアドレス体系への移行が進みつつある。なお、IPv6では、アドレス空間の増加に加えて、情報セキュリティ機能の追加などの改良も加えられている。

Incident Response Plan：インシデント対応計画の略。サイバー攻撃や情報漏洩などのセキュリティインシデントが発生した際に、被害を最小限に抑え、迅速な復旧と再発防止を図るための文書化された計画。誰が・何を・どの順序で・どのように対応するかを明確に定め、組織が混乱なく行動できるようにすることを目的とする。企業や組織にとって不可欠な文書であり、事前の準備と定期的な見直しが重要とされる。

Information Sharing and Analysis Centerの略。業界内での情報共有・連携を図る組織のこと。国内では、金融や交通、電力、ICTなどの分野にISACがある。ICT-ISACでは、ICT分野の情報セキュリティに関する情報（インシデント情報を含む。）の収集・調査・分析を行っている。

Information Security Ma nagement System の略称。情報セキュリティを確保するための、組織的、人的、運用的、物理的、技術的、法令的なセキュリティ対策を含む、経営者を頂点とした総合的で組織的な取り組み。組織が ISMS を構築するための要求事項をまとめた国際規格が ISO/IEC 2 7001（国内規格は JIS Q 27001）であり、審査機関の審査に合格すると「ISMS 認証」を取得できる。

個人や企業などに対してインターネットに接続するためのサービスを提供する事業者のこと。ユーザーはISPと契約し、回線を用いてISPが運営するネットワークに接続することで、インターネット上のサーバーなどへアクセスできる。

IT Business Continuity Planの略。企業の事業継続計画（BCP）の一部として策定する、災害やサイバー攻撃、システム障害などによってITシステムが停止した場合でも、業務を継続・早期復旧できるようにするための計画。企業の重要な情報資産やシステムの保護、損失の最小化を目的とし、復旧目標（RTO/RPO）や代替手段、バックアップ、システムの冗長化、クラウド活用などの対策が含まれる。ITへの依存度が高まる現代において、定期的な見直しと訓練を通じて実効性を高めることが求められる。

コンピュータやインターネットをはじめとする情報技術（IT）を適切に活用する基礎的な知識や技能。

日本におけるセキュリティインシデントなどの報告の受付け、対応の支援、発生状況の把握、手口の分析、再発防止のための対策の検討や助言などを、技術的な立場から行っている組織。政府機関や企業などから独立した中立の組織として、日本における情報セキュリティ対策活動の向上に積極的に取り組んでいる。

Japan Vulnerability Notesの略。日本で使用されているソフトウェアなどの脆弱性関連情報と対策情報を提供する、脆弱性対策情報ポータルサイトのこと。

Key Performance Indicatorの略。目標・戦略を実現するために設定した具体的な業務プロセスをモニタリングするために設定される指標（業績評価指標：Performance Indicators）のうち、特に重要なもの。

Media Access Control addressの略。隣接する機器同士の通信を実現するためのアドレスのこと。ネットワーク機器やPC、ルーターなどについている固有の識別番号で、一般的に12桁の16進数で「00-00-00-XX-XX-XX」などと表される。

Mean Time To Recoveryの略。システム障害の発生からサービスが正常に復旧するまでの平均所要時間を示す指標。復旧速度や運用体制の成熟度を測る際に用いられ、数値が低いほどシステムの信頼性や可用性が高いと評価される。

National Cybersecurity Office（NCO）の略。国家サイバー統括室の略称。2025年5月に成立したサイバー対処能力強化法および同整備法を受け、内閣サイバーセキュリティーセンター（NISC）を改組し、同年7月1日に内閣官房に設置された。サイバーセキュリティ戦略本部の事務局として、行政機関の情報システムに対する不正活動の監視・分析、助言や情報提供、監査等を行うとともに、サイバーセキュリティ確保に関する総合調整の役割を担う。

米国政府機関の重要インフラの運用者を対象として誕生し、防御に留まらず、検知・対応・復旧といった、インシデント対応が含まれている、日本においても、今後普及が見込まれる。

Network Time Protocolの略。あらゆる機器の時刻情報を同期するためのプロトコル（通信規約）のこと。時刻情報を配信するサーバーと、時刻合わせを行うクライアント間、およびサーバー間の通信方法を定めている。

Personally Identifiable Inf ormationの略。「個人を特定できる情報」と訳されることが多いが、実際には個人を特定するために使用される情報のこと。個人と１対１に紐づいているマイナンバー、メールアドレス、携帯電話番号、銀行口座番号に加えて、使命、生年月日、住所、勤務先などの情報もPIIに含まれる。

