個人情報保護士（公式過去問より）
問題一覧
1
行政機関等事務処理者の効率的な情報管理、迅速な情報授受, 国民の負担軽減、利便性の向上, 個人番号、特定個人情報の取り扱いのため、個人情報保護法の特例を定める, 行政運営の効率化、公正な給付と負担の確保
2
個人情報保護法
3
個人番号関係事務
4
あくまで「個人番号によって識別される」のであって、住民票番号によっては識別されない。
5
正しい。
6
正しい。
7
正しくない。
8
雇用保険被保険者資格取得届, 健康保険被保険者資格喪失届, 年金請求書（国民年金・厚生年金保険老齢給付）
9
正しい。
10
正しくない。
11
正しい。
12
正しくない。
13
正しい。
14
正しい。
15
１．２ともに認められ、正しい。
16
正しくない。
17
正しい。
18
正しい。
19
正しい。
20
正しい。
21
正しくない。
22
正しくない。
23
正しい。
24
正しい。
25
正しい。
26
正しい。
27
正しくない。
28
レピュテーションリスク
29
CSR
30
真正性（Authenticity） 真正性は、組織が主張する通りであることを指します。簡単にいうと、情報資産にアクセスする人が許可された本人であるかどうかを認証できることです。これによってなりすましを防止できます。真正性を保つ対策としては、デジタル署名や二段階認証・生体認証などが挙げられます。, 責任追跡性（Accountability） 責任追跡性は、組織や個人が行った動作を追跡できる特性のことです。インシデントが起きた際などに責任追跡性が求められます。アクセスログや操作ログを残すことで対策が可能です。, 信頼性（Reliability） 信頼性は、意図した動作が確実に行われるかどうかを示す特性です。人為的な操作ミスを起こさなくても、システムの不具合やバグによってデータが意図せず改ざんされることもあるため、このような特性が求められます。システムがバグや不具合を起こさないような設計・構築を行うことで対策できます。, 否認防止（Non-repudiation） 否認防止は、情報資産に関する行動や事象が、後から否認されないように証明する特性です。責任追跡性が保たれることで否認防止も保たれます。デジタル署名やアクセス・操作ログを残すことが重要になるでしょう。
31
ハードニング
32
TRUSTe
33
QMS, EMS, ITSMS
34
ベースラインアプローチ, 非形式アプローチ, 詳細リスク分析, 組合せアプローチ
35
リスク基準, リスク分析, リスク評価
36
ICTは「Information and Communication Technology（情報通信技術）」の略で、通信技術を活用したコミュニケーションを指します。 情報処理だけではなく、インターネットのような通信技術を利用した産業やサービスなどの総称です。
37
Management ICT Sucurity（情報通信技術セキュリティマネジメント）（ISO/ IEC27005）のこと。 なお、ICTは「Information and Communication Technology（情報通信技術）」の略で、通信技術を活用したコミュニケーションを指します。 情報処理だけではなく、インターネットのような通信技術を利用した産業やサービスなどの総称です。
38
リスクの回避, リスクの修正、軽減、最適化, リスクの共有、移転、リスクトランスファー, リスクの保有、受容
39
正しい
40
正しい
41
プロシージャー
42
組織・体制の確立, 基本方針の策定, リスク分析, 対策基準の策定, ポリシーの決定, 実施手順の策定
43
正しい。
44
正しい。
45
PUKコード
46
シャドーIT
47
デュアルシステムとデュプレックスシステムは、どちらも2組のシステムを用意しておくという点は同じです。 しかし、常に2つのシステムを本稼働させているデュアルシステムに比べて、デュプレックスシステムは待機用として備えておくところに違いがあります。
48
DMSキャッシュポイズニング
49
クロスサイトフォージェリ
50
リプレイアタック
51
DMZ
52
VLAN
53
WAF
54
UTM
55
チャレンジレスポンス認証
56
正しい。
57
正しい
58
フットプリンティング
59
クリックジャッキング
60
１〜３年, 約１０年
61
PUKコード
62
QMS, EMS, ITSMS
63
不正指令電磁的記録作成, 著作権法違反, 電子計算機使用詐欺, 不正アクセス禁止法違反
64
業務の有効性および効率性, 財務報告の信頼性, 事業活動に関わる法令等の遵守, 資産の保全
65
統制環境, リスクの評価と対応, 統制活動, 情報と伝達, モニタリング, ITへの対応
66
CSR
67
個人の位置情報（特定の個人を識別することができない）は、個人関連情報に該当する。
68
「本人」とは、個人番号によって識別される特定の個人を言う。, 「情報提供ネットワークシステム」は、内閣総理大臣が設置し、管理する。, 個人番号は１２桁である。, 「特定個人情報」とは、個人番号を含む個人情報である。, 暗号化などで秘匿化したものも個人番号に該当する。, 「個人番号利用事務実施者」には、国の行政機関、地方公共団体、日本年金機構等が含まれる。
69
✕正しくない。
70
個人事業者に法人番号は付与されない。
71
主張された事象または処置の発生、およびそれらを引き起こしたエンティティを証明する能力。
72
残留リスクには、特定されていないリスクを含めてはならない。
73
