情報セキュリティの基本

1|# 情報セキュリティの基本
2|
3|もし明日、会社の顧客データが漏洩してニュースになったら——その原因が、あなたの昨日の「たった1回のクリック」だったとしたら。
4|
5|パスワードを「tanaka1234」にしていませんか？ 不審なメール、なんとなく開いていませんか？ USBメモリ、カバンに入れて持ち帰っていませんか？ どれも毎日やっている普通の操作です。でも、どれも会社の入り口を開ける行為なんです。
6|
7|「セキュリティってIT部門がやってくれるんでしょ？」「パスワード、忘れるから簡単なやつにしてる」「このメール、社内っぽいから開いちゃった」——こういうふうに思っていると、ちょうどいいタイミングで攻撃者にとりこまれてしまいます。情報セキュリティは、IT部門だけの仕事ではありません。あなたのPCが会社の入り口であり、あなたが1番目の防衛ラインです。この講座を読み終えたあなたは、次の3つができるようになります。
8|
9|1. 情報セキュリティの3つの脅威（マルウェア・標的型メール・内部不正）を、自分の業務に当てはめて説明できる
10|2. 不審メールを3つのチェックポイントで見分け、開かずに報告できる
11|3. パスワード管理・情報持ち出しの社内ルールを3つ以上実践できる
12|
13|この講座は最後まで、入社3ヶ月目の「田中さん」の1日という、1人の新入社員の日常だけで説明します。朝のメールチェックから退勤時のUSB持ち出しまで、田中さんの操作に何が潜んでいるかを3章で辿っていきます。各章末には手を動かす演習も置いているので、自分の1日に置き換えながら読み進めてみてください。そして、セキュリティの基本を掴んだ後は、関連講座でさらに深められます。まずは、この1本で自分を守る型を掴みましょう。
14|
15|## 第1章：情報セキュリティって何？——脅威の3パターン
16|
17|まずは、何が危ないのかを知る章です。「IT部門が守ってくれるから大丈夫」——その思い込みを外し、自分の日常操作に潜むリスクを自覚します。
18|
19|### この章のゴール
20|
21|この章を読み終えると、マルウェア・標的型メール・内部不正の3つの脅威を、自分の業務に当てはめて説明できるようになります。
22|
23|### 1-1 「IT部門が守ってくれる」の正体
24|
25|会社のパソコンには、ウイルス対策ソフトが入っている。ファイアウォールも動いている。だから大丈夫——そう思っていませんか？
26|
27|たしかに、これらの仕組みは外からの攻撃をブロックします。でも、その防线をすり抜ける攻撃があるんです。どうやって？ 答えはシンプルです。「人」を騙して、自分から入り口を開けてもらう——これが、いちばん多い攻撃の入り方です。あなたがメールを開く、あなたがパスワードを入力する、あなたがUSBを挿す。そのどれもが、会社の入り口を開ける行為です。IT部門は外からの侵入を防ぎますが、あなた自身が開けた入り口までは防げない。ここがスタートラインです。
28|
29|### 1-2 脅威の3パターン
30|
31|情報セキュリティの脅威は大きく3つに分かれます。1つずつ見ていきましょう。
32|
33|①マルウェア——悪意のあるプログラムの総称です。コンピュータウイルス、ランサムウェア（データを暗号化して身代金を要求するプログラム）、スパイウェア等が含まれます。IPAの定義では、「悪意を持って作成されたソフトウェアの総称」です。感染経路は、メールの添付ファイル、不正なWebサイト、他人のUSBメモリ等。あなたが「開く」「ダウンロードする」「挿す」操作が、感染のきっかけになります。
34|
35|②標的型メール——特定の組織や個人を狙い、業務に関連する内容を装って送られてくる偽装メールです。JPCERT/CCの注意喚起では、「特定の組織や個人を狙い、巧妙に偽装した電子メールを送信し、マルウェアに感染させたり、機密情報を窃取したりする攻撃手法」と定義されています。「社内システムの更新のお知らせ」「取引先からの請求書」等、仕事に関連する文面でクリックを誘導し、リンク先でIDやパスワードを盗みます。通常のスパムメール（不特定多数に送る広告）とは違い、あなたの組織・役職を調べて偽装しているのが特徴です。
36|
37|③内部不正——社員による情報の持ち出しや漏洩です。IPAの調査でも、インシデントの多くに人的要因が関与していることが報告されています。重要なのは、悪意だけでなく不注意も含むこと。「顧客データをUSBに入れて持ち帰る」「社外秘のファイルを私用メールに添付して送る」——悪気がなくても、情報が外に出た時点で内部不正です。
38|
39|### 1-3 情報セキュリティの3要素（CIA）
40|
41|これらの脅威は、何を壊そうとしているのでしょうか。JIS Q 27001（情報セキュリティの日本工業規格）は、情報セキュリティを「情報の機密性、完全性および可用性を維持すること」と定義しています。この3つが、守るべき対象です。
42|