Project Management Officeの略。プロジェクトの進捗管理やタスク管理などを行う組織のこと。プロジェクト管理を行うチームや担当者を指す。例えば、プロジェクト管理を行うチームは、情報システム部門の担当者に加え、実務部門の担当者、調達担当者、業務委託先が決定した後はその担当者も含めた体制で構成する。

Project Management Officeの略。（企業組織やプロジェクト規模によっては、Program Management Office、Portfolio Management Officeとも呼ばれる。）組織全体のプロジェクトを横断的に管理する体制を指す。政府ガイドラインでのPMOは、府省全体の管理となっているが、一般企業においては、企業全体のプロジェクトの管理と読み替えられる。PJMOが個々のプロジェクト計画を定めるのに対し、PMOは全プロジェクトについて、横断的に管理・支援を行う。（例：計画、予算、執行管理、PJMO支援など）

Request For Informationの略。情報提供依頼のこと。発注者が依頼をする候補となるシステム開発会社に対して、技術情報や製品情報の提供を依頼すること。

Recovery Point Objectiveの略。システム障害やサイバー攻撃などのインシデント発生時に、どの時点までのデータを復旧対象とするかを定める指標。インシデント発生前のどれだけのデータ損失を許容できるかを示し、バックアップの頻度や保管方法、データ保全の厳格さを決める基準となる。適切なRPOの設定により、データ損失の影響を最小限に抑え、迅速な復旧と事業継続を支えるための重要な指標として、サイバーレジリエンスの領域でも重視されている。

システム障害やサイバー攻撃などのインシデント発生後、業務やサービスを再開するまでに許容される最大の停止時間を定める指標。復旧に必要な時間の上限を示し、システム構成、復旧手順、代替手段の設計における重要な基準となる。 適切なRTOの設定により、業務への影響を最小限に抑え、迅速なサービス復旧と事業継続を実現する。RPO（Recovery Point Objective）と併せて、可用性やサイバーレジリエンスを評価する際の重要な指標とされる。

Secure Access Service Edgeの略。令和元年に提唱したゼロトラストセキュリティを実現する方法の 1 つで、IT環境のネットワークの機能とセキュリティの機能をクラウドサービス上で統合して提供するサービス、また、その考え方・概念。

Software-Defined Perim eter の略。ゼロトラストを実現するための仕組みで、すべての通信をチェックおよび認証する。VPN は、ネットワーク接続前に一度だけ認証を行うのに対し、SDP は、ユーザーの情報（デバイス、場所、OS など）など複数の要素からネットワーク接続前、接続中、接続後で検証と認証を行う。

中小企業自らが、情報セキュリティ対策に取り組むことを自己宣言する制度。

Service Level Agreementの略。サービス提供者と利用者の間で結ばれるサービスの品質に関して合意する契約のこと。サービスを提供する事業者が利用者に対して、どの程度の品質を保証できるのかを明示したもの。

日本が目指すべき未来社会 の姿として、2016年に閣議決定された「第5期科学技術基本計画」において内閣府が提唱した概念。サイバー空間（仮想空間）とフィジカル空間（現実空間）を高度に融合させたシステムにより、経済発展と社会的課題の解決を両立する、人間中心の社会（Society）で、狩猟社会、農業社会、工業社会、情報社会の次にくる社会として位置づけられている。

WebサーバーとWebブラウザとの通信において、データを暗号化して送受信する仕組みのこと。これにより、通信の途中で情報の盗聴・改ざんや、なりすましを防ぐことができる。過去にはSSLが使われていたが、脆弱性が発見されたため、TLS（v.1.2以降）への移行が進んでおり、今ではSSLは使われなくなってきている。しかし、歴史的経緯でSSLの用語が広く普及しているため、本テキストでは「SSL/TLS」と表記しています。

Secure Web Gateway の略。社内と社外のネットワーク境界で通信を中継する役割を持っている。また、やり取りしているデータを分析し、悪意のあるデータを遮断することでセキュアな通信環境を実現。

Virtual Private Networkの略。インターネット上で安全性の高い通信を実現するための手法。通信データを暗号化し、送信元から送信先までの通信を保護することで、盗聴やデータの改ざんを防ぐ。VPNを使用することで、ユーザーは物理的に独立した専用線で通信しているかのような安全な通信を行うことができる。

Web Application Firewallの略で、「Webアプリケーションの脆弱性を悪用した攻撃」からWebサイトを保護するセキュリティ対策。Webサーバーの前段に設置して通信を解析・検査し、攻撃と判断した通信を遮断することで、Webサイトを保護する。