入退室管理における「アンチパスバック」とは？ 入退室管理システムには「不審者の入室を防止する」機能がありますが、同時に「退室を防止する」機能もあります。たとえ不審者が入室したとしても、退室させなければ情報漏えいの危険性を減らせます。 これは情報セキュリティにおける出口対策の位置付けにあたり、不審者を外に出さない機能が「アンチパスバック」です。 アンチパスバックとは、入室する際の認証記録がない不審者の退室を許可しない仕組みのことです。 共連れの防止対策として、入退室管理システムに用意されています。 共連れとは、複数の人間が１人の認証で入室することで、情報漏えい対策の課題とされてきました。共連れはピギーバックとも呼ばれます。 万が一不審者の入室があっても、アンチパスバック機能により退室させなければ情報漏洩などの重大事故を食い止められる可能性があるので、アンチパスバックの必要性が高いとされています。 アンチパスバックの事例 たとえば先に入った正規の認証者の後に続いて、認証していない人が入ったとします。後者は正規に認証を受けていませんから、入室の記録が残っていません。これを不正な侵入者として退室を禁止します。不審者が見つかった場合は、アンチパスバックの該当者として警備室にアラートが飛んで、入室の経緯などを確認します。 まれな例として、入室の際に認証をうっかり忘れてしまい、結果的に共連れになってしまったケースも考えられます。また、共連れの逆のパターンとして「すれ違い」もあります。誰かが退室するのを待ち、そのタイミングで入室する方法です。これも入室の記録がないため、退出が許されません。 アンチパスバック以外の共連れ防止策 アンチパスバックで完全に共連れを防止できるわけではありません。共連れで入室したのと同じように、共連れで退出できるからです。すれ違いで退出することも可能です。
74
故障・障害の発生しにくさ, 安定性の程度, 平均故障間隔, 保守性
75
MDMは、Mobile Device Managementのことであり、日本語で言うと「モバイルデバイス管理」。モバイル端末本体からの情報漏えいを防ぐ方法です。 すなわち、盗難や紛失によって他人に端末に保存したデータを見られることを防ぐというものが中心となります。 具体的な方法としては、アプリを使用して画面のキャプチャや録画をすることやクリップボード履歴を保存することを禁止して、紛失や盗難があったときに遠隔操作で端末を使用できない状態にする「リモートロック」や「リモートワイプ」の導入が欠かせないものとなります。 MAMはMobile Application Managementのことであり、日本語で言うと「モバイルアプリケーション管理」。 モバイル端末を業務に使用する場合に業務にかかわるアプリケーションとデータを適切に管理することを指します。 MAMの方法として代表的なものが「ラッピング」です。これはアプリケーションに対してアクセス制限やデータ保護の設定を行うものであり、個人のデータとは分離して、業務に必要なアプリケーションだけに対策を施すことができます。 また、端末には一切の情報を保存せず、仮想デスクトップなどを利用するMAMの方法もあります。 MCMはMobile Contents Managementの略であり、「モバイルコンテンツ管理」などとも呼ばれ、端末全体を管理するのではなく、業務に必要なコンテンツだけを管理するものです。 個人利用の端末を業務に利用する際に問題となることのひとつが、個人向けのクラウドストレージサービスからの情報漏えいです。とはいえ、全面的にこれらのサービスを禁止することは業務効率を考えると現実的ではないでしょう。 そのため、MCMではセキュリティを重視したクラウドサービスや、電子カタログの閲覧に特化してタブレットなどでの利便性を高めたMCMなどもあります。
76
デジタル署名の要件として、電子文書の作者を示すために行われたものであること、作成された電子文書に対する改ざんが特定の時刻以降に行われていないことを確認できるものであること の2つを満たす必要がある。
77
パケットフィルタリングは、IP偽装には効果があるが、ログがIPパケット以外の情報も取得するため、処理速度が遅くなり、通信速度の減衰を招くことがある。
78
プライバシーマーク付与機関, プライバシーマーク指定審査機関, プライバシーマーク指定研修機関
79
個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名校情報に含まれる個人に関する情報の項目を公表するよう努めなければならない。
80
情報の不正入手を目的として行われたものであること。
81
CSIRT
82
ローカルブレイクアウトとは、利用者認証やロック解除などの操作を一定回数誤った際に自動的に端末が初期化され、内部のデータが自動的に消去される機能のこと。
83
BCM, DRM, BIA
84
TREND MICRO SaaS・プロダクトポータルサイト サイバー攻撃対策 情報セキュリティの7要素とは？ CIAに続く真正性、信頼性、責任追及性、否認防止 法人のお客さまに起こりがちな状況 情報セキュリティを高めるために必要なことは？と聞かれたときに、よく出てくるのが「ISMS」です。 機密性、完全性、可用性の3要素は多くの人が知っていて、その重要性については疑う余地がありません。 しかし、そこには続きがあることをご存じでしょうか？ 今回は、情報セキュリティの3要素と、そこに続いて記載されている追加の4要素についてご説明いたします。 ISMSの規格に記載されている情報セキュリティの定義 ISMSで重要なことは？と聞かれるとパッと出てくるのは何でしょうか？ 多くの人は「機密性」「完全性」「可用性」の3つの要素をバランスよく維持すること、と回答すると思います。 