43|| 要素 | ひとことで言うと | 脅威が壊すもの |
44||---|---|---|
45|| 機密性（Confidentiality） | 見てはいけない人が見られないこと | 情報の漏洩・窃取 |
46|| 完全性（Integrity） | データが書き換えられていないこと | 改ざん・破壊 |
47|| 可用性（Availability） | 必要なときにシステムが使えること | サービス停止・ランサムウェア |
48|
49|マルウェアは3要素すべてを脅かし、標的型メールは機密性（情報の窃取）を、内部不正は機密性（持ち出し）を壊します。セキュリティ対策とは、この3つを守ること——シンプルにこう捉え直せます。
50|
51|### 1-4 田中さんの1日に潜む脅威
52|
53|ここで、この講座を通して使う共通例「入社3ヶ月目の田中さん」の1日を見てみましょう。
54|
55|朝9時——メールをチェック。1通、社内っぽいメールが届いている（→標的型メールの到達点）
56|午前中——業務でファイルをダウンロード。たまに外部サイトからも取得する（→マルウェアの感染経路）
57|退勤時——自宅でも作業しようと、USBに顧客リストをコピーして持ち帰る（→内部不正・不注意）
58|
59|どれも「いつもやってる操作」ですよね。でも、朝の1通が標的型メールだったら？ ダウンロードしたファイルにマルウェアが混入していたら？ USBを紛失して顧客情報が漏れたら？ どれも現実に起きているインシデントです。
60|
61|### 1-5 この章の確認（演習）
62|
63|自分の1日のPC操作を3つ書き出し、それぞれ「誰が見たら困るデータか」を1文で書いてみてください。たとえば「メールの添付ファイルを開く→顧客の注文データが見える→競合に漏れたら困る」のように。自分の操作に脅威が潜んでいることを、手を動かして自覚するのがこの章のゴールです。
64|
65|## 第2章：標的型メール——見分け方と動き方
66|
67|第1章で「脅威の3パターン」を知りました。この章では、いちばん実害の大きい脅威——標的型メール——に絞って、見分け方と動き方を身につけます。
68|
69|### この章のゴール
70|
71|この章を読み終えると、不審メールを3つのチェックポイント（差出人・URL・文面）で見分け、開かずに報告できるようになります。
72|
73|### 2-1 標的型メールは「あなた」を狙う
74|
75|スパムメールは、不特定多数に送る広告です。「格安で購入」「当選しました」等、いかにも怪しい文面なので、見分けるのは比較的簡単です。
76|
77|標的型メール（スピアフィッシング）は、これとは違います。攻撃者はあなたの組織・役職を調べて、業務に関連する内容を装います。「社内システム更新のお知らせ」「取引先からの請求書」「総務部からのお知らせ」——一見すると、いつもの社内連絡や業務メールと区別がつきません。IPAの「情報セキュリティの10大脅威 2024」でも、個人部門で「フィッシング」が第1位、組織部門でも標的型攻撃メールが継続的に上位脅威として挙げられています。
78|
79|### 2-2 3ポイントチェック（差出人・URL・文面）
80|
81|標的型メールを見分けるには、メールを開く前に3つのポイントを確認する癖をつけます。
82|
83|①差出人を確認する——@以降のドメインを見ます。1文字違いに注意してください。「@company.co.jp」が「@company-co.jp」になっていたり、社内ドメインに似せた別ドメインだったりします。差出人偽装は技術的に簡単にできるため、IPAはメール送信ドメインの認証技術（SPF・DKIM・DMARC）の導入を推奨していますが、すべての組織で完璧に運用されているわけではありません。「社内メールだから安全」は、思い込みでしかありません。
84|
85|②URLを確認する——リンクをクリックする前に、カーソルを合わせて（ホバーして）飛び先を確認します。クリックはしない。表示されるURLが社内ドメインと違っていたら、それだけでアウトです。「login.company.co.jp」に見せかけて「login-company.co.jp」等、一部だけ似せているケース（ホモグラフ攻撃）もあります。
86|
87|③文面を確認する——「直ちに」「今すぐ」「確認せよ」等の緊急性の強要や、「アカウントが停止されます」等の脅迫がないか。正当な社内連絡でも緊急の連絡はありますが、パスワードの入力を求める社内メールは、まず疑ってください。 正規の社内システムがメール経由でパスワード入力を求めることは、通常ありません。
88|
89|この3ステップを「開く前に必ずやる癖」にする——それが、標的型メールに対するいちばん確実な防御です。あなたのクリックが会社の入り口を開ける。開ける前に、3秒止まる——この癖が、攻撃者に入り口を開けさせないのです。
90|
91|### 2-3 田中さんに届いた1通のメール
92|
93|田中さんの受信箱に、こんなメールが届きました。
94|