Wide Area Networkの略。広義には、広い地域をカバーするネットワークのことで、インターネットとほぼ同義の言葉として使われる。一方、狭義には、物理的に離れた場所にあるLAN（オフィスのフロアや建物内など狭いエリアで構築されたネットワーク）同士を接するネットワークを指し、特定のユーザーしかアクセスできない。このプライベートなWANを構築する場合には、通信事業者に依頼する必要がある。

組織や個人が、自らの行動や意思決定、その結果について、関係者に対して説明し、責任を果たすこと。

特定のデータやファイル、コンピュータ、ネットワークにアクセスできるユーザーを制限する機能のこと。

システムや運用環境などを客観的に調査・評価すること。現在の利用状況を把握することで、システムの再構築や運用改善の参考情報となる。

AIが入力データを処理し、判断や予測、出力を行うための計算手順やルールの集合。

データの内容を変換し、第三者には、内容を見ても解読できないようにすること。

新しい技術や仕組み、価値を創出し、社会やビジネスに変化をもたらすこと。

コンピュータシステムに起こった出来事や、行われた操作などを時系列に記録したデータのこと。

インターネットを利用して 銀行との取引を行うサービスのこと。銀行の窓口や ATM に出向かなくても、スマホやパソコンなどを使って、いつでも利用可能な時間帯に振り込みや残高照会などの取引を行うことができる。

セキュリティソフトウェア がマルウェアを検出するための定義情報が入ったファイル。実世界でいえば顔写真つきの手配書のようなもの。

個人、組織、団体、コンピュータシステム、通信機器など、多様な実体のこと。

ネットワークに接続して、ネットワークを介して情報を交換するデバイス（デスクトップコンピュータ、仮想マシン、サーバーなど）

企業や組織が自社の技術や知見にとどまらず、大学・研究機関・他企業・スタートアップなど外部の知識や人材、アイデアを積極的に活用して、新たな価値を創出する考え方。生成AIやAIマネジメントの分野では、外部技術やサービスとの連携によりイノベーションを推進しつつ、リスクや責任を適切に管理することが重要とされる。

文書や記録などのすべてまたは一部に対して、無断で修正・変更を加えること。IT 分野においては、権限を持たない者が管理者に無断でコンピュータにアクセスし、データの書き換え・作成・削除などをする行為。

組織が目標を達成するために、方針やルールを定め、意思決定や行動を適切に統制・管理する仕組みや体制。生成AIやAIマネジメントの分野では、リスク管理や責任の明確化、法令・倫理への対応を通じて、AIを適切かつ信頼性のある形で活用するための重要な考え方とされている。

許可された者だけが必要な時にいつでも情報や情報資産にアクセスできる特性。

参照する情報が改ざんされていなく、正確である特性。

許可された者だけが情報や情報資産にアクセスできる特性。

サイバー攻撃などの脅威への対応を支援することを目的として、収集・分析・蓄積された情報のこと。一部の産業では、企業横断的にこうした情報（インテリジェンス）を共有する活動が行われている。

組織に対して、製品・サービスを供給する企業または個人のこと。製品の場合、PCやサーバー、通信機器などがある。サービスの場合、クラウドサービス、インターネット接続サービス、業務の委託、物流、教育などがある。

悪意を持って情報システムに侵入し、データの改ざん・機密情報の盗み出し・サーバー攻撃・情報システムの破壊などを行うこと。

すでにインストールされているOSを削除した上で、新しくOSを再インストールする方法のこと。記憶領域にあるデータはすべて消去されるので、データはバックアップから復元する必要がある。

不正競争防止法で次のように定義されている。「業として特定の者に提供する情報として電磁的方法（電子的方法、磁気的方法その人の知覚によっては認識することができない方法をいう。次項において同じ。）により相当量蓄積され、および管理されている技術上または営業上の情報（秘密として管理されているものを除く。）をいう。

プログラミング言語でソースコードを書くこと。

International Electrotechnical Commissionの略。 電気・電子技術分野の国際規格を策定する非政府組織で、電力、電子機器、情報通信技術（ICT）などにおける安全性や互換性を確保する基準を提供している。 ISOと連携して情報技術分野の標準化も進めており、AIマネジメントシステムに関する国際規格「ISO/IEC 42001」は、両機関の合同専門委員会（JTC1）により策定された。