この3つは正しくはISO/IEC 27000に記載されている情報セキュリティ（information security）の定義で、ここでは「情報の機密性，完全性及び可用性を維持すること。」と定められています。 実はこの定義には注記があるのをご存じでしょうか？ そこには「さらに，真正性，責任追跡性，否認防止，信頼性などの特性を維持することを含めることもある。」と記載されています。 3要素ほどは知られてはいませんが、情報セキュリティの重要性が高まる中ではこの注記部分に記載されている4要素も意識していかなければならない状況になってきています。 機密性、完全性、可用性のCIA 情報セキュリティに重要な3要素について、改めての解説です。 ＜機密性（confidentiality）＞ 機密性とは、情報へのアクセス権限を設定し保護することを指します。アクセス難易度が上がればその分外部からの侵入が難しくなり、情報漏洩や破損する可能性を下げることが可能になります。 機密性を高める方法として、具体的には以下のような対策が考えられます。 物理的なアクセスができないよう、鍵をかけた部屋に保管したりデータセンターに保管したりする 強力なパスワードを設定する 該当データの保存フォルダにアクセス権限を設定する データへアクセス可能な端末を限定し、その端末自体を限られた人しか入れない部屋に設置する ＜完全性（integrity）＞ 完全性は該当する情報が常に正確な情報を維持している状態を指します。情報がいくら機密性の高い状態を維持していたとしても、その中身が書き換えられていたり過不足があったりするのであればまともに使用することができず、信頼性の低いデータとして利用価値がない状態となってしまいます。 具体的には以下のような対策で完全性の維持を行います。 バックアップを取る 変更履歴やアクセス履歴を残す ＜可用性（availability）＞ 可用性は、対象となる情報を利用する必要がある人間が必要なタイミングでいつでも使える状態を維持することを指します。いくらデータがあっても停電や事業所外からのアクセスなどで使えなければ情報としての価値はありません。可用性を高めることで、実務としての価値が出てくることになります。 具体的には以下のような対策で可用性を維持します。 UPS（無停電電源装置）の導入 クラウドストレージサービスの利用 システムの多重化 この3つの要素は頭文字を取って「CIA」と呼ばれることがあります。 また、この要素はそれぞれ他の要素に対して影響を与えることがあります。 例えば機密性を高めるために個人情報のデータは本社の立ち入り制限された部屋の端末にローカルデータとして保存するルールにしてしまうと完全性や可用性の観点では非常に危うい状態となります。実際の運用の中では自社の実情に照らし合わせながらそれぞれの情報に対して事業運営に支障がない（少ない）範囲で3要素をできるだけ高める、という意識と仕組みを考えることが重要となります。 拡張定義としての真正性、責任追及性、否認防止、信頼性 情報セキュリティの定義で注記として存在する4つの要素は、情報セキュリティを高めるための考え方として現在注目度が上がってきている内容です。主に情報を活用する際に、どのようにすればインシデントを発生させずに済むのかを考えるために重要になるのがこの4要素と言えます。 ＜真正性（Authenticity）＞ 真正性は対象の情報に対してアクセスする人間が「本当にアクセスするべき人かどうか」を担保することを指します。関係ない外部の人間がアクセスしてしまうと情報漏洩やデータの破壊につながる可能性があるため、重要な要素です。単純なパスワードでは簡単に突破され、正規な認証方法でアクセスすべきではない人がアクセスしてしまう可能性があるため、認証方法の強化が重要です。 対策としては以下のようなものがあります。 多要素認証 デジタル署名 ＜責任追及性（Accountability）＞ 責任追及性は対象の情報へのアクセスがどのような手順によって行われたのかを追跡できるようにすることを指します。インシデント発生時に手順を追えるようにすることで、誰が行ったどのプロセスのどの手順が要因なのかを判別していきます。 対策としては以下のようなものがあります。 ログイン履歴 アクセスログ 操作ログ ＜否認防止（non-repudiation）＞ 否認防止はインシデント発生後、その原因となった人物や対象から該当の行動を否定されないように証拠を残すことを指します。問題行動を指摘したとしても、証拠が残っていなければ水掛け論に終始してしまうため、しっかりと保存しておくことが重要です。 対策としては以下のようなものがあります。 ログイン履歴の保存 アクセスログの保存 操作ログの保存 ＜信頼性（Reliability）＞ 信頼性はデータに対する操作が意図したとおりに動くことを指します。ヒューマンエラーやバグによって、手順通りに行ったはずなのに意図しない結果が出力されることがあると正しい情報ではなくなってしまい、情報の価値が失われてしまいます。 対策としては以下のようなものがあります。 システム開発時のしっかりとした設計書レビューやテスト フールプルーフやフェイルセーフを前提とした運用設計 ご紹介したこれらの4要素はCIAの要素と比較して、インシデントを防止するための要素、インシデントが発生してしまった後の対処のための情報としての意味合いが強いことがわかるでしょうか？当然のことですが、情報は使われなければただの文字の羅列となります。同時に、情報を利活用することはインシデント発生の可能性を上げることにも他なりません。現実的な問題としてインシデントの発生率を0にすることは難しいため、発生を前提としてどのような観点で事前準備を行うべきかを示したものがこの4要素と言えます。 