用語【ブルートフォースアタック】【辞書攻撃】
コンピュータを乗っ取る際のアタック方法。
◇ブルートフォースアタック
考えられるパスワードの組み合わせを全て試す方法。
*四桁数字とかはすぐ見破られる。
パスワードを長くしたり、英数字記号を混ぜたり、複雑化させることで対処。
◇辞書攻撃
ユーザがパスワードとして使いそうな文字列を辞書として用意しておき、プログラムで自動的にアタックをかける方法。
*administrator, asdf, ユーザ名と同じ等、使われそうな文字列はすぐ突破され、乗っ取られる。
用語【バックドア】【ソーシャルエンジニアリング】
◇バックドア
・クラッカーによって侵入されてしまったサーバに設けられた、不正侵入用の「裏口」。
◇ソーシャルエンジニアリング
・巧みな話術、盗み見、盗み聞きによってセキュリティ上重要な情報を収集すること。
*社員からパスワードを聞かれたので、答えたらクラッカーのなりすまし行為だった。etc
【パケット交換方式のメリット】
パケット交換方式とは 「データを小分けにして送受信する方法」。
メリットは３つ。
①パケット多重
・一本の回線に複数のデータを流すことができる。
②障害に強い
・万が一ネットワーク障害が起こっても、ルータが別の経路を探してパケットを流してくれる。
③異機種感接続性がある
・プロトコル形式や回線速度が異なっていても、パケットであれば送受信することができる。
間違い・意見等ありましたらぜひコメントを(・ω・)/
【OSI基本参照モデル】
プロトコルは7層から成る。
7層： アプリケーション層
・ウェブ・メール等、ユーザがデータのやりとりをする部分
6層： プレゼンテーション層
・データ形式を変換する部分
・データの暗号化や圧縮を行う
5層： セション層
・アプリケーションの開始と完了時にデータのやり取りをする部分
4層： トランスポート層
・ネットワーク層とアプリケーション層の窓口業務をする部分
・データの誤りを修正する
・TCP UDPがこれにあたる
3層： ネットワーク層
・ネットワーク同士の通信を行う部分
・一意なアドレスの割り当て、データの伝送経路選択(ルーティング)、パケットサイズの変換を行う部分
2層： データリンク層
・ネットワーク上で直結している機器同士でやりとりをする部分
・ノード同士でデータをやりとりする部分
1層： 物理層
・ネットワーク媒体や電気信号のやりとりをする部分
・光ファイバ、無線などがこれにあたる
間違い・意見等ありましたらぜひコメントを(・ω・)/
【情報セキュリティポリシは三階層】
情報セキュリティポリシの策定で作成される文書は３つ。
１．情報セキュリティ基本方針 (見直し期間５年)
概要： 組織全体の方針を書いたもの
２．情報セキュリティ対策基準 (見直し期間３年)
概要： どのような対策を実施するのか、各部署の事情に沿って書いたもの
３．情報セキュリティ対策 実施手順・規定類 (見直し期間１年)
概要： 業務を行う上で守るべきルール、作業手順を書いたもの(マニュアルとか)
※「情報セキュリティ基本方針」 「情報セキュリティ対策基準」の２つが情報セキュリティポリシに含まれる。
【ISMS構築フロー】
PDCAサイクルでISMSが成り立つ。
P： Plan (計画)
D： Do (実行)
C： Check (評価)
A： Action (改善)
-------------------------------------------
①P： 情報セキュリティポリシを定め、具体的なセキュリティ対策を計画する
[ミッション]
・情報資産管理台帳の作成
・ISMS構築計画の作成 (脆弱性をなくす計画)
②D: セキュリティ対策の実施
[ミッション]
・ISMS構築チームと各PJ担当者が協力し、末端社員までのセキュリティ対策遵守を指示
・全社員へのセキュリティ教育
・脆弱性をなくすための対策を実施
*クリアデスク・クリアスクリーンの遵守など
③C: セキュリティ対策実施に対する評価
[ミッション]
・ISMS本審査
・審査員からのレビューを受ける
④A： 情報セキュリティポリシの再度見直し、改善
[ミッション]
・残留リスクに対する対処策
・審査員からの指摘事項に対する改善策を計画
・次回更新審査までのセキュリティ対策、スケジュールの計画
グルグル回してセキュリティレベルを上げ続けること、情報セキュリティマネジメントシステム(ISMS)。
間違い・意見等ありましたらぜひコメントを(・ω・)/
用語【リスクファイナンス】【リスクコントロール】
【リスクファイナンス】
・リスクが現実化した時に向けた資金対策のこと
○リスク移転： 外部に保険をかけること。
ex) ネットワーク保険 災害保険等
○リスク保有： リスクを抱えたまま業務を続けること。
*受容リスクであるということ。
【リスクコントロール】
・リスクが現実化しないようにする対策のこと。
*情報資産をなくす 脆弱性をなくすetc
○リスク回避： リスクそのものをなくしてしまうこと。
*情報資産をなくすetc
○リスク最適化： リスクを小さくしたり、分割して受容範囲内に収めること。
*脆弱性をなくすetc
ex)ブラウザのセキュリティパッチを当てて脆弱性をなくす
ファイルのバックアップを定期的にとる
ジムに通って病気に犯されない強い身体を作る
【リスク分析の仕方】
【リスク分析の手法１－リスクの強度による手法】
・定性的分析法
リスクの大きさを金額以外（大・中・小などのレベルや
相対的な値など）で表す分析手法。
・定量的分析法
リスクの大きさを金額で表す分析手法。
【リスク分析の手法２－具体的な作業手法】
１．ベースラインアプローチ
・あらかじめ実現すべきセキュリティレベルを設定する。
・実現するために必要な対策を選択する。
・対象となるシステムに一律に適用する。
２．非形式的アプローチ
組織・担当者の経験や判断によってリスクを評価する。
３．詳細リスク分析
守るべき情報資産の『価値』 『脅威の大きさ』 『脆弱性』の3つの要素を勘案してリスク値を算出する。
cf) リスク値＝情報資産の価値×脅威×脆弱性
４．組み合わせアプローチ
ベースラインアプローチと詳細リスク分析の組み合わせ。
間違い・意見等ありましたらぜひコメントを(・ω・)/
用語【純粋リスク】【投機リスク】
【純粋リスク】
・明らかに損にしかならないもの。
⇒眠いので電車の線路で寝るetc
【投機リスク】
・リスクが発生すると損失になるが、発生しなければいいこともあるもの。
⇒個人情報にアクセス可能な人間を最少数にするため、虹彩認証を設けた。
費用はかかったが、個人情報に対する不正アクセスの抑止効果に繋がった。etc