International Organization for Standardizationの略。スイス・ジュネーブに本部を置く、国際的な標準化を推進する非政府組織。製品やサービス、マネジメントシステムの品質・安全性・効率性を確保するための国際規格を策定しており、品質管理（ISO 9001）、情報セキュリティ（ISO/IEC 27001）、AIマネジメント（ISO/IEC 42001）などが広く利用されている。これらの規格は、生成AIを含む企業活動の信頼性向上や経営管理の高度化、取引先・社会からの信頼確保に寄与する共通の枠組みを提供する。

方針や目標の実現に向けて、責任を持って関与し、継続的に取り組む姿勢や意思を指す。

AIマネジメントシステムの構築・運用に影響を与える、組織の内部および外部の状況、利害関係者の期待などの背景要因。

法令や規則、業界ガイドライン、社内ルールなどを遵守すること。生成AIやAIマネジメントの分野では、個人情報保護、知的財産、AI規制、倫理原則などへの適合が求められ、リスク低減や社会的信頼の確保において重要な要素とされる。

個人情報の有用性を考慮し ながらも、個人の権利や利益を保護するために、個人情報の適切な取扱いを確保することを任務とする、独立性の高い行政機関（組織的には内閣府の外局）。個人情報保護法およびマイナンバー法に基づき、個人情報の保護に関する基本方針の策定・推進や個人情報などの取扱いに関する監視・監督、認定個人情報保護団体に関する事務などの業務を行っている。

プログラミング言語で書かれたプログラムを機械語に変換する作業

インターネットを通じて、別の企業や組織、国家を攻撃する行為の総称。対象は、個人が所有するパソコンやスマホから、企業のサーバーやデータベース、国の重要インフラまでさまざまである。ネット社会となった現代では、インターネット空間をサイバー空間と呼ぶ。サイバー空間において、敵対する国家、企業、集団、個人などを攻撃する行為やその防御をサイバー戦争と呼ぶこともある。

「サイバーセキュリティお助け隊サービス」は、中小企業のセキュリティ対策に不可欠な各種サービスをワンパッケージにまとめた、民間事業者による安価なサービス。IPAにおいて中小企業向けセキュリティサービスが満たすべき基準を設定しており、同基準を充足するサービスに「お助け隊マーク」を付与し、同サービスの普及促進活動を行っている。

組織や企業がセキュリティ に関する目標を達成するための計画やアプローチ。

単純なサイバー空間（仮想空間）におけるセキュリティ対策から、サイバー空間とフィジカル空間（現実空間）のそれぞれにおけるリスクを洗い出し、そのセキュリティ対策を整理するためのフレームワーク。

サイバー攻撃やシステム障害が発生しても、業務の継続性を維持しながら影響を最小限に抑え、迅速に回復・適応できる能力を指す。従来の「防御中心」のサイバーセキュリティに対し、攻撃を受けることを前提に「備える・耐える・回復する・適応する」といった一連の対応力を含む概念であり、組織の事業継続性と信頼性を高めるための重要な要素として NIST CSF2.0でも位置づけられている。

サイロ化とは、組織やシステムが部署や部門ごとに分断され、情報やデータ、意思決定が十分に共有・連携されない状態を指す。その結果、全体最適が図れず、リスク管理や業務効率、意思決定の質が低下する要因となる。

製品やサービスの供給に関わる一連のプロセスのこと。具体的には、原材料や部品の 調達、生産、物流、販売など、製品やサービスが最終的に消費者に届くまでの流れを指す。サプライチェーンは、製造業者、卸売業者、小売業者などが協力して構築される。

情報システムを運用する施設の稼動に不可欠な設備やライフライン、公共インフラのこと。ISO/IEC 27002:2022では、サポートユーティリティの例として、電気、通信サービス、給水、ガス、下水、換気、空調を挙げている。

ハードディスクに強力な磁気を照射することで、ハードディスク内の磁気記録領域に記録されている情報を破壊する装置のこと。短時間で効率よく、大量のハードディスクのデータを完全に消去できる。

一人のユーザーが目的を達成するための道のり（プロセス）を表に表したもの。カスタマージャーニーマップともいう。

従業員が業務に使用するIT機器やサービスのうち、企業が把握していないものを指す。具体的には、普段プライベートで使用しているオンラインストレージといったクラウドサービス、個人所有のデバイスなどで、組織の許可なく業務に利用しているもの。

外部ネットワークや社内環境から、機密性の高いサーバーや重要なシステムへ安全にアクセスするための中継点となる専用サーバー。別名「踏み台サーバー」とも呼ばれ、直接の接続を制限し、ジャンプサーバー経由に限定することで、アクセス経路の統制、認証強化、操作ログの一元管理が可能となる。 不正アクセスや内部不正のリスクを低減できるため、セキュリティ向上やゼロトラストの観点から、重要システムの管理運用において広く採用されている。