ご紹介したこれらの点を意識してソリューションや社内ガイドラインを設定していくことで、抜け漏れのない対策ができるような形になっています。 情報セキュリティ対策には拡張定義を意識したソリューションの導入を ISMSを意識するうえでCIAの3要素が重要とは言われつつ、実務レベルでどのような観点を持って対策を行うべきかは、なかなか見えにくいところでした。 この拡張定義を加えることで、社内の情報セキュリティ体制での抜け漏れがないかどうかを改めて確認できるようになったのではないでしょうか？ 再度体制を確認し、不足している点があれば対策しセキュリティレベルを上げていきましょう。特に今回ご紹介した4要素は、全体としてシステムでの対応により負荷軽減できる範囲が多いので、積極的なソリューションの導入が効果的であると考えています。 トレンドマイクロからのアドバイス CIAの3要素と拡張の4要素を意識した情報セキュリティの向上について、その重要性はわかってはいるものの、実際の対応方法については各企業によって実態が異なるため、どのようにしてバランスを取るべきかなかなか判断が難しいところです。しかし一方で、どの情報がどこに保存されており、その利用者は誰であるべきかなどの要素さえしっかりと整理できていれば、セキュリティベンダー各社においてはポイントポイントに対応したソリューションを用意してもいます。 トレンドマイクロでは情報セキュリティソリューションベンダーとして高いセキュリティレベルを維持できるソリューションを取りそろえています。ぜひ自社の状況を整理したうえで、不足している部分に合わせたソリューションの導入をご検討ください。 管理サーバ要らずの「サーバ向けクラウド型セキュリティ」 Trend Micro Cloud One - Workload Security™はWEBサーバ、特にパブリッククラウドへのサイバー攻撃に対してオールラウンドで対応できるソリューションです。 1ライセンスから導入可能で月額課金という料金体系のため、イニシャルコストを抑えやすくスモールスタートが可能となっています。 事前予防と事後対処を実現するエンドポイントセキュリティ Trend Micro Apex One SaaSはセキュリティをクラウドからサービスとして提供する (Security as a Service)として、クラウド基盤を活用した新しいインシデント対応を行っています。 管理サーバのメンテナンスを不要とし、自動アップデートにより運用管理工数を大幅に削減、管理コストの最適化を図ることのできる「サービスとしてのセキュリティ (SaaS)」です。 先進技術と実績ある技術を融合したXGen(クロスジェネレーション)のセキュリティアプローチによりスクリプト、インジェクション、ランサムウェア、メモリ、ブラウザ攻撃に対する効果的な保護を実現するほかWebレピュテーション機能によって不正URLへのアクセスをブロックすることでフィッシング被害を抑制することも可能です。 高度な脅威からクラウドメールサービスのメールやファイル共有サービス上のデータを保護 Trend Micro Cloud App Security™（CAS）はMicrosoft 365のメールサービスやファイル共有サービス等でやりとりをするメールやファイルに含まれるランサムウェアや標的型サイバー攻撃によく利用されるOfficeファイルをはじめとするビジネスでよく使用される形式のファイルに潜む不正プログラムを検出します。 ドキュメントエクスプロイトの検出技術と挙動分析により未知の不正プログラム、不正URLも検出できるメール・コラボレーションセキュリティ製品で人間のセキュリティ意識と合わせ効果的にランサムウェアを防御することができます。 ※すべての未知の脅威に対応するものではありません また、トレンドマイクロではExchange Onlineを使用しているお客さま向けに今まですり抜けていた脅威をスポットで可視化するためのサービスとして以下のサービスをご提供しております。 ご活用いただける環境にありましたらぜひお試しください。 Trend Micro Security Assessment Service™ この課題を解決する製品 法人向け クラウド型総合サーバセキュリティサービス Trend Micro Cloud One - Workload Security™ 法人向け エンドポイントセキュリティプラットフォーム Trend Micro Apex One™ 法人向け クラウドアプリケーションセキュリティ Trend Micro Cloud App Security™ 導入前の製品や購入に 関するお問い合わせ ご担当者様の課題解決を電話やメールで受け付けます。製品や購入に関するご不明点がある方はお気軽にご相談ください。 導入前の製品や購入に関する お問い合わせ オンライン見積り トレンドマイクロのセキュリティ対策製品のお見積りをオンラインでご確認いただけます。 オンライン見積り 課題から探す 事例紹介 特集 お問い合わせ オンライン見積り 製品一覧から探す ウイルスバスター™ ビジネスセキュリティサービス（VBBSS） Trend Micro Apex One™ Trend Micro Cloud One - Workload Security™ Cloud Edge™ Trend Micro Cloud App Security™ ページ先頭へ 特定商取引に関する表記 ご利用条件 個人情報保護方針 プライバシーポリシー Copyright © 2023 Trend Micro Incorporated. All rights reserved.
