電子政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法・運用法を調査・検討するプロジェクトである

コンピューターやサーバーに不正侵入した後に、攻撃者が秘密裏に遠隔操作を行うためのツールをパッケージ化したもの

ビジネスメール詐欺

レインボーテーブルを使ってハッシュ化されたデータを解読する攻撃です レインボーテーブルとはハッシュ値とパスワードの組み合わせ

検索エンジン最適化（SEO）技術を悪用して不正なサイトを検索結果の上位に表示させ、閲覧したユーザーをマルウェアに感染させたり、詐欺サイトに誘導したりするサイバー攻撃手法です

公開鍵暗号方式と共通鍵暗号方式の両方の特性を組み合わせた暗号化方式 HTTPSで用いられる

コンピューターと人間を区別するための自動化された公開テスト 画面上の文字画像から文字をタイプさせる

（Sender Policy Framework） メール送信ドメインの認証（ドメイン詐称を防ぐ）

ユーザー主導権 ユーザーが事前に許可する ユーザーが企業からの情報の受け取りや、自身の情報の利用に対して事前に許可を与えること

企業側が主導権 ユーザーが拒否する 企業などに対してメール受信や個人情報の利用を許諾しない意思を示すこと

1つの処理に対して2組のシステムを用意しておき、一方は障害が発生した際の予備機として待機させておく手法

本番用と全く同じシステムを予備機と常に同期させておき、障害時は本番機と瞬時に切り替えられるようにすること

予備機を最小限のリソースで稼動させ、主要システムがダウンした場合にはこれに切り替えることができる状態

コンピューターやネットワーク機器などの障害対策として、予備のマシンを電源を入れない状態で待機させておく手法

誤操作防止、ヒューマンエラー防止

故障軽減

故障時には安全を確保

個々が故障してもシステム全体の稼働に影響を与えない考え方

攻撃者がサイバー攻撃を仕掛ける前に、そのターゲットに対しておこなう情報収集の手法やプロセスを指します

システム監査人が一般ユーザのアクセス権限または無権限で、テスト対象システムへの侵入を試み、システム資源がそのようなアクセスから守られているか確認する、特定のシステムやネットワークが対象

組織関係者が情報セキュリティの攻撃側 (レッドチーム) と防御側 (ブルーチーム) に別れ、擬似的なサイバー攻撃演習をおこなうことで、組織全体のセキュリティ対策を評価するもの

JPCERT/CC 組織的なインシデント対応体制である「組織内CSIRT」の構築支援を目的とした資料

IPA 組織が内部不正対策を効果的に実施可能とすることを目的としたガイドライン

クレジットカード会員データを安全に取扱うことを目的として策定された、クレジットカード業界における情報セキュリティの国際統一基準

経済産業省が策定公表 JIS27001,27002を下に策定され整合性が取られている

持続的標的型攻撃 「高度な技術 (Advanced)」「持続的 (Persistent)」「脅威 (Threat)」の三つの要素をもつ標的型攻撃の一種です

暗号化（機密性）、送信者が受信者の公開鍵で暗号化して受信者が受信者の秘密鍵で復号する

公開鍵暗号方式のアルゴリズム

改ざん防止、MD5 SHA1 SHA256

送信者が送信者の秘密鍵で平文をダイジェスト化し平文とダイジェストを送信、受信者が送信者の公開鍵で平文をダイジェスト化し、受信したダイジェストと比較するそとで、なりすましを防ぐ

情報セキュリティマネジメントシステム (ISMS) に関する国際規格 ISO/IEC 27001 の日本語版

クラウドサービスに特化した情報セキュリティ管理策および実施の手引きが規定されている規格

ネットワーク上でパスワードを盗聴する

DNSサーバのキャッシュに不正な情報を注入することで不正なサイトへアクセスさせる

Webブラウザなどを用いて利用者に気づかれないようにソフトウェアなどをダウンロードさせる

サイバー攻撃の一連の行動を7つの段階に分けてモデル化したもの

Intrusion Prevention System サーバやネットワークへの侵入を防ぐために不正な通信を遮断する装置

Data Loss Prevention 秘密情報を自動で判別し情報漏洩につながる操作に警告を出す仕組み

Intrusion Detection System ネットワークやホストをリアルタイムで監視し侵入や攻撃など不正アクセスを検知したら管理者に通知するシステム

ウイルスと疑われる異常な挙動を検出する方法 未知のマルウェアを検知できる

Security Information and Event Management サーバやネットワーク機器などからログを集め、ログを分析し、管理者へ通知する

原因 ランサムウェア 盗聴など

管理策の弱点 セキュリティホール ウイルス対策の定義ファイルが未更新など

リスクを発見、認識、記述するプロセス

リスクの特質を理解し、リスクレベルを決定するプロセス

リスクが受容可能か、リスク分析結果とリスク基準と比較するプロセス

Public key Infrastructure 公開鍵基盤

デジタル証明書を発行する機関

Common Vulnerability Scoring System 脆弱性の深刻度を評価するための評価手法

正常な通信を異常と判断し遮断する

異常な通信を正常と判断し通過させる

Unified Threat Management 統合脅威管理 ファイアウォール、IPS、ウイルス対策ソフトなど、セキュリティ機能が統合された機器

包装を破った段階で契約に同意したみなされる契約

個々の機器の障害が起こる確率を下げて、全体として信頼性を上げるという考え方

平均故障間隔 故障が復旧してから次の故障までにかかる時間の平均

平均復旧時間