2025.10.13

【保存版】初心者でもわかる！情報セキュリティの基礎から応用まで完全ガイド

ojya

ニュースの「サイバー攻撃」、結局なにが危ない？
SNS乗っ取りや情報漏えい、どう防ぐ？
この記事で“重要ポイントだけ”最短理解しましょう。

Contents

結論
1. 情報セキュリティとは？（超基本）
- 基本の3要素（CIA）
2. 脆弱性と脅威：なにが危険を生むのか
3. 組織で守るISMSとISO/IEC 27001
4. リスクマネジメント超入門
5. マルウェアの正体（種類と対策）
6. よくあるサイバー攻撃“要点防御”
7. ネットワークの守り
8. 暗号化と電子署名
9. メール＆SNSの安全運用チェックリスト
10. AI時代の新手口：ディープフェイクの見抜き方
11. まず何から始める？今日の行動リスト
よくある質問
まとめ

結論

セキュリティの土台は「CIA：機密性・完全性・可用性」。
被害は「脆弱性 × 脅威」が揃うと起きる。脆弱性を自分で潰すのが最優先。
個人はまず「ソフト更新・パスワード管理・多要素認証（MFA）」の“三種の神器”。
企業は「ISMS（ISO/IEC 27001）」で“仕組み”として守る。
怪しいリンクを踏まない・フリーWi-Fiで入力しない・バックアップを取る。これだけで多くの被害は回避可能。

1. 情報セキュリティとは？（超基本）

大切な情報を、さまざまな危険から守ること。
個人なら写真・連絡先・パスワード・カード情報。企業なら顧客情報・設計図・戦略など。

基本の3要素（CIA）

機密性（Confidentiality）：許可された人だけが見られる
完全性（Integrity）：改ざんされていない
可用性（Availability）：必要なときに使える

＋最近は、真正性・責任追跡性・否認防止・信頼性も重要視（合計7要素）。

2. 脆弱性と脅威：なにが危険を生むのか

脆弱性＝弱点（例：古いOS、初期パスワード、鍵の閉め忘れ）
脅威＝弱点を狙う攻撃（例：ウイルス、フィッシング、侵入者）

被害＝脆弱性 × 脅威。
→ 自分でコントロールできる“脆弱性”を潰す（更新・設定・教育）が最も効きます。

3. 組織で守るISMSとISO/IEC 27001

ISMSは「技術×人×物理」を含めた組織的な運用ルールの総合仕組み。
世界共通の基準がISO/IEC 27001。第三者による審査（ISMS認証）で対外的な信頼を得られます。

4. リスクマネジメント超入門

基準づくり：どの程度の損害なら許容？（閾値を決める）
特定：想定されるリスクを洗い出し
分析：発生確率 × 影響度
評価：優先順位づけ
対応：
- コントロール（回避・低減・分離分散）
- ファイナンス（移転＝保険、保有）

5. マルウェアの正体（種類と対策）

ウイルス：ファイルに寄生して感染。添付ファイル注意＆マクロ無効化
ワーム：自力で増殖し広がる。OS/ソフトの更新
トロイの木馬：正規アプリを装う。公式ストア＆署名確認
ランサムウェア：暗号化して身代金要求。バックアップ＋MFA＋標的型対策
スパイウェア/キーロガー：情報窃取。挙動監視型のセキュリティ
ルートキット/ボット：潜伏・遠隔操作。EDR/監査ログ/ネットワーク分離

セキュリティ製品は二刀流

パターンマッチ：既知の脅威に強い
振る舞い検知（Behavior）：未知の脅威に強い
→ 両方使うのが現実解。

6. よくあるサイバー攻撃“要点防御”

パスワード系

ブルートフォース／辞書／リバースブルート：長く複雑に＋アカウントロック＋CAPTCHA
パスワードリスト攻撃：使い回し禁止＋MFA必須＋漏えいチェック
レインボーテーブル：サービス側でソルト＋ストレッチングを実装

Webアプリ系

SQL/OSコマンドインジェクション：WAF＋サニタイズ＋プレースホルダ
XSS：入力無害化＋CSP＋WAF
CSRF：CSRFトークン
ディレクトリトラバーサル／リスティング：パス検証・一覧無効化

通信系

スニッフィング：HTTPS/VPN＋フリーWi-Fiで入力禁止
IPスプーフィング：（組織）適切なフィルタリング
DNSキャッシュポイズニング：DNSSEC＋最新化

可用性攻撃

DoS/DDoS：対策サービス＋レート制限＋CDN/Anycast

ゼロデイ

多層防御（WAF/IPS/EDR）＋迅速なパッチ適用＋権限最小化

7. ネットワークの守り

ファイアウォール：出入口の警備員（許可/禁止の通信を仕分け）
WAF：Webアプリ専門の警備（SQLiやXSSパターンを検知）
プロキシ／リバースプロキシ：窓口を一本化・実サーバーを隠す
DMZ：外部公開サーバー用の“緩衝地帯”
ペネトレーションテスト／ファジング：疑似攻撃で穴を発見

8. 暗号化と電子署名

暗号化：盗み見られても読めない（通信＝HTTPS、保存＝フルディスク/ファイル暗号）
電子署名：送信者が本物か・改ざんがないかを保証（否認防止にも効く）
鍵の管理が命：二段階保護・HSM/セキュアエレメントの活用

9. メール＆SNSの安全運用チェックリスト

メール

「緊急」「重要」で焦らせる文面→公式アプリやブックマークから再確認
添付のOfficeマクロは既定で無効
転送設定の乗っ取りチェック・MFA導入
署名/差出人ドメイン（DMARC/DKIM/SPF）の整合を確認（企業側）

SNS

MFA必須、SMSより認証アプリか物理キー推奨
連携アプリを定期棚卸し
個人情報（勤務先・日程）の過度な公開は避ける

10. AI時代の新手口：ディープフェイクの見抜き方

“急ぎの送金・ギフトカード”を迫る依頼は一旦停止
映像/音声だけで判断しない→別チャネルでコールバック
背景の不自然な瞬間、影・瞬き・口の動きのズレに注意
企業は合言葉・少額テスト送金・承認ワークフローを仕組み化

11. まず何から始める？今日の行動リスト

OS・ブラウザ・セキュリティソフトを最新化（自動更新ON）
全アカウントでMFAを有効化（特にメール・クラウド・SNS・金融）
パスワードの使い回しをゼロに（マネージャ導入／長いパスフレーズ）
バックアップを2系統（クラウド＋外付け、定期テスト復元）
フリーWi-Fiで入力しない／VPNを使う
メールのリンクは踏まない（公式ルートで確認）
権限最小化（不要な共有・連携アプリを解除）
インシデント時の連絡先をメモ（社内窓口・停止手順）

よくある質問

無料のセキュリティで十分？
最低限は可。ただしMFA＋バックアップ＋更新徹底は必須。重要用途は有料EDRや家族プランも検討。
パスワードと生体認証、どっち？
併用が最強。生体は所持要素と組み合わせて多層化。
ランサムウェアに備える最適解は？
バックアップ（オフライン/バージョン管理）＋最小権限＋MFA＋メール訓練。

まとめ

まずは“基本の徹底”で9割の事故を防げます。
個人でも企業でも、「更新・MFA・バックアップ」が最強のコスパ対策。
組織は“点の対策”ではなく、ISMSで“仕組み”として守るのが鍵。

ABOUT ME