問題一覧
1
行政機関等事務処理者の効率的な情報管理、迅速な情報授受, 国民の負担軽減、利便性の向上, 個人番号、特定個人情報の取り扱いのため、個人情報保護法の特例を定める, 行政運営の効率化、公正な給付と負担の確保
2
個人情報保護法
3
個人番号関係事務
4
あくまで「個人番号によって識別される」のであって、住民票番号によっては識別されない。
5
正しい。
6
正しい。
7
正しくない。
8
雇用保険被保険者資格取得届, 健康保険被保険者資格喪失届, 年金請求書（国民年金・厚生年金保険老齢給付）
9
正しい。
10
正しくない。
11
正しい。
12
正しくない。
13
正しい。
14
正しい。
15
１．２ともに認められ、正しい。
16
正しくない。
17
正しい。
18
正しい。
19
正しい。
20
正しい。
21
正しくない。
22
正しくない。
23
正しい。
24
正しい。
25
正しい。
26
正しい。
27
正しくない。
28
レピュテーションリスク
29
CSR
30
真正性（Authenticity） 真正性は、組織が主張する通りであることを指します。簡単にいうと、情報資産にアクセスする人が許可された本人であるかどうかを認証できることです。これによってなりすましを防止できます。真正性を保つ対策としては、デジタル署名や二段階認証・生体認証などが挙げられます。, 責任追跡性（Accountability） 責任追跡性は、組織や個人が行った動作を追跡できる特性のことです。インシデントが起きた際などに責任追跡性が求められます。アクセスログや操作ログを残すことで対策が可能です。, 信頼性（Reliability） 信頼性は、意図した動作が確実に行われるかどうかを示す特性です。人為的な操作ミスを起こさなくても、システムの不具合やバグによってデータが意図せず改ざんされることもあるため、このような特性が求められます。システムがバグや不具合を起こさないような設計・構築を行うことで対策できます。, 否認防止（Non-repudiation） 否認防止は、情報資産に関する行動や事象が、後から否認されないように証明する特性です。責任追跡性が保たれることで否認防止も保たれます。デジタル署名やアクセス・操作ログを残すことが重要になるでしょう。
31
ハードニング
32
TRUSTe
33
QMS, EMS, ITSMS
34
ベースラインアプローチ, 非形式アプローチ, 詳細リスク分析, 組合せアプローチ
35
リスク基準, リスク分析, リスク評価
36
ICTは「Information and Communication Technology（情報通信技術）」の略で、通信技術を活用したコミュニケーションを指します。 情報処理だけではなく、インターネットのような通信技術を利用した産業やサービスなどの総称です。
37
Management ICT Sucurity（情報通信技術セキュリティマネジメント）（ISO/ IEC27005）のこと。 なお、ICTは「Information and Communication Technology（情報通信技術）」の略で、通信技術を活用したコミュニケーションを指します。 情報処理だけではなく、インターネットのような通信技術を利用した産業やサービスなどの総称です。
38
リスクの回避, リスクの修正、軽減、最適化, リスクの共有、移転、リスクトランスファー, リスクの保有、受容
39
正しい
40
正しい
41
プロシージャー
42
組織・体制の確立, 基本方針の策定, リスク分析, 対策基準の策定, ポリシーの決定, 実施手順の策定
43
正しい。
44
正しい。
45
PUKコード
46
シャドーIT
47
デュアルシステムとデュプレックスシステムは、どちらも2組のシステムを用意しておくという点は同じです。 しかし、常に2つのシステムを本稼働させているデュアルシステムに比べて、デュプレックスシステムは待機用として備えておくところに違いがあります。
48
DMSキャッシュポイズニング
49
クロスサイトフォージェリ
50
リプレイアタック
51
DMZ
52
VLAN
53
WAF
54
UTM
55
チャレンジレスポンス認証
56
正しい。
57
正しい
58
フットプリンティング
59
クリックジャッキング
60
１〜３年, 約１０年
61
PUKコード
62
QMS, EMS, ITSMS
63
不正指令電磁的記録作成, 著作権法違反, 電子計算機使用詐欺, 不正アクセス禁止法違反
64
業務の有効性および効率性, 財務報告の信頼性, 事業活動に関わる法令等の遵守, 資産の保全
65
統制環境, リスクの評価と対応, 統制活動, 情報と伝達, モニタリング, ITへの対応
66
CSR
67
個人の位置情報（特定の個人を識別することができない）は、個人関連情報に該当する。
68
「本人」とは、個人番号によって識別される特定の個人を言う。, 「情報提供ネットワークシステム」は、内閣総理大臣が設置し、管理する。, 個人番号は１２桁である。, 「特定個人情報」とは、個人番号を含む個人情報である。, 暗号化などで秘匿化したものも個人番号に該当する。, 「個人番号利用事務実施者」には、国の行政機関、地方公共団体、日本年金機構等が含まれる。
69
✕正しくない。
70
個人事業者に法人番号は付与されない。
71
主張された事象または処置の発生、およびそれらを引き起こしたエンティティを証明する能力。
72
残留リスクには、特定されていないリスクを含めてはならない。
73