企業や組織などが所有している情報全般のこと。情報資産には顧客情報や販売情報などの情報自体に加え、ファイルやデータベースといったデータ、CD-ROMやUSBメモリなどの記録メディア、紙媒体の資料も含まれる。

情報セキュリティ上よくない、システムやサービス、ネットワークの状態のこと。情報セキュリティ事象の中でも、事業運営を危うくしたり、情報セキュリティを脅かしたりする可能性が高いものは、セキュリティインシデントに分類される。

情報セキュリティの3つの要素、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の頭文字をとって「CIA」と呼ぶ。

情報セキュリティマネジメントの付加的な要素で、利用者、プロセス、システム、情報などが、主張どおりであることを確実にする特性のこと。真正性を低下させる例としては、なりすまし行為などがある。

システムが実行する処理に欠陥や不具合がなく、想定した通りの処理が実行される特性。

離席時にPCの画面の内容を盗み見されることを防ぐ機能のこと。PCに対して一定時間ユーザーによる操作がなかった場合、自動的にアニメーションや写真などを表示し、作業中の情報を見せないようにする。

デバイスの誤動作や勝手に操作されることを防ぐための機能。スクリーンロック画面になっている時は、パスワードやロックパターンの入力、指紋や顔の認証をしなければ解除することができない。

組織の活動や意思決定、システムの導入・運用によって影響を受ける、または影響を与える利害関係者のこと。

情報システム（ハードウェア、ソフトウェア、ネットワークなどを含む）におけるセキュリティ上の欠陥のこと。

システムや機器などにおいて、セキュリティ上の欠陥がないか診断すること。

情報資産に対する参照や変更などの操作を、どのユーザーが行ったものかを確認することができる特性。

セキュリティの事故・出来事のこと。単に「インシデント」とも呼ばれる。例えば、情報の漏えいや改ざん、破壊・消失、情報システムの機能停止またはこれらにつながる可能性のある事象などがインシデントに該当。

情報セキュリティに関する高度な技術と倫理に関する講習・演習を行う合宿。審査に通過した 22 歳以下の学生・生徒が対象。次代を担う情報セキュリティ人材を発掘・育成するために、情報処理推進機構（IPA）と（一財）セキュリティ・キャンプ協議会が実施している。

情報システムにおけるセキュリティ上の欠陥のこと。「脆弱性」とほぼ同義であるが、セキュリティホールは、ソフトウェアの設計上のミスやプログラムの不具合によって発生するセキュリティ上の脆弱性のみを指す場合がある。

企業や組織において実施す るセキュリティ対策の方針や行動指針のこと。社内規定といった組織全体のルールから、どのような情報資産をどのような脅威からどのように守るのかといった基本的な考え方、情報セキュリティを確保するためのセキュリティ管理体制、運用規定、基本方針、対策基準などを具体的に記載することが一般的。

OS やソフトウェアに存在する脆弱性が公開された後、修正プログラムや回避策がベンダーから提供されるまでの間に、その脆弱性を悪用して行われるサイバー攻撃のこと。

従来の「社内を信用できる領域、社外を信用できない領域」という考え方とは異なり、社内外を問わず、すべてのネットワーク通信を信用できない領域として扱い、すべての通信を検知し認証するという新しいセキュリティの考え方。

プログラムにおいてよく利用される機能を切り出し、再利用しやすいようにまとめたもので、プログラム作成のための部品のこと。ライブラリを利用することで、1から作る必要がなくなり、効率的に開発を行うことができる。

問題や課題を解決するための具体的な解決策や手段を指す。ある特定の課題やニーズに対して提供される解決方法やアプローチのことを指すことが一般的で、ビジネスシーンにおけるソリューションの意味とは「顧客が抱える問題や課題を解決すること」。

状況や環境の変化に応じて、柔軟かつ迅速に対応し、継続的に調整・改善される性質や状態を指す。AIマネジメントの文脈では、技術の進化や社会的要請、リスクの変化に応じて、リスク管理とイノベーションのバランスを固定的にせず、継続的に見直し・改善を行う姿勢を表す際に用いられる。

AIシステムの動作や出力結果を可視化し、性能や公平性、バイアスの有無などを評価・監視するためのツール。AIマネジメントでは、透明性や説明責任を確保する手段として、ダッシュボードの活用が推奨されている。

多様性とは、年齢、性別、国籍、文化、価値観、能力など、人々が持つさまざまな違いが尊重される状態を指す。AIの分野では、特定の属性や集団に偏らない設計や判断を行うことで、差別や不公平な扱いといったリスクを低減するための重要な考え方とされる。

