セキュリティコントロールの世界へようこそ！
CIMA受験生の皆さん、こんにちは！現在、P3（リスク管理）シラバスのセクションD：サイバーリスクを学習中です。この「セキュリティコントロール」という章は、いわば防御の要（かなめ）です。サイバー脅威がどのようなものかを理解した今、それらをどのように防ぐべきかを学んでいきましょう。
セキュリティコントロールは、銀行の金庫を守るさまざまな防護層のようなものだと考えてください。侵入者を威嚇するもの、侵入そのものを阻むもの、そして侵入されたことを知らせるものなどがあります。少し専門的に聞こえるかもしれませんが、身近な例を挙げながら分かりやすく解説していくので安心してくださいね！
1. セキュリティコントロールとは？
簡単に言うと、セキュリティコントロールとはサイバー脅威のリスクを低減するために講じられるあらゆる対策のことです。その目的は、データの機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）、いわゆるCIAを守ることです。
これらのコントロールは、一般的に次の3つの「バケツ（カテゴリ）」に分類されます。
1. 物理的コントロール： 手で触れることのできるもの。物理的な環境を保護します。
例：ドアの鍵、監視カメラ（CCTV）、警備員など。
2. 論理的（技術的）コントロール： システム内部のデータを保護するためのソフトウェアやハードウェアの設定です。
例：パスワード、ファイアウォール、暗号化など。
3. 管理的（手続き的）コントロール： 経営層によって定められた「ルール」や方針です。
例：従業員研修、身元調査、セキュリティポリシーなど。
クイックレビュー
質問：「クリアデスク・ポリシー（離席時に机の上を片付けるルール）」は、物理的コントロールでしょうか、それとも管理的コントロールでしょうか？
答え：管理的コントロールです。なぜなら、それは従業員が守るべきルールや手順だからです。
2. 機能によるコントロールの分類
ここは試験で頻出のトピックです！コントロールは「何であるか」だけでなく、「何をするか」によっても分類されます。以下の分類を覚えるときは、犯罪が発生するタイムラインをイメージしてみましょう。
A. 抑止的コントロール（Deterrent）
攻撃を未然に思いとどまらせるためのものです。攻撃者の心理に働きかけます。
例え：「猛犬注意」という看板。実際に犬がいるかどうかは分かりませんが、泥棒は二の足を踏みますよね！
B. 予防的コントロール（Preventive）
攻撃の成功を物理的に阻む「壁」です。不正アクセスをブロックします。
例え：玄関ドアの高性能なデッドボルト（錠）。
C. 発見的コントロール（Detective）
攻撃が発生している、または既に発生したことを特定します。攻撃そのものは止められませんが、アラームを鳴らします。
例え：火災報知器や人感センサー付きアラーム。
D. 修正的コントロール（Corrective）
インシデント発生後に被害を修復し、システムを通常の状態に戻すのを助けます。
例え：火災が発生した際に自動的に消火するスプリンクラーシステム。
E. 回復的コントロール（Recovery）
修正的コントロールよりもさらに一歩踏み込み、バックアップなどを使ってシステムを元の状態に完全に復元します。
例え：火災後の保険金を使って家を再建すること。
暗記のコツ：「D-P-D-C-R」
Dogs Protect Doors, Cats Run. と覚えましょう。
(Deterrent：抑止的、Preventive：予防的、Detective：発見的、Corrective：修正的、Recovery：回復的)
3. 主要な論理的（技術的）コントロール
サイバーリスクのセクションですので、ハッカーを寄せ付けないための技術的なツールに注目しましょう。専門用語に怖じ気づかないでくださいね！
暗号化（Encryption）
暗号化とは、読み取り可能なデータ（平文）を、鍵がないと読み取れないめちゃくちゃな状態（暗号文）に変換することです。
- 共通鍵暗号方式： 送信者と受信者が同じ鍵を使ってデータをロック・解除します。高速ですが、鍵を安全に共有する方法を考える必要があります。
- 公開鍵暗号方式： 誰でもデータをロックできる「公開鍵」と、所有者だけが解除できる「秘密鍵」を使います。郵便受けのようなもので、誰でも手紙（データ）を投函できますが、中身を開けられるのは鍵を持つ持ち主だけです。
ファイアウォール（Firewalls）
ファイアウォールは、内部ネットワークとインターネットの間の「用心棒」として機能します。入ってくる通信と出ていく通信を検査し、ルールに基づいて許可するかどうかを判断します。
アクセス制御：識別と認証
混同しやすいポイントですが、整理しましょう。
- 識別（Identification）： 自分が誰であるかを名乗ること（例：ユーザー名の入力）。
- 認証（Authentication）： 自分が本人であることを証明すること（例：パスワードの入力や指紋スキャン）。
多要素認証（MFA）： 2つ以上の方法で本人確認を行うことです。通常、以下の組み合わせで行われます。
1. 知識要素： 知っていること（パスワード）。
2. 所有要素： 持っているもの（スマホに届くコード）。
3. 生体要素： 本人そのもの（指紋や顔認証）。