入退室管理における「アンチパスバック」とは？ 入退室管理システムには「不審者の入室を防止する」機能がありますが、同時に「退室を防止する」機能もあります。たとえ不審者が入室したとしても、退室させなければ情報漏えいの危険性を減らせます。 これは情報セキュリティにおける出口対策の位置付けにあたり、不審者を外に出さない機能が「アンチパスバック」です。 アンチパスバックとは、入室する際の認証記録がない不審者の退室を許可しない仕組みのことです。 共連れの防止対策として、入退室管理システムに用意されています。 共連れとは、複数の人間が１人の認証で入室することで、情報漏えい対策の課題とされてきました。共連れはピギーバックとも呼ばれます。 万が一不審者の入室があっても、アンチパスバック機能により退室させなければ情報漏洩などの重大事故を食い止められる可能性があるので、アンチパスバックの必要性が高いとされています。 アンチパスバックの事例 たとえば先に入った正規の認証者の後に続いて、認証していない人が入ったとします。後者は正規に認証を受けていませんから、入室の記録が残っていません。これを不正な侵入者として退室を禁止します。不審者が見つかった場合は、アンチパスバックの該当者として警備室にアラートが飛んで、入室の経緯などを確認します。 まれな例として、入室の際に認証をうっかり忘れてしまい、結果的に共連れになってしまったケースも考えられます。また、共連れの逆のパターンとして「すれ違い」もあります。誰かが退室するのを待ち、そのタイミングで入室する方法です。これも入室の記録がないため、退出が許されません。 アンチパスバック以外の共連れ防止策 アンチパスバックで完全に共連れを防止できるわけではありません。共連れで入室したのと同じように、共連れで退出できるからです。すれ違いで退出することも可能です。
74
故障・障害の発生しにくさ, 安定性の程度, 平均故障間隔, 保守性
75
MDMは、Mobile Device Managementのことであり、日本語で言うと「モバイルデバイス管理」。モバイル端末本体からの情報漏えいを防ぐ方法です。 すなわち、盗難や紛失によって他人に端末に保存したデータを見られることを防ぐというものが中心となります。 具体的な方法としては、アプリを使用して画面のキャプチャや録画をすることやクリップボード履歴を保存することを禁止して、紛失や盗難があったときに遠隔操作で端末を使用できない状態にする「リモートロック」や「リモートワイプ」の導入が欠かせないものとなります。 MAMはMobile Application Managementのことであり、日本語で言うと「モバイルアプリケーション管理」。 モバイル端末を業務に使用する場合に業務にかかわるアプリケーションとデータを適切に管理することを指します。 MAMの方法として代表的なものが「ラッピング」です。これはアプリケーションに対してアクセス制限やデータ保護の設定を行うものであり、個人のデータとは分離して、業務に必要なアプリケーションだけに対策を施すことができます。 また、端末には一切の情報を保存せず、仮想デスクトップなどを利用するMAMの方法もあります。 MCMはMobile Contents Managementの略であり、「モバイルコンテンツ管理」などとも呼ばれ、端末全体を管理するのではなく、業務に必要なコンテンツだけを管理するものです。 個人利用の端末を業務に利用する際に問題となることのひとつが、個人向けのクラウドストレージサービスからの情報漏えいです。とはいえ、全面的にこれらのサービスを禁止することは業務効率を考えると現実的ではないでしょう。 そのため、MCMではセキュリティを重視したクラウドサービスや、電子カタログの閲覧に特化してタブレットなどでの利便性を高めたMCMなどもあります。
76
デジタル署名の要件として、電子文書の作者を示すために行われたものであること、作成された電子文書に対する改ざんが特定の時刻以降に行われていないことを確認できるものであること の2つを満たす必要がある。
77
パケットフィルタリングは、IP偽装には効果があるが、ログがIPパケット以外の情報も取得するため、処理速度が遅くなり、通信速度の減衰を招くことがある。
78
プライバシーマーク付与機関, プライバシーマーク指定審査機関, プライバシーマーク指定研修機関
79
個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名校情報に含まれる個人に関する情報の項目を公表するよう努めなければならない。
80
情報の不正入手を目的として行われたものであること。
81
CSIRT
82
ローカルブレイクアウトとは、利用者認証やロック解除などの操作を一定回数誤った際に自動的に端末が初期化され、内部のデータが自動的に消去される機能のこと。
83
BCM, DRM, BIA
84
TREND MICRO SaaS・プロダクトポータルサイト サイバー攻撃対策 情報セキュリティの7要素とは？ CIAに続く真正性、信頼性、責任追及性、否認防止 法人のお客さまに起こりがちな状況 情報セキュリティを高めるために必要なことは？と聞かれたときに、よく出てくるのが「ISMS」です。 機密性、完全性、可用性の3要素は多くの人が知っていて、その重要性については疑う余地がありません。 しかし、そこには続きがあることをご存じでしょうか？ 今回は、情報セキュリティの3要素と、そこに続いて記載されている追加の4要素についてご説明いたします。 ISMSの規格に記載されている情報セキュリティの定義 ISMSで重要なことは？と聞かれるとパッと出てくるのは何でしょうか？ 多くの人は「機密性」「完全性」「可用性」の3つの要素をバランスよく維持すること、と回答すると思います。 