95|> 件名：【重要】社内システムのパスワード更新のお知らせ
96|> 差出人：system-admin@company-co.jp
97|> 本文：パスワードの有効期限が切れています。直ちに以下のリンクからパスワードを変更してください。
98|> リンク：https://login-company.co.jp/password-reset
99|
100|一見すると社内連絡です。でも、3ポイントチェックをしてみましょう。
101|
102|- 差出人：@company-co.jp——社内ドメインは「company.co.jp」です。ハイフン1つ違い。×
103|- URL：login-company.co.jp——社内のログイン画面は「login.company.co.jp」。ドメインが違う。×
104|- 文面：「直ちに変更してください」——緊急圧力＋パスワード入力の要求。×
105|
106|3つとも×。このメールは、開かずに報告すべき標的型メールです。
107|
108|### 2-4 怪しいときの3ステップ行動
109|
110|標的型メールを見分けた後の動き方も、3ステップで覚えてしまいましょう。
111|
112|1. 開かない・クリックしない・情報を入力しない
113|2. 情報システム部（または社内の窓口）に報告する
114|3. 周囲にも注意喚起する
115|
116|「小さな違和感だから……」「忙しいから確認が面倒……」——この1回の省略が、全社の被害につながることがあります。「怪しい」と思った時点で止めることが、最大の防御です。1分でも早い報告が、被害を最小化します。
117|
118|### 2-5 この章の確認（演習）
119|
120|次の3通のメールを見て、どこが怪しいかを3ポイント（差出人・URL・文面）で指摘してみてください。
121|
122|- メールA：差出人 @payroll-corp.co.jp / 件名「給与明細の確認」/ リンク先 payroll-corp.co.jp
123|- メールB：差出人 @sales.partner.com / 件名「契約書の送付」/ 添付ファイル contract.pdf.exe
124|- メールC：差出人 @admin.company.co.jp / 件名「システムメンテナンスのお知らせ」/ 文面「午後3時にシステム停止します。作業を保存してください」
125|
126|3ポイントチェックを自分の手で定着させるのが、この章のゴールです。
127|
128|## 第3章：今日からできる3つの対策——パスワード・持ち出し・報告
129|
130|第1章で脅威を知り、第2章で見分け方を学びました。最後の章は、今日から動ける対策を3つ身につけます。
131|
132|### この章のゴール
133|
134|この章を読み終えると、パスワード管理・情報持ち出し・インシデント報告の社内ルールを3つ以上実践できるようになります。
135|
136|### 3-1 パスワード：共通パスワードは1つの鍵で全部屋を開けるのと同じ
137|
138|田中さんのパスワードは「tanaka1234」。全サービス共通で使っています。
139|
140|これがどういうことか想像してみてください。家の玄関も、会社の入口も、金庫も、すべて同じ鍵1つで開く状態です。この鍵が1つでも漏れたら——全部の部屋に入られてしまいます。
141|
142|辞書攻撃（よく使われるパスワードのリストで次々ログインを試す攻撃）では、この程度のパスワードは短時間で突破されるおそれがあります。ブルートフォース攻撃（すべての文字の組み合わせを総当たりで試す攻撃）でも、パスワードが短く単純なほど突破されやすい。パスワードは長く複雑にするほど、突破に要する時間が指数関数的に増加します。
143|
144|NIST SP 800-63B（米国国立標準技術研究所のパスワードガイドライン）は、パスワードを最低8文字以上にすることを推奨しています。文字種の混合（大文字小文字・数字・記号）を強制するより、長さを優先する方が、最新のガイドラインでは推奨されています。IPAも同様の方針を掲げています。
145|
146|対策を3つにまとめます。
147|
148|1. サービスごとに異なるパスワードを使う——1つ漏れても他は安全
149|2. 8文字以上、できるだけ長く——NIST推奨の最低ライン
150|3. パスワードマネージャーを使う——複数のパスワードを暗号化して一括管理するソフトウェア。マスターのパスワード1つ（または生体認証）で全パスワードにアクセスでき、ランダムな長い文字列の自動生成・自動入力もしてくれます。IPA/JPCERT/CCが特定の製品を公式推奨しているわけではありませんが、サービスごとに異なるパスワードを管理する現実的な手段として、利用を検討するとよいでしょう
151|
152|### 3-2 情報の持ち出し：社内データは社内にあるのが基本
153|
154|田中さんは、退勤時にUSBメモリに顧客リストをコピーして持ち帰ります。「自宅でも作業したほうが早いから」。でも、この行為は就業規則違反の可能性が高いです。
