セキュリティを確立する前に基本的な用語を説明していきます。いろいろな場面で用語の意味がわかっていれば、状況を理解する助けとなるでしょう。
目次
セキュリティポリシー
セキュリティに関する基本的な方針です。手順を決めるには基準が必要であり、基準を決めるためには方針が必要です。方針を決めるには、以下の２点が必要になってきます。
１）組織の目的や目標が明確であること
２）経営層の関与・承認
セキュリティポリシーに加えて「スタンダード(基準)」と「プロシージャ(手順)」が必要になります。制定する順序は、①セキュリティポリシー、②スタンダード、③プロシージャ、です。
セキュリティ事故対応の４つのフェーズ
セキュリティ事故（インシデント）への対応は四つのフェーズからなります。四つのフェーズは、事故の「検知」、発生した事故の「初動対応」、事故からの「復旧」、「事後対応」になります。
「検知」とは、「実際に攻撃による被害が発生していることを、いろいろな手がかりから検出し、知る」ことです。インシデントの発生を完全に防ぐことは不可能です。発生から検知までの時間をできるだけ短縮して、迅速に初動対応を行うことがセキュリティ対策の焦点となります。
「初動対応」は原因を正確に特定し、被害を最小限に抑えることであり、正確かつ迅速な初動対応が必要です。
「復旧」とは初動対応が完了した後に、システムを「インシデントが発生する前の状態」に戻し、再発防止策も併せて実施することです。
「事後対応」とは、インシデントの対応記録の作成も含めた、同様なインシデントを防止する対処、システム構成などを再構成することです。
認証と認可
「認証」とは、利用者が誰であるかをシステムが識別することです。例えば、IDを入力したあと、他の人が知らないパスワードを入力させて、利用者がIDの持ち主であることを確認することになります。
「認可」とは認証によって識別された利用者が「何をやってよいか」をチェックすることです。
暗号
暗号化とは部外者にはデータが読めないようにする手段の一つです。暗号化されたデータを元の誰でも読めるデータに戻すことを「復号」と呼びます。暗号化するには「暗号化アルゴリズム」と「鍵」が必要です。
暗号は大別すると「共通鍵暗号」と「公開鍵暗号」があります。
ハッシュ
ハッシュとは、あるデータに対応する値を求めるための手法です。同じデータから生成したハッシュ値は常に同じで、元データが少しでも違えば違うハッシュ値が生成されます。こういった性質を、例えば、配布されるフリーソフトウェアの圧縮ファイルが改善されていないことに使います。
ハードニング
ハードニングとは「要塞化」と呼ばれることがあります。基本は「基本的かつ地道な対策」の積み重ねです。「外部に公開するサービスの局所化」「動作しているものの把握」「不必要なプログラムの停止」「脆弱性を修正するパッチの迅速な適用」「セキュリティソフトウェアや機器の導入」「OSやネットワーク機器などは一箇所だけでなく、複数の箇所で多層防御を行う」などです・。
パスワード
システムの登録されているユーザーを認証するための情報です。容易に推測できるような文字列や、シンプルで短い文字列にしてしまうと、悪意のある人に解読される恐れが高まるので注意が必要になります。
バイオメトリック認証
「生体が持つ各種特徴」を認証に用いる認証方式の総称です。顔認証、指紋認証、網膜・虹彩認証などがあります。認証誤りの可能性は次の二つの指標で表されます。
１）本人拒否率（False Rejection Rate:FRR）
２）他人受入率（False Acceptance Rate:FAR）
ワンタイムパスワード
一回だけ使用可能なパスワードのことです。生成されたパスワードは、一度利用されると使えなくなります。
二要素認証
素性の異なる二種類の情報を組み合わせて認証を行う認証方式です。最大の長所は、一方の情報が漏洩、または流出してもセキュリティが確保される点です。二要素認証を実現するシステムをコストをかけて構築する必要があります。
シングルサインオン
一度のサインオン（認証）で、複数のシステムを利用できるようにするための仕組みです。
電子署名とその応用の例
「電子データの作成者」を元のデータに付与し、さらに元のデータが改ざんされていないことを保証するための技術です。電子署名を実現するためには、以下の３つのアルゴリズムが必要になります。
鍵生成アルゴリズム