この3つは正しくはISO/IEC 27000に記載されている情報セキュリティ（information security）の定義で、ここでは「情報の機密性，完全性及び可用性を維持すること。」と定められています。 実はこの定義には注記があるのをご存じでしょうか？ そこには「さらに，真正性，責任追跡性，否認防止，信頼性などの特性を維持することを含めることもある。」と記載されています。 3要素ほどは知られてはいませんが、情報セキュリティの重要性が高まる中ではこの注記部分に記載されている4要素も意識していかなければならない状況になってきています。 機密性、完全性、可用性のCIA 情報セキュリティに重要な3要素について、改めての解説です。 ＜機密性（confidentiality）＞ 機密性とは、情報へのアクセス権限を設定し保護することを指します。アクセス難易度が上がればその分外部からの侵入が難しくなり、情報漏洩や破損する可能性を下げることが可能になります。 機密性を高める方法として、具体的には以下のような対策が考えられます。 物理的なアクセスができないよう、鍵をかけた部屋に保管したりデータセンターに保管したりする 強力なパスワードを設定する 該当データの保存フォルダにアクセス権限を設定する データへアクセス可能な端末を限定し、その端末自体を限られた人しか入れない部屋に設置する ＜完全性（integrity）＞ 完全性は該当する情報が常に正確な情報を維持している状態を指します。情報がいくら機密性の高い状態を維持していたとしても、その中身が書き換えられていたり過不足があったりするのであればまともに使用することができず、信頼性の低いデータとして利用価値がない状態となってしまいます。 具体的には以下のような対策で完全性の維持を行います。 バックアップを取る 変更履歴やアクセス履歴を残す ＜可用性（availability）＞ 可用性は、対象となる情報を利用する必要がある人間が必要なタイミングでいつでも使える状態を維持することを指します。いくらデータがあっても停電や事業所外からのアクセスなどで使えなければ情報としての価値はありません。可用性を高めることで、実務としての価値が出てくることになります。 具体的には以下のような対策で可用性を維持します。 UPS（無停電電源装置）の導入 クラウドストレージサービスの利用 システムの多重化 この3つの要素は頭文字を取って「CIA」と呼ばれることがあります。 また、この要素はそれぞれ他の要素に対して影響を与えることがあります。 例えば機密性を高めるために個人情報のデータは本社の立ち入り制限された部屋の端末にローカルデータとして保存するルールにしてしまうと完全性や可用性の観点では非常に危うい状態となります。実際の運用の中では自社の実情に照らし合わせながらそれぞれの情報に対して事業運営に支障がない（少ない）範囲で3要素をできるだけ高める、という意識と仕組みを考えることが重要となります。 拡張定義としての真正性、責任追及性、否認防止、信頼性 情報セキュリティの定義で注記として存在する4つの要素は、情報セキュリティを高めるための考え方として現在注目度が上がってきている内容です。主に情報を活用する際に、どのようにすればインシデントを発生させずに済むのかを考えるために重要になるのがこの4要素と言えます。 ＜真正性（Authenticity）＞ 真正性は対象の情報に対してアクセスする人間が「本当にアクセスするべき人かどうか」を担保することを指します。関係ない外部の人間がアクセスしてしまうと情報漏洩やデータの破壊につながる可能性があるため、重要な要素です。単純なパスワードでは簡単に突破され、正規な認証方法でアクセスすべきではない人がアクセスしてしまう可能性があるため、認証方法の強化が重要です。 対策としては以下のようなものがあります。 多要素認証 デジタル署名 ＜責任追及性（Accountability）＞ 責任追及性は対象の情報へのアクセスがどのような手順によって行われたのかを追跡できるようにすることを指します。インシデント発生時に手順を追えるようにすることで、誰が行ったどのプロセスのどの手順が要因なのかを判別していきます。 対策としては以下のようなものがあります。 ログイン履歴 アクセスログ 操作ログ ＜否認防止（non-repudiation）＞ 否認防止はインシデント発生後、その原因となった人物や対象から該当の行動を否定されないように証拠を残すことを指します。問題行動を指摘したとしても、証拠が残っていなければ水掛け論に終始してしまうため、しっかりと保存しておくことが重要です。 対策としては以下のようなものがあります。 ログイン履歴の保存 アクセスログの保存 操作ログの保存 ＜信頼性（Reliability）＞ 信頼性はデータに対する操作が意図したとおりに動くことを指します。ヒューマンエラーやバグによって、手順通りに行ったはずなのに意図しない結果が出力されることがあると正しい情報ではなくなってしまい、情報の価値が失われてしまいます。 対策としては以下のようなものがあります。 システム開発時のしっかりとした設計書レビューやテスト フールプルーフやフェイルセーフを前提とした運用設計 ご紹介したこれらの4要素はCIAの要素と比較して、インシデントを防止するための要素、インシデントが発生してしまった後の対処のための情報としての意味合いが強いことがわかるでしょうか？当然のことですが、情報は使われなければただの文字の羅列となります。同時に、情報を利活用することはインシデント発生の可能性を上げることにも他なりません。現実的な問題としてインシデントの発生率を0にすることは難しいため、発生を前提としてどのような観点で事前準備を行うべきかを示したものがこの4要素と言えます。 