155|
156|情報の持ち出しは、意図的でなくても内部不正にあたります。主なパターンは3つです。
157|
158|- USBメモリ——小さくて紛失しやすく、暗号化されていなければ中身が丸見え
159|- クラウドへのアップロード——私用のクラウドサービスに社外秘データを上げると、そのサービスの侵害時に漏洩する
160|- メール添付——私用メールに社内ファイルを送ると、そのメールが侵害された時に漏洩する
161|
162|各社のルールは異なりますが、基本方針は共通しています。社内データは社内にあるのが基本。持ち出す必要がある場合は、社内ルール（USB禁止・クラウドは許可制・メール添付は暗号化必須等）を確認し、守る。ルールを知らない場合は、情報システム部に確認する——これだけで、多くの持ち出しインシデントを防げます。
163|
164|### 3-3 インシデント報告：「小さな違和感」を黙らない
165|
166|「変なメールを開いてしまった」「パスワードを入力してしまった」——こういうとき、やってしまって隠したくなるのが人情です。でも、隠すことがいちばん危険です。
167|
168|早期報告が被害を最小化します。1分でも早い報告で、情報システム部は全社のパスワードリセットや端末の隔離等の対応を取れます。1時間遅れれば、攻撃者はその時間を使って社内をさらに広く探索できます。
169|
170|報告の型は3点で十分です。
171|
172|1. 何が起きたか（「不審なメールを開いた」「パスワードを入力してしまった」）
173|2. いつ起きたか（「今」「10分前」）
174|3. どう対応したか（「すぐにメールを閉じた」「まだ何もしていない」）
175|
176|「小さな違和感」であっても報告する。これが、あなたが1番目の防衛ラインであることの証明です。
177|
178|### 3-4 田中さんの今日から変わる3つ
179|
180|田中さんの1日を振り返り、3つの対策を「今日から」動かしてみましょう。
181|
182|| 田中さんの今 | 今日から変える |
183||---|---|
184|| パスワード「tanaka1234」を全サービス共通で使用 | サービスごとに異なる8文字以上のパスワードに。パスワードマネージャーで管理 |
185|| 顧客リストをUSBで自宅に持ち帰り | 社内ルールを確認。USBが禁止なら、リモートアクセス等の正規手段に切替 |
186|| 変なメールを開いても「まあいいか」で黙る | 開いてしまったら、情報システム部に「何が・いつ・どう対応したか」をすぐ報告 |
187|
188|どれも、今日1つだけ始めれば、あなたの入り口は1つ固くなります。
189|
190|### 3-5 この章の確認（演習）
191|
192|自分の現在のパスワード運用を振り返り、今日から変える1つを書いてみてください。例：「一番よく使うパスワードを、サービスごとに変える」「パスワードマネージャーを導入する」「USBでの持ち出しをやめ、社内ルールを確認する」。きれいでなくてよいです。1つ動かすことが、この章のゴールです。
193|
194|## まとめ：あなたのクリックが、会社の入り口を開ける
195|
196|3章を1本の線で並べ直しましょう。
197|
198|脅威を知る——マルウェア・標的型メール・内部不正の3パターンが、あなたの日常操作（メールを開く・パスワードを使う・ファイルを持ち出す）に潜んでいる。
199|
200|見分ける——標的型メールは、差出人・URL・文面の3ポイントで見分けられる。開く前に3秒止まる癖をつける。
201|
202|対策する——パスワードはサービスごとに変え、8文字以上に。持ち出しは社内ルールを守る。違和感があればすぐ報告する。
203|
204|情報セキュリティは「IT部門だけの仕事」ではありません。あなたのPCが会社の入り口であり、あなたが1番目の防衛ラインです。すべての判断は「この操作は、会社の入り口を開けていないか？」に戻ります。
205|
206|「あなたのクリックが、会社の入り口を開ける。開ける前に、3秒止まる」——このひと言を、明日のデスクに持っていってください。
207|
208|### 明日の最初の一歩
209|
210|自分のパスワードを1つ、今日サービスごとに変える運用にする。それだけで、あなたの入り口は1つ固くなります。きれいでなくてよい。1つ動かすことが、守りの始まりです。
211|
212|### さらに深める導線
213|
214|この講座は「情報セキュリティの基本（脅威・見分け方・3対策）」という入口です。さらに深めるなら——
215|
216|- AIの活用で情報漏洩を防ぐリテラシーは AIリテラシーと情報セキュリティ入門（kouza-054）
217|- 守るべきルールと違反のリスクは コンプライアンス入門（kouza-106）
218|
219|法人でまとまった研修をご検討の方は、法人研修資料請求へお問い合わせください。