多要素認証は、サービス利用時において利用者の認証を行うために、3つの要素（①利用者だけが知っている情報②利用者の所有物③利用者の生体情報）のうち、少なくとも2つ以上の要素を組み合わせて認証する安全性が高い認証方法。例えば、利用者が知っている情報としてはパスワード、利用者の所有物としては、スマートフォンの電話番号を用いたメッセージ認証、利用者の生体情報としては指紋認証や顔認識などがある。また、近年ではFIDO2と呼ばれる、デバイスを使用したパスキーによる認証により、パスワードレスでの認証が広まっている。

技術や制度、ルールなどが環境の変化や進歩に追いつけず、価値や有効性を失ってしまうこと。

数学、統計、人工知能などの技術を用いて、大量のデータを解析し、ビジネスに有益な知見を抽出すること。

個人情報や機密情報が含まれるデータを扱う際に、特定の部位のみを無意味な符号（アスタリスク「※」など）に置き換える処理のこと。もとのデータの一部を秘匿化し、個人や機密情報を識別できないようにすることで、データ分析やテストデータなどに利用可能とする。

紙などで管理されてきた情報（非デジタル情報）をデジタル化するデジタイゼーション（digitization）と、デジタル技術を用いてビジネスプロセスを自動化・合理化するデジタライゼーション（digitalization）がある。音楽ビジネスでいえば、アナログ記録のレコードを CD（コンパクトディスク）にすることがデジタイゼーション、音楽をダウンロード販売することがデジタライゼーションである。

0、1、2 のような離散的に（数値として）変化する量。

実行ファイルをサーバー上に配置することで、ユーザーが利用できるようにすること。

ドキュメンテーションとは、AIシステムの設計・開発・運用に関する情報や判断の根拠、プロセスを文書として整理・記録・管理すること。アカウンタビリティ（説明責任）を果たすための基盤となり、トレーサビリティの確保やステークホルダーへの説明、リスク対応の透明性向上に不可欠とされる。十分なドキュメンテーションが行われていない場合、責任の所在が不明確となり、信頼性や法的対応力の低下につながるおそれがある。

組織を指揮・統制し、最終的な意思決定責任を持つ経営層を指す。AIマネジメントにおいては、AIガバナンスの方針決定や資源配分を通じて、AIの活用を事業戦略やリスク管理と整合させる重要な役割を担う。

通信回線やネットワーク上で送受信される信号やデータのことやその量や密度のことを表す。もともとは交通量、通行量などの意味を持つ英単語である。

AIシステムの設計・開発・運用における判断や処理の過程を追跡・記録し、後から確認・説明できるようにする仕組み。アカウンタビリティ（説明責任）を支える要素の一つであり、AIの意思決定プロセスやデータの流れを可視化・文書化することで、責任の所在を明確にし、信頼性や法的対応力を高める役割を果たす。

AIモデルを学習させるために使用されるデータのこと。AIの性能や公平性に大きな影響を与えるため、正確性、完全性、代表性、偏りの有無などを確認し、品質を適切に管理することが求められる。

組織内部の独立した部門が、組織の業務が適切かつ効率的に行われているかを評価し、改善を促す活動。不正行為の防止や業務効率の向上、経営目標の達成を支援することを目的とする。

AIの学習データや設計、運用上の要因により、特定の属性や条件に対して偏った判断や結果が生じること。生成AIにおいては、不公平な扱い、差別的な出力、誤った意思決定につながるリスクがあり、法的・倫理的な問題を引き起こす可能性がある。そのため、AIガバナンスやAIマネジメントにおいては、バイアスを重要なリスクの一つとして把握し、継続的に管理・低減することが求められる。

High Level Structureの略。ISOが策定した、すべてのマネジメントシステム規格に共通する構造と基本要素の枠組み。規格間の整合性を高め、品質（ISO 9001）、情報セキュリティ（ISO/IEC 27001）、AIマネジメント（ISO/IEC 42001）など、複数のISO規格を効率的に統合・運用できるよう設計されている。 組織が一貫した方針とプロセスでマネジメントを行うための基盤となっている。

データセンターのラック（サーバーを収容する鍵のついた棚）とサーバーに接続する回線や電源を貸し出すサービスのこと。自社が所有しているサーバーを、物理的にセキュリティが強固なデータセンターに設置し、運用できるため、セキュリティを強化できるメリットがある。

