サイバーセキュリティの世界へようこそ！
未来の公認会計士（CPA）の皆さん、こんにちは！情報システムとコントロール（ISC）試験において最も重要な分野の一つ、セキュリティの世界へようこそ。IT用語と聞くだけで難しそうだと感じている方も、安心してください！ここでは、難解な技術用語を現実的でわかりやすいコンセプトに噛み砕いて解説します。セキュリティを退屈なプログラミングコードの集まりとしてではなく、会社の最も価値ある秘密を守るための「デジタルフェンス」だと考えてみてください。この章では、企業がどのようにゲートの人物を確認し、ドアを施錠し、デジタルの「空き巣」から身を守っているのかを学びます。
1. 基本理念：CIAの三要素
具体的な「方法」を学ぶ前に、まずは「なぜ」それが必要なのかを理解しましょう。セキュリティにおける全ての活動は、次の3つの目的を達成するために存在します。これをCIAの三要素と呼びます。（諜報機関のCIAとは違いますよ！）
• 機密性（Confidentiality）： 秘密を守ること。権限のある人だけが機密データにアクセスできるようにします。
たとえ：宛先本人しか開けることができない封印された手紙。
• 完全性（Integrity）： データが意図せず改ざんされたり、間違って変更されたりしていないこと。情報は正確かつ完全でなければなりません。
たとえ：使った分だけが正確に記載された銀行取引明細書（1円のズレも許されません）。
• 可用性（Availability）： 必要な時にシステムがいつでも利用できること。
たとえ：夜中の2時に現金が必要な時に、ちゃんと稼働しているATM。
クイック復習：
Confidentiality（機密性） = 秘密を守る
Integrity（完全性） = 正確である
Availability（可用性） = いつでも使える
2. アイデンティティおよびアクセス管理 (IAM)
IAMは、適切な権限を持つ人が、適切なリソースにアクセスできるように管理するプロセスです。一般的に3つのステップで構成されます。似たような用語に聞こえるかもしれませんが、以下の違いを押さえましょう。
ステップ1：識別（Identification）
システムに対して「自分は誰か」を伝えることです。
例：ユーザー名を入力する。
ステップ2：認証（Authentication）
あなたが本人であることを証明することです。ここで登場するのが多要素認証（MFA）です。セキュリティを強化するため、異なるカテゴリーの「要素」を組み合わせます。
• 知識情報（Something you know）： パスワードやPINコード。
• 所持情報（Something you have）： 物理的な鍵、コードを受け取るスマートフォン、USBトークン。
• 生体情報（Something you are）： 指紋や顔認証などのバイオメトリクス。
重要ポイント： 「多要素」であるためには、必ず異なるカテゴリーの情報を組み合わせる必要があります。パスワードを2つ入力するだけでは「知識」カテゴリーが2つあるだけで、MFAにはなりません！
ステップ3：認可（Authorization）
本人確認が済んだ後、「何をしてもよいか」を決める権限管理です。これは最小権限の原則に基づいて行われます。このルールは、従業員に対して「仕事に必要な最低限のアクセス権のみを与える」というものです。
例：インターン生に「全ファイル削除ボタン」は不要ですよね！
ここがポイント：
識別は「名前」、認証は「身分証」、認可は「特定のドアを開ける鍵」と覚えましょう。
3. ネットワークの保護
組織は、デジタルの「城」を外部の脅威から守るためにいくつかのツールを使います。
ファイアウォール（Firewall）
ファイアウォールは、クラブの入り口に立つ「用心棒」だと考えてください。会社のプライベートネットワークと、危険な公共のインターネットとの間に立ちます。出入りする全てのデータ「パケット」をチェックし、ルールに従って通過させるか拒否するかを判断します。
仮想プライベートネットワーク (VPN)
適切な暗号化VPNは非信頼ネットワーク上のトンネル内通信を保護しますが端末・利用者・アプリ・トンネル外通信の安全を保証しません。認証・更新・アクセス管理・端末保護も必要。
暗号化（Encryption）
暗号化とは、読み取れるデータ（平文）を、数学的な鍵を使って解読不可能な状態（暗号文）に変換するプロセスです。
• 保存データの暗号化： ハードドライブやサーバー上に保存されているデータを守ります。
• 転送データの暗号化： インターネット上を移動中のデータを守ります（VPNや「https」のウェブサイトなどが該当します）。
4. システムとエンドポイントのセキュリティ
「エンドポイント」とは、ネットワークに接続されているラップトップ、スマートフォン、スマートプリンターなどの端末を指します。これらは最も弱点になりやすい場所です。
脆弱性管理
ソフトウェアは完璧ではなく、しばしば「穴」や脆弱性が存在します。ハッカーはこれを見つけようと狙っています。企業は脆弱性スキャンを行って穴を見つけ、パッチ（修正プログラム）を適用して塞ぐ必要があります。
アドバイス：スマホの更新通知が来たら、すぐにアップデートしましょう！それはセキュリティの穴を「パッチ」で塞ぐ行為そのものです。
マルウェア対策
ウイルスは宿主ファイル・プログラムに付着して複製し、破壊行為は定義の必須要件ではありません。ランサムウェアは一般に暗号化・アクセス遮断を行い、関連恐喝には窃取・公開脅迫のみの場合もあります。
5. 人という要素：ソーシャルエンジニアリング
時として、システムに侵入する最も簡単な方法はコンピューターを攻撃することではなく、それを使う「人」を騙すことです。これをソーシャルエンジニアリングと呼びます。
BECは信頼するメール主体の偽装・侵害で不正送金や開示を誘導。役員・取引先等を装い、フィッシングは一手法にすぎません。重要変更は独立検証した連絡経路で確認。 他にフィッシングや架空の事情・役割を用いる口実詐欺があります。
BECは信頼するメール主体の偽装・侵害で不正送金や開示を誘導。役員・取引先等を装い、フィッシングは一手法にすぎません。重要変更は独立検証した連絡経路で確認。 他にフィッシングや架空の事情・役割を用いる口実詐欺があります。
6. 監視と対応
ログは設定され取得可能な事象を記録し、全活動を必ず記録するものではありません。対象範囲・時刻同期・保護保存・保持期間・警報判断と対応が必要。SOCの勤務時間は組織次第で必ず24時間有人とは限りません。
多くの組織にはSOC（セキュリティオペレーションセンター）があり、専門家チームがこれらのログを24時間365日監視し、セキュリティ事故の兆候を見逃さないようにしています。
クイック復習ボックス：
MFA： 2つ以上の異なる要素（知識・所持・生体）が必要。
最小権限： 仕事に必要な権限だけを与える。
ファイアウォール： 通信をフィルタリングする用心棒。
VPN： リモートワークのための安全なトンネル。
フィッシング： 情報奪取のための偽メール詐欺。
まとめ：なぜCPAにとってこれが重要なのか
MFA等の欠如は不正アクセスリスクを高め得ます。対象アカウント・システム・データ・脅威・補完統制を評価。欠如だけで財務情報改ざん・虚偽表示を証明しません。
用語が多くて大変だと感じるかもしれませんが、大丈夫です！用心棒（ファイアウォール）、秘密のトンネル（VPN）、ゲストリスト（認可）といったイメージで覚えていれば大丈夫。あなたならきっとできます！