情報セキュリティの基礎と重要性：個人と組織を守るために
2024/11/12に京都大学情報メディアセンター教授（CIO）岡部寿男先生より情報セキュリティに関して講義していただきました。現代において情報セキュリティは、個人、企業、大学などあらゆる分野で重要な課題となっています。デジタル化が進む中で、情報漏洩や不正アクセスのリスクは増加しており、セキュリティ対策は欠かせません。この記事では、情報セキュリティの基本概念と、具体的な対策方法について紹介します。
1. 情報セキュリティの3要素：機密性、完全性、可用性
情報セキュリティを考えるうえで、まず理解しておくべきは「CIAトライアングル」とも呼ばれる3つの基本要素です：
機密性（Confidentiality）：情報が許可された人のみアクセスできる状態を保つことです。これはアクセス制御や暗号化を通じて達成され、たとえば、パスワード管理やデータの暗号化がこれにあたります。
完全性（Integrity）：情報が正確かつ完全な状態で保たれることです。情報の改ざんや損失を防ぎ、データの正確性を確保します。
可用性（Availability）：必要なときに情報が利用できる状態を維持することです。サーバーの故障やネットワークの不具合が発生しても、システムがアクセス可能であることが求められます(⑦20241112_セキュリティ概論)。
これら3つの要素は、情報資産を守るための基盤です。1つでも欠けると情報漏洩やシステムダウンなど、重大なリスクが発生します。
2. 主な脅威と攻撃手法
情報セキュリティの脅威は、外部からの攻撃や内部からの漏洩といった多岐にわたります。代表的な攻撃には以下のものがあります：
能動攻撃：改ざんや妨害、なりすましなど、システムへの影響が明確に現れる攻撃です。たとえば、ハッカーがサーバーのデータを改ざんする行為などが該当します。
受動攻撃：盗聴やデータの傍受など、情報が知らない間に収集されるものです。被害者は攻撃を認識できないため、対策が欠かせません(⑦20241112_セキュリティ概論)。
情報セキュリティの脅威に対抗するためには、これらの攻撃手法を理解し、適切な防御策を講じることが必要です。
3. 京都大学のセキュリティ対策事例
組織における情報セキュリティ対策の例として、京都大学の取り組みを見てみましょう。同大学では、情報セキュリティを強化するため、CISO（Chief Information Security Officer）やCSIRT（Computer Security Incident Response Team）を設置し、インシデント対応やリスク管理を行っています。
また、情報セキュリティの具体的な取り組みとしては以下のようなものがあります：
VLANやDHCPの導入：ネットワークを仮想的に分割し、デバイスごとのアクセス制御を強化する。
ファイアウォールの設置：外部からの攻撃を防ぎ、内部ネットワークを保護する。
管理ログの記録：情報のアクセスや操作履歴を追跡し、不正なアクセスの早期発見を可能にする(⑦20241112_セキュリティ概論)。
このように、大学レベルでもさまざまな対策が講じられており、企業や個人にとっても参考になります。
4. 個人認証とアクセス管理
不正アクセスや情報漏洩を防ぐために、適切な個人認証が不可欠です。以下のような認証方法が用いられています：
パスワードとシングルサインオン（SSO）：1度のログインで複数のシステムへアクセスできるシングルサインオンが一般的です。しかし、パスワードの複雑化や定期的な変更が推奨されます。
バイオメトリクス認証：指紋や顔認証、虹彩認証など、生体情報を用いた認証は高いセキュリティを提供します。
FIDO認証：近年普及が進むFIDO（Fast Identity Online）は、ローカル認証でのセキュリティ強化を実現します。ユーザーがパスワードを利用せずに安全に認証を行えるため、サイバー攻撃のリスクが低減されます(⑦20241112_セキュリティ概論)。
こうした認証技術の導入により、不正アクセスのリスクを最小限に抑えることが可能です。
5. 組織に求められる責任と役割
情報セキュリティを確保するためには、技術だけでなく人的な対策も重要です。企業や大学は、CISOやCIO（Chief Information Officer）などのセキュリティ責任者を任命し、組織全体のセキュリティを統括する体制を整える必要があります。
CISOは経営層に位置し、情報セキュリティ戦略を推進する一方で、インシデント発生時には迅速な対応を指揮します。特に、CISOがCSIRTを監督し、迅速な意思決定ができる体制を整えることで、組織全体の情報セキュリティの信頼性が向上します(⑦20241112_セキュリティ概論)。
まとめ：個人と組織が連携して守るセキュリティ
情報セキュリティは個人、組織、社会全体にとって不可欠な課題です。日々進化するサイバー攻撃に対抗するためには、技術、運用、そして人的な対策を組み合わせることが必要です。また、CISOやCSIRTといった専門組織を配置し、迅速かつ確実にインシデント対応できる体制を整えることで、セキュリティのレベルをさらに高めることができるでしょう。