災害など不測の事態によって業務やシステムが停止した場合に、会社の事業に与える影響度を評価すること。BCP（事業継続計画）を立てる上で実行する必要がある。

攻撃者がビジネス用のメールを装い、企業の担当者を騙して、不正送金や機密情報の流出などの原因となる攻撃。BEC（ベック）Business Email Compromise とも略される。

全体を把握することが困難な程膨大な規模のデータ群。

システムに対する操作・通信のログを取得したり、本人に認証させたりすることにより行動を否認させないようにする特性。

機密情報を盗み取ることなどを目的として、特定の個人や組織を狙った攻撃。業務関連のメールを装ったウイルス付きメール（標的型攻撃メール）を、組織の担当者に送付する手口が知られている。従来は府省庁や大手企業が中心に狙われてきたが、最近では地方公共団体や中小企業もそのターゲットとなっている。

特定の個人や組織を標的にしたフィッシング攻撃の一種。一般のフィッシング攻撃とは異なり、業界ニュースや社内情報といった情報を利用するため、業務上のメールと見分けがつかない内容や、業務で付き合いがある人物の名前で送られることもある。

本来は「防火壁」のことだが、情報セキュリティの世界では、外部のネットワークからの攻撃や不正なアクセスから企業や組織のネットワークやコンピュータ、データなどを守るためのソフトウェアやハード ウェアを指す。パソコンの OSに付随しているもの、セキュリティソフトウェアに付いているもの、専用のハードウェアになっているものなど形態はさまざまである。

複数の利用者によるネットワークでのファイルのやり取りを可能にしたソフトウェアのこと。不特定多数でファイルを共有するソフトは、自動的にファイルを送受信する仕組みであるため、ウイルスの感染によって、公開したくないファイルがインターネットに流出するトラブルなどが多く発生している。不特定多数でファイルを共有するファイル共有ソフトは、使用を禁止する必要がある。

実在する企業や組織、人物を装い、受信者に偽のリンクや添付ファイルを開かせることで、個人情報や認証情報を不正に取得しようとする詐欺メール。報漏えいやマルウェア感染を引き起こすおそれがあり、サイバーセキュリティ上の代表的な脅威の一つとされる。近年では生成AIの活用により、文法的に自然で本物そっくりのメールが自動生成されるなど、従来の対策では見抜くことが難しくなっている。

犯罪捜査における分析や鑑識を意味する言葉。サイバーセキュリティの分野で使われる「フォレンジック」とは、セキュリティ事故が起きた際に、端末やネットワーク内の情報を収集し、被害状況の解明や犯罪捜査に必要な法的証拠を明らかにする取組を指す。「デジタル・フォレンジック」や「コンピュータ・フォレンジック」などと呼ばれる。

将来の結果や影響を事前に正確に予測・把握することが難しい状態を指す。

利用権限を持たない悪意のあるユーザーが、企業や組織で管理されている情報システムやサービスに不正にアクセスすること。不正アクセスにより、正規の個人情報の窃取やデータの改ざんや破壊などの危険がある。日本では、平成12年2 月に施行された不正アクセス行為の禁止などに関する法律（不正アクセス禁止法）により、法律で固く禁じられている。

不正侵入の中継地点として 利用されるコンピュータのこと。他人のコンピュータに侵入する時に、直接自分のコンピュータから接続すると、接続元の IP アドレスによって、犯人が特定されてしまう可能性がある。そこで、いくつかのコンピュータを経由してから、目的のコンピュータに接続することで、犯人が自分のコンピュータを探しにくくする。このように、現実的な被害はないけれども、不正侵入の中継地点としてのみ利用されるコンピュータのことを踏み台と呼ぶ。

個人の意思に反して、個人情報や私的な情報が不適切に取得・利用・公開されること。

フレームワーク（サイバー セキュリティフレームワーク）とは、マルウェアやサイバー攻撃などさまざまなセキュリティ上の脅威から、情報システムやデータを守るために、システム上の仕組みや人的な体制の整備を整える方法を「ひな型」としてまとめたもの。

クライアントとサーバーの中間で、両者の通信を中継する役割を担うサーバーのこと。プロキシは、クライアントからのリクエストやサーバーからの応答をすべて把握することが可能なため、詳細な通信内容をログとして記録したり、Webサーバーから送られてきたコンテンツをチェックし、不正なコードやマルウェアが含まれていないかをチェックしたりできる。

複数のコンピュータを使用し、分散的にデータをブロック単位にまとめて鎖（チェーン）のように記録するオープンな分散型台帳。ビットコインなどの暗号資産に使われている仕組み。

