情報資産とセキュリティの基本：守る対象から考える

講義の書き起こし

無料公開している講義は、読んで確認できるように全文を載せています。

女性講師みなさん、こんにちは。第1講は「情報資産とセキュリティの基本：守る対象から考える」です。この講義では、情報資産、CIA、脅威、脆弱性、リスクの関係を、業務の場面で説明できる状態を目指します。

男性講師この範囲で最初に大切なのは、情報セキュリティを技術だけの話にしないことです。まずは守る対象を整理します。何を守るのか、失うと何が困るのかを先に定める。この順序が講義全体の軸になります。

女性講師守る対象は、電子データだけではありません。業務で使う書類、記録、電子データなど、価値を持つものを情報資産として扱います。試験では、資産を見つけ、その資産が失われるとどんな損失が出るかを考える流れが重要です。

男性講師つまり、対策を先に探すのではなく、資産と損失を先に確認するということです。ここができると、科目Aの用語問題でも、科目Bの場面判断でも、ぶれずに考えられます。

女性講師次に、資産のどの性質を守るかを整理する基本軸がCIAです。機密性は、許可された人だけが見られること。完全性は、正しく保たれ、勝手に書き換えられていないこと。可用性は、必要なときに使えることです。

男性講師この三つは丸暗記では不十分です。資産ごとに、どれを特に重視するかが変わります。閲覧制限が重要なのか、改ざん防止が重要なのか、止まらないことが重要なのかを、場面に応じて見分けます。

女性講師ここで、資産管理の考え方も押さえましょう。情報資産管理では、どの資産が重要かを分類し、把握していることが土台です。公開してよいものと、限られた人だけが扱うものでは、必要な配慮が変わります。

男性講師個別組織の具体的な台帳作成手順まではこの講義では扱いません。ただし、資産の存在、重要度、守る理由を整理する考え方は理解しておく必要があります。分類が曖昧だと、管理判断も曖昧になります。

女性講師続いて、脅威、脆弱性、リスクの関係です。脅威は、情報資産に損害を与えるおそれのある要因です。脆弱性は、損害が生じやすくなる弱点や不備です。この二つは同じ意味ではありません。

男性講師脅威があっても弱点がなければ影響は小さくなることがありますし、弱点があっても脅威に触れなければ問題化しないこともあります。リスクは、資産に対して脅威が脆弱性を通じて影響し、損失が発生する可能性として捉えます。

女性講師重要用語をまとめると、情報資産は守る対象、機密性は見られないようにする性質、完全性は正しさを保つ性質、可用性は必要なときに使える性質です。脆弱性は弱点、リスクは損失が起こる可能性でしたね。

男性講師ここでの基本ルールは四つです。第一に、守る対象と損失を先に定めてから考える。第二に、脅威と脆弱性を同じ意味で扱わない。第三に、資産ごとにCIAの重要度を見分ける。第四に、更新し得る脅威動向や用語例は受験日の公式情報で確認する、です。

女性講師科目Aでは、こうした用語の関係を正確に理解しているかが問われます。一方、科目Bでは、業務場面の文脈で判断する力が求められます。だからこそ、言葉の定義と、場面での使い分けの両方が必要です。

男性講師科目Bでの読み取りは、順序が大切です。まず資産を特定する。次に、どんな損失が起こるかを見る。さらに、その損失につながる要因や弱点を整理する。そのうえで、CIAのどれを優先して守るかを決め、最後に取るべき行動を選びます。

女性講師この講義では、判断材料を「資産→リスク→対策→行動」の順に読む意識を持ちましょう。対策を先に選びたくなっても、まず守る対象と損失を確認することが得点につながります。

男性講師では確認ケース1です。営業部で使う顧客連絡先の一覧があります。限られた担当者だけが扱う想定です。資産は顧客連絡先の一覧。リスクは、見てはいけない人に見られることで損失が出ることです。

女性講師例題1です。『顧客連絡先の優先保護』を確認します。営業部で使う顧客連絡先の一覧がある。この一覧は限られた担当者だけが扱う想定である。まず重視すべきCIAの観点として最も適切なものは何か。

男性講師問題文のどの条件を見て、どの順番で追うかを考えましょう。

女性講師資産は顧客連絡先の一覧です。次にリスクを考えると、見てはいけない人に見られると損失が生じます。ここで着目する脅威は不適切な閲覧などであり、結果として秘密にすべき情報が漏れることが問題です。したがって、対策を考える前に、この資産では誰が見られるかを厳しく管理する必要があります。行動としては、まず機密性を重視して判断します。 答えは、機密性。 資産→閲覧された場合の損失→何を守るか、の順で考えられたかを確認しましょう。

男性講師次は例題2です。『売上記録の書換え』を確認します。売上記録が保存されている。もし内容が勝手に書き換えられると、業務判断に誤りが出る。この場面で特に重要なCIAの観点は何か。

女性講師資産は売上記録です。次にリスクを見ると、誤った内容に変えられることで判断ミスという損失が起こります。ここで問題となるのは、見られることそのものより、内容が正しい状態で保たれることです。脅威は不正な変更など、脆弱性は変更を防ぎにくい弱点として捉えます。行動としては、まず改ざん防止の観点から資産を見て、完全性を重視すると判断します。 答えは、完全性。 漏えいではなく改ざんが中心の損失になっているかを見分けられたか確認しましょう。

男性講師最後に例題3です。『共有予定表が使えない』を確認します。部署全体で使う共有予定表が、必要なときに利用できない状態になると会議調整が進まない。この場面で最も重視すべきCIAの観点は何か。

女性講師資産は共有予定表です。次にリスクを考えると、利用できないことで業務が止まるという損失が生じます。脅威は停止や利用不能を招く要因、脆弱性は止まりやすさにつながる弱点です。この場面では、秘密であることや内容の厳密さよりも、必要なときに使えることが業務継続に直結します。行動としては、まず利用不能による損失を確認し、可用性を優先して判断します。 答えは、可用性。

男性講師確認は、使えないことによる損失に着目し、可用性を選べたかを確認しましょう。 結論だけでなく、判断理由まで説明できるようにしましょう。

女性講師よくある誤りを確認します。情報資産を電子データだけと考え、紙の記録などを外してしまう。 機密性・完全性・可用性を丸暗記し、場面に応じた重要度の違いを見ない。 脅威そのものを脆弱性と誤解する。 対策を先に選び、守る対象や損失の確認を後回しにする。

男性講師まとめると、情報セキュリティは、まず守る対象である情報資産を明確にする。 CIAは資産のどの性質を守るかを整理する基本軸である。 脅威は害を与える要因、脆弱性は害を受けやすくする弱点である。 リスクは資産・脅威・脆弱性・損失の関係で捉える。