電子署名を実現するために必要な「署名するためのカギ（秘密鍵）」と「署名を検証するためのカギ（公開鍵）」を生成するアルゴリズムです。秘密鍵は署名者が厳重に管理し、公開鍵は他社に公開されます。
署名アルゴリズム
署名者が生成した秘密鍵を用いて、電子データに対応する署名データを生成するアルゴリズムです。
検証アルゴリズム
電子データと対応する署名データが与えられた際に、他者が署名者の公開鍵を用いて対応が適切なものであるかを確認するアルゴリズムです。
証明書と認証局
証明書とは
自身が正しい存在であることを示すために用いる仕組みです。証明書は「サーバーの存在証明」や「暗号化通信を行うための信頼の基礎」になります。電子署名を行う場合に証明書が使われることもあります。
証明書を発行するための仕組み
コンピュータの世界の証明は、認証局（CA：Certificate Authority）と呼ばれる機関が発行します。認証局を維持運営する仕組みをPKI（Public Key Infrastructure:公開鍵基盤）と呼びます。国が運営するPKIをGPKTI（Goverment PKI）と呼びます。
証明書の検証方法
個々のサーバー証明書を検証するには、「証明書を発行した認証局の証明書」が必要です。証明書を検証する証明書のことを「ルート証明書」や「中間証明書」と呼びます。
暗号化ファイルシステム
暗号化とは鍵を持っている人だけがデータを読めるようにする技術です。暗号化ファイルシステムは「ファイルシステムそのものに暗号化機能を追加することによって、ファイルを暗号化する技術」です。ユーザーは対象のファイルが暗号化されているのか、暗号化されていないのかを意識する必要はありません。ファイルへのアクセス権によって自動的に処理されているため、アクセス権が付与されていれば閲覧でき、付与されていなければ閲覧できないだけです。
Windowsde利用可能な暗号化ファイルシステムには「EFS]や「BitLocker]があります。
ウイルススキャン
パターンファイルを用いたウイルススキャン
パターンファイルはマルウェアのファイルが持つ特徴を記述したデータベースです。個々のファイルとパターンファイルに登録されているデータを照合し、結果が合致（検知）したものを「マルウェア」と断定します。セキュリティソフトウェアは断定されたファイルを検疫（ユーザーが触れない領域に退避）、駆除（削除）します。
振る舞いによるウイルス検知
パターンファイルで検出可能なマルウェアの割合は減少しています。なので、現在は、マルウェアが動作する段階で対象のファイルを見なすようになってきています。
レピュテーションによるウイルス検知
パッチ
バグを修正するためのデータの総称です。データの一部を書き換えることでシステムのバグや脆弱性を修正する場合もあります。また、既存のファイルをバグのない正しいファイルに書き替えたり、新しいファイルを追加したりすることでシステムを修正する場合もあります。
パケットフィルタリングとアプリケーションゲートウェイ
パケットフィルタリングは、IPパケット毎に、条件に合致するか否かを確認し、通信を許可したり拒否したりするための仕組みです。アプリケーションゲートウェイは、パケットレベルではなく、サービスなどのアプリケーションが扱うデータを通信路上で確認し、条件に合致する通信を許可したり、拒否したりするための仕組みです。
セキュリティオペレーションセンター（SOC）
システムやネットワークなどの監視対象に発生する何らかのセキュリティイベントを検知した際に、検知した内容を一定の基準に従って取捨選択し、通知先に知らせる一連の仕組み（営み）です。
SDL（Security Development Lifecycle）
セキュリティを考慮した開発工程（ライフサイクル）のことを、SDL（Security Development Lifecycle）と呼びます。
各種ログ
ルータやコンピュータなどに保存されるログ（動作記録）は各機器やシステム全体が正常に動作しているか確認するために役立ちます。機器やシステムが攻撃を受けたか否かを確認するためにも用いられます。
CSIRT（Computer Security Incident Response Team）
発生したセキュリティ事故に対して、専門的な知見と適切な他者とのインタフェースをもって対応するチームです。
参考文献：「セキュリティの基本」, みやもとくにお/大久保隆夫, SB Creative