第1話「付箋のパスワード」
テクノロジ系 / セキュリティ ── テーマ:情報セキュリティの3要素・ソーシャルエンジニアリング
▶ マンガで読む(無料・登録なし)この話で覚える用語(5語)
- 情報セキュリティじょうほうせきゅりてぃ
- 情報を、漏れ・改ざん・使えない状態から守ること。機密性・完全性・可用性の3つを保つことが基本。
- 機密性きみつせい
- 許可された人だけが情報にアクセスできること。英語で Confidentiality(C)。漏えいは機密性が損なわれた状態。
- 完全性かんぜんせい
- 情報が正確で、勝手に書き換えられていないこと。英語で Integrity(I)。改ざんは完全性が損なわれた状態。
- 可用性かようせい
- 使いたいときに情報やシステムを使えること。英語で Availability(A)。停電やサーバ停止は可用性が損なわれた状態。
- ソーシャルエンジニアリングそーしゃるえんじにありんぐ
- 技術ではなく、人の心理やうっかりを突いて情報を盗む手口。のぞき見(ショルダーハッキング)、ゴミあさり(トラッシング)、なりすまし電話など。
試験に出るポイント
- Confidentiality = 機密性(漏れない)
- Integrity = 完全性(書き換えられない)
- Availability = 可用性(止まらない)
- アメリカの情報機関「CIA」が情報を守る、と覚えよう
- 停電やサーバ故障で使えない → 可用性が損なわれた
- Webページや数値が書き換えられた → 完全性が損なわれた
- 顧客情報が外部に漏れた → 機密性が損なわれた
- 電話・のぞき見・ゴミあさりで人をだます → ソーシャルエンジニアリング
- 発展:3要素に「真正性・責任追跡性・否認防止・信頼性」を足して7要素とすることもある
確認クイズ(ITパスポート試験の形式)
- 可用性
- 完全性
- 機密性
- 真正性
答えと解説を見る
正解:ア 可用性
「使いたいときに使えない」のは可用性(Availability)が損なわれた状態です。
- 機密性
- 完全性
- 可用性
- 否認防止
答えと解説を見る
正解:イ 完全性
情報が正しくなくなった(改ざん)ので、完全性(Integrity)が損なわれています。
- 大量のデータを送りつけてサーバを停止させる
- システム管理者を名のって電話をかけ、パスワードを聞き出す
- プログラムの欠陥を突いて不正に侵入する
- ファイルを暗号化して元に戻すための身代金を要求する
答えと解説を見る
正解:イ システム管理者を名のって電話をかけ、パスワードを聞き出す
人をだまして聞き出すのがソーシャルエンジニアリング。サーバを止めるのはDoS攻撃、欠陥を突くのは脆弱性への攻撃、暗号化して身代金を求めるのはランサムウェアです。
マンガのセリフ(文字版)
4月。IT企業「ミライネット」に、新人がやってきた――
ミライ「今日からIT企業の社員です!ITの知識は…正直ほぼゼロです!」
ツカサ先輩「教育係のツカサだ。ゼロでいい。毎日ひとつずつ覚えていこう」
ミライ「よろしくお願いします!」
さっそくパソコンを渡されたミライ
ミライ「パスワード、覚えられないから…付箋に書いて画面に貼っとこ♪」
ツカサ先輩「ちょっと待ったーー!!」
ミライ「え、ダメですか?忘れたら困るし…」
ツカサ先輩「後ろを通った人が見たら、誰でもキミになりすませるぞ」
ツカサ先輩「情報を守ることを情報セキュリティという。守るべきものは3つあるんだ」
ツカサ先輩「ひとつ目は機密性。見ていい人だけが見られること」
ミライ「付箋だと…誰でも見られちゃう!」
ツカサ先輩「ふたつ目は完全性。データが正しく、勝手に書き換えられていないこと」
ミライ「口座の残高を勝手に0円にされたら泣きます…」
ツカサ先輩「みっつ目は可用性。使いたいときに使えること」
ツカサ先輩「停電でサーバが止まって通販サイトが開けない…これは可用性が損なわれた状態だ」
- Confidentiality = 機密性(漏れない)
- Integrity = 完全性(書き換えられない)
- Availability = 可用性(止まらない)
- アメリカの情報機関「CIA」が情報を守る、と覚えよう
その夜――
???「パスワードを盗むのに、むずかしい技術なんていらないのさ…」
翌朝
ツカサ先輩「人のうっかりやすきを突いて情報を盗む手口をソーシャルエンジニアリングという」
ミライ「技術じゃなくて、人をだますんだ…!」
そこへ1本の電話が
ミライ「はい、ミライです。…システム部の方?パスワードの確認ですか?えーと…」
ツカサ先輩「言うな!本物のシステム部は、電話でパスワードを聞かない!」
ミライ「付箋はシュレッダー、パスワードは誰にも言わない。覚えました!」
ツカサ先輩「よし。ここは試験でも毎回のように出るぞ」
- 停電やサーバ故障で使えない → 可用性が損なわれた
- Webページや数値が書き換えられた → 完全性が損なわれた
- 顧客情報が外部に漏れた → 機密性が損なわれた
- 電話・のぞき見・ゴミあさりで人をだます → ソーシャルエンジニアリング
- 発展:3要素に「真正性・責任追跡性・否認防止・信頼性」を足して7要素とすることもある