4. 全般的コントロールとアプリケーションコントロール
CIMAの試験では、この両者の違いも頻出です。ITシステムがどのように監査されるかを理解する上で非常に重要です。
全般的ITコントロール（GITCs）
IT環境全体に適用されるものです。「建物全体」の安全を確保します。
例：サーバー室の物理的なセキュリティ、全従業員に対するパスワードポリシー、災害復旧計画（ディザスタリカバリ）など。
アプリケーションコントロール
特定のソフトウェアアプリケーション（給与システムや会計ソフトなど）に特化したものです。そのプログラムによって処理されるデータの正確性と完全性を保証します。
例：
- 入力コントロール： データが妥当かチェックする（例：給与欄にマイナスの数字が入力されないようにする）。
- 処理コントロール： 計算が正しいかチェックする（例：借方合計と貸方合計が一致しているか）。
- 出力コントロール： レポートが正しい宛先に送られるかチェックする。
まとめ：ここが重要！
全般的コントロール＝インフラに関すること（建物全体）。
アプリケーションコントロール＝特定のタスク内のデータに関すること（部屋の中にあるファイルキャビネット）。
5. 評価済みリスクへの対応策の策定とISO 27001
P3において、セキュリティコントロールは無作為に導入されるものではありません。組織は評価済みリスクへの対応策を策定するための体系的なプロセスに従い、それらを国際標準と整合させる必要があります。
リスク対応策を策定するプロセス
1. リスク評価（Risk Assessment）： 組織の機密データ、システム、脅威環境を特定し、発生可能性と影響度を照らし合わせて脆弱性を評価します。
2. 対応策の策定（Response Formulation）： 組織のリスク許容度（リスクアペタイト）に沿って、適切なリスク軽減戦略（回避、低減、移転、受容）を決定します。
3. コントロールの設計（Control Design）： 特定された脆弱性を直接ターゲットとする、具体的な予防的・発見的・修正的コントロールを設計します。
4. 導入と統合（Implementation and Integration）： 物理的、技術的、および管理的な業務ワークフロー全体にコントロールを展開します。
5. モニタリングと見直し（Monitoring and Review）： コントロールのパフォーマンスやシステム出力を継続的に見直し、脅威の進化に応じてコントロールを更新します。
コントロールとISO 27001の整合
ISO 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際的に認知された標準規格です。CIMA P3試験では、ISO 27001の要件に準拠したサイバーセキュリティ対応策を提言することが求められます：
- リスク主導型アプローチ： ISO 27001は、一般的なチェックリストを採用するのではなく、正式なリスク評価から直接導き出されたセキュリティコントロールを選択・導入することを組織に求めています。
- CIA目標： コントロールは、情報資産の機密性、完全性、可用性を包括的に保護するものでなければなりません。
- 包括的なコントロールセット： この規格は、組織の方針、人的セキュリティ、物理的セキュリティ、および技術的保護策にまたがるコントロールを定めています。
- 継続的改善： ISO 27001に準拠した対応策には、コントロールが新たなサイバー脆弱性に適応することを保証するため、定期的な監査、経営層の監視、および是正処置が組み込まれています。
6. よくある間違いを避けよう
- 技術さえあれば大丈夫という思い込み： 多くのサイバー侵害はヒューマンエラーが原因です。だからこそ、管理的コントロール（研修）は、論理的コントロール（ファイアウォール）と同じくらい重要です。
- 発見的と予防的の混同： イベントの発生を止めるのが予防的、発生していることを教えてくれるのが発見的です。
- 「最小権限の原則」を軽視する： 従業員には、業務に絶対に必要なデータにのみアクセス権を与えるべきです。全員に「管理者」権限を与えるのは大きなリスクです！
- ISO 27001のような標準規格の無視： ISO 27001のような全体的なフレームワークを持たずに技術的ツールを導入すると、リスクガバナンスとコントロール設計に不備が生じます。
知っていますか？
ほとんどのセキュリティシステムにおいて、「最も弱いリンク」はコンピューターのバグではなく、ソーシャルエンジニアリングです。これは、ハッカーが人を騙してパスワードを教えさせたり、リンクをクリックさせたりする手法です。そのため、P3シラバスではサイバーセキュリティ文化と定期的なスタッフ研修が重要なセキュリティコントロールであると考えられています！
P3受験生への最後のアドバイス
サイバーリスクの技術的な側面が最初は圧倒的に感じるかもしれませんが、心配はいりません。常に自分自身にこう問いかけてみてください：「このコントロールは何を達成しようとしているのか？脅威を止めるものか、見つけるものか、それとも発生後のトラブルを修正するものか？そして、ISO 27001のような確立された標準規格と整合しているだろうか？」 これを答えられるようになれば、この章の核心をマスターしたも同然です！