プロファイリングとは、個人の行動履歴や属性データなどをもとに、傾向や特徴を自動的に分析・分類する手法。AIによるプロファイリングは、利便性の向上やサービスの最適化に活用される一方、本人の知らないうちに判断が下されることで、人間の尊厳や個人の自立を損なうリスクがある。そのため「人間中心のAI社会原則」では、プロファイリングに対する配慮の重要性が示されている。

何かを行う方法や工程、その実践例の中で、ある基準に従って最も優れていると評価されたもののこと。実績や経験に基づいて確立された成功例や良い成果をもたらす方法論。

ネットワークに接続されたシステムの安全性を検証するテスト手法。すでに知られているサイバー攻撃手法を使って実際にシステムに侵入や攻撃を試みることで攻撃耐性を確認する。

ネットワークに接続されたシステムの安全性を検証するテスト手法。すでに知られているサイバー攻撃手法を使って実際にシステムに侵入や攻撃を試みることで攻撃耐性を確認する。

ソフトウェアの機能改修やバージョンアップ、ハードウェアのメンテナンスなど、情報システムを使い続けるために必要な作業を、それを導入した事業者以外が実施することができないために、特定の事業者（ベンダー）を利用し続けなくてはならない状態のこと。

年齢、性別、障がいの有無、文化的・社会的背景などにかかわらず、すべての人が平等に参加し、恩恵を受けられるようにする考え方。AIの設計や運用においては、特定の集団が排除されたり不利益を被ったりしないよう、意図的に配慮された仕組みづくりが求められる。

パソコンやスマホなどのデバイスやサービス、ネットワークに害を与えたり、悪用したりすることを目的として作成された悪意のあるソフトウェアの総称。コンピュータウイルスやワームなどが含まれる。

OSとアプリケーションの中間に位置するソフトウェアのこと。アプリケーションが業務に関する処理を行う際、データベースやサーバーのやり取りをミドルウェアが担うことで複雑な処理を行うことができる。

LANはLocal Area Network の略。物理的なケーブルを使わず、電波を利用してネットワークに接続する仕組み。この無線LANを通じて、コンピュータはインターネットなどのネットワークにアクセスすることができる。

UPSとも呼ばれる。停電が起きてしまったときに電気を一定時間供給し続けるための装置のこと。パソコンやハードディスク、サーバーなどを予期せぬ停電から守れる。

コンピュータで、システムの運用を支援するプログラムのこと。具体的には、記憶媒体間のデータ転送、ファイルの複写・削除・整理などの処理を行うためのプログラムのこと。システムおよびアプリケーションによる制御を無効にすることのできるものもある。

悪意のあるマルウェアの一種。パソコンなどのファイルを暗号化し利用不可能な状態とし、解除と引き換えに被害者から身代金（ransom）を要求する。

技術や環境の変化に対応するために、新たな知識やスキルを習得し直すこと。AIの活用が進む中では、生成AIを含む新しい技術を理解・活用できる人材を育成するため、教育や研修を通じた継続的なリスキリングが重要とされる。

組織に存在するリスクを認識し、リスクの大きさの評価を行い、そのリスクが許容できるかどうかを決定するプロセスを指す。リスク対応を行うときの優先度の根拠となるリスクレベルを決定する活動である。

組織やプロジェクトにおけ る特定されたリスクに対して、重要度や影響度を評価するプロセス。

組織やシステムが直面するリスクの種類、発生可能性、影響度などを整理し、全体像として把握したもの。生成AIやAIマネジメントの分野では、技術的リスクに加え、法令・倫理・社会的影響なども含めて評価し、リスク対応の優先順位付けや管理方針の策定に活用される。

想定されるリスクの大きさや影響度、発生可能性に応じて、対策や管理の優先順位を決める考え方。AIマネジメントや国際規格（ISO/IEC 42001等）において、信頼性や安全性を確保するための基本的な枠組みとして重視されている。

情報や技術を正しく理解し、適切に活用するための知識や能力。AI分野では、仕組みやリスクを理解した上で、倫理的・法的な観点も踏まえて活用する力を指す。

パソコン、タブレット、スマホなどのデバイスを使用して、遠隔地から特定のパソコンに接続する方法。

ログとは、コンピュータシステム、ネットワーク機器、アプリケーションなどで発生する操作履歴やイベント情報を時系列で記録したデータのこと。ユーザー操作、アクセス履歴、認証情報、設定変更、エラーや障害などを把握でき、インシデントの原因調査や不正アクセスの検知、監査証跡として活用される。適切なログの取得・保管・分析は、インシデントの早期発見や原因特定、再発防止に不可欠であり、サイバーセキュリティ対策の基盤となる。