ご紹介したこれらの点を意識してソリューションや社内ガイドラインを設定していくことで、抜け漏れのない対策ができるような形になっています。 情報セキュリティ対策には拡張定義を意識したソリューションの導入を ISMSを意識するうえでCIAの3要素が重要とは言われつつ、実務レベルでどのような観点を持って対策を行うべきかは、なかなか見えにくいところでした。 この拡張定義を加えることで、社内の情報セキュリティ体制での抜け漏れがないかどうかを改めて確認できるようになったのではないでしょうか？ 再度体制を確認し、不足している点があれば対策しセキュリティレベルを上げていきましょう。特に今回ご紹介した4要素は、全体としてシステムでの対応により負荷軽減できる範囲が多いので、積極的なソリューションの導入が効果的であると考えています。 トレンドマイクロからのアドバイス CIAの3要素と拡張の4要素を意識した情報セキュリティの向上について、その重要性はわかってはいるものの、実際の対応方法については各企業によって実態が異なるため、どのようにしてバランスを取るべきかなかなか判断が難しいところです。しかし一方で、どの情報がどこに保存されており、その利用者は誰であるべきかなどの要素さえしっかりと整理できていれば、セキュリティベンダー各社においてはポイントポイントに対応したソリューションを用意してもいます。 トレンドマイクロでは情報セキュリティソリューションベンダーとして高いセキュリティレベルを維持できるソリューションを取りそろえています。ぜひ自社の状況を整理したうえで、不足している部分に合わせたソリューションの導入をご検討ください。 管理サーバ要らずの「サーバ向けクラウド型セキュリティ」 Trend Micro Cloud One - Workload Security™はWEBサーバ、特にパブリッククラウドへのサイバー攻撃に対してオールラウンドで対応できるソリューションです。 1ライセンスから導入可能で月額課金という料金体系のため、イニシャルコストを抑えやすくスモールスタートが可能となっています。 事前予防と事後対処を実現するエンドポイントセキュリティ Trend Micro Apex One SaaSはセキュリティをクラウドからサービスとして提供する (Security as a Service)として、クラウド基盤を活用した新しいインシデント対応を行っています。 管理サーバのメンテナンスを不要とし、自動アップデートにより運用管理工数を大幅に削減、管理コストの最適化を図ることのできる「サービスとしてのセキュリティ (SaaS)」です。 先進技術と実績ある技術を融合したXGen(クロスジェネレーション)のセキュリティアプローチによりスクリプト、インジェクション、ランサムウェア、メモリ、ブラウザ攻撃に対する効果的な保護を実現するほかWebレピュテーション機能によって不正URLへのアクセスをブロックすることでフィッシング被害を抑制することも可能です。 高度な脅威からクラウドメールサービスのメールやファイル共有サービス上のデータを保護 Trend Micro Cloud App Security™（CAS）はMicrosoft 365のメールサービスやファイル共有サービス等でやりとりをするメールやファイルに含まれるランサムウェアや標的型サイバー攻撃によく利用されるOfficeファイルをはじめとするビジネスでよく使用される形式のファイルに潜む不正プログラムを検出します。 ドキュメントエクスプロイトの検出技術と挙動分析により未知の不正プログラム、不正URLも検出できるメール・コラボレーションセキュリティ製品で人間のセキュリティ意識と合わせ効果的にランサムウェアを防御することができます。 ※すべての未知の脅威に対応するものではありません また、トレンドマイクロではExchange Onlineを使用しているお客さま向けに今まですり抜けていた脅威をスポットで可視化するためのサービスとして以下のサービスをご提供しております。 ご活用いただける環境にありましたらぜひお試しください。 Trend Micro Security Assessment Service™ この課題を解決する製品 法人向け クラウド型総合サーバセキュリティサービス Trend Micro Cloud One - Workload Security™ 法人向け エンドポイントセキュリティプラットフォーム Trend Micro Apex One™ 法人向け クラウドアプリケーションセキュリティ Trend Micro Cloud App Security™ 導入前の製品や購入に 関するお問い合わせ ご担当者様の課題解決を電話やメールで受け付けます。製品や購入に関するご不明点がある方はお気軽にご相談ください。 導入前の製品や購入に関する お問い合わせ オンライン見積り トレンドマイクロのセキュリティ対策製品のお見積りをオンラインでご確認いただけます。 オンライン見積り 課題から探す 事例紹介 特集 お問い合わせ オンライン見積り 製品一覧から探す ウイルスバスター™ ビジネスセキュリティサービス（VBBSS） Trend Micro Apex One™ Trend Micro Cloud One - Workload Security™ Cloud Edge™ Trend Micro Cloud App Security™ ページ先頭へ 特定商取引に関する表記 ご利用条件 個人情報保護方針 プライバシーポリシー Copyright © 2023 Trend Micro Incorporated. All rights reserved.