情報セキュリティを知る
IoTシステム技術検定基礎を受験するにあたって、過去問や問題集がなく、一問一答を作りながら勉強すれば一石二鳥！と思い立ち上げました。
是非ご参考にしてください。
使い方はこちら↓
使用している本は公式の参考書となっている
「IoT技術テキスト 基礎編 改訂3版 MCPC IoTシステム技術検定［基礎］対応」
です。
IoTセキュリティ対策の概要
リスクある機能を削除しリスク発生をなくすこと
回避
リスクの発生や被害度を低く抑える
低減
リスクある部分を自社以外の組織やほかのシステムに置き換える
移転
リスクが十分小さく許容範囲としてリスクを受け入れる
受容
物理セキュリティの対策例を5つ
防災、防犯、データバックアップ、電源供給、通信回線
論理セキュリティの内、システムセキュリティの対策例を3つ
認証、データ暗号化、アクセス制御
論理セキュリティの内、人的セキュリティの対策例を2つ
セキュリティポリシー策定・運用、人材育成
情報セキュリティの3要件のうち、許可されないものに対し、アクセス不可とする（漏えいしてはならない）
機密性（Confidentiality）
情報セキュリティの3要件のうち、情報の正確さや完全さを保つ（記載ミスや改ざんがあってはならない）
完全性（Integrity）
情報セキュリティの3要件のうち、権限がある人が確実に情報へアクセスできる（破損や紛失しないことも含む）
可用性（Availability）
ネットワークのセキュリティ対策
不要な通信を遮断することでセキュリティ対策をするネットワーク中継部分に設置する機器、機能。
ファイアウォール
必要な通信のみ明示的に許可し、それ以外の通信をすべて破棄する機能。
ホワイトリストルール（Whitelist Rule）
不要な通信のみ明示的に禁止し、それ以外の通信をすべて許可する機能。
ブラックリストルール（Blacklist Rule）
認証の3要素をすべて
知識、所有、生体
コンピュータの利用者から本人認証に用いるパスワードを探り出す行為
パスワードクラック
指紋、静脈、虹彩、顔、音声などの本人固有の生体情報で認証すること
生体認証（バイオメトリック(Biometric)認証、バイオメトリクス認証）
解読手段を知る本人以外には読み取れないようにすること
暗号化
公衆網上に専用の通信チャネルを仮想的に構築するもの
VPN（Virtual Private Network)
レイヤ３のネットワーク層で暗号化するセキュリティプロトコル
IPsec(Security Architecture for the Protocol)
レイヤ４のトランスポート層で暗号化するセキュリティプロトコル
SSL(Secure Sockets Layer)、TLS(Transport Layer Security)
IPv4、IPv6、IPXなどさまざまな通信プロトコルに対応したVPNプロトコル
MPLS(Multi-Protocol Label Switching)
イーサフレームヘッダにタグ番号を追加することで、イーサネット、LANをグループごとに分割する仮想ネットワーク
VLAN(Virtual LAN)
ネットワーク構成定義やトラフィック制御設定を自動化するための、技術やネットワークサービスの総称。IoT向けに期待されている。
SDN(Software-Defined Network)
関係者を装った巧みな連絡内容のメールなどで添付のマルウェアを開かせたり、不正なWebサイトへ誘導したりする攻撃
標的型攻撃(Targeted Attack)
ネットワークに侵入するため、巧みな話術でパスワードなどの重要な情報を聞き出す方法。
ソーシャルエンジニアリング（Social Engineering）
人の背後からパスワードなどの秘密情報を機器に入力するのを盗み見て、不正に入手する方法。
ショルダーサーフィン（Shoulder Surfing）
社員や、委託業者が、機密情報を持ち出したり、システムを破壊したりする、といった内部要因のセキュリティリスク。
内部不正
コンピュータウイルスやワームなど、悪意のあるソフトウェアの総称
マルウェア
秘密保持契約。機密情報や個人情報を第三者に開示しないとする契約
NDA(Non-Disclosure Agreement)
ゼロトラスト
アクセス元、アクセス先の全てのエンドポイント間でデジタル証明書を使って認証、許可により暗号化すること
ゼロトラスト
ゼロトラストネットワークは認証・認可を行う～と伝送経路であるデータプレーンで構成される。
コントロールプレーン
公開鍵暗号技術と電子署名を使って安全な通信ができるようにするための仕組み、セキュリティ基盤
PKI(Public Key Infrastructure)
デバイスのセキュリティ対策
従業員が個人所有のUSBデバイスなどを社内ネットワークに接続させ、業務利用すること
BYOD(ビーワイオーディ Bring Your Own Device)
端末管理ツールを2つ。モバイルデバイスのみの管理ツールと業務で使用するモバイルデバイス、タブレット、PCの管理ツール
MDM(Mobile Device Management)、EMM(Enterprise Mobility Management)
システムが何らかの異変を起こした際に正常な動作に回復できる能力のこと
レジリエンス（Resilience：回復力）
盗難に遭った際の内部情報へのアクセスの困難さをさす性能のこと
耐タンパー性
Windowsが動作するパソコンのマザーボードに搭載された仕組みで起動時に異なるOSや改変されたファームウェアからのシステム起動を防止する
セキュアブート
暗号鍵を安全に管理運営する専用ハードウェアで内部に暗号鍵を確保したまま暗号処理、電子署名などの機能を提供する
HSM(Hardware Security Module)
ARM製CPUのセキュリティ機能として提供されているもの。
ARM TrustZone
運用のセキュリティ対策
脆弱性が発見されてから修正プログラムが提供される日よりも前のその脆弱性を攻略する攻撃
ゼロデイ攻撃
センサを使ってさまざまな環境情報を採取したり、判断したりすること
センシング
動作していない間はスタンバイ状態となり消費電力を抑え、定期的あるいは特定トリガーなどで限られた時間だけアクティブ状態になる動作のこと
間欠動作
デバイスの死活監視をすること
ハートビート
インターネット制御メッセージプロトコル
ICMP ECHO (Internet Control Message Protocol)
ネットワーク上にあるパソコン同士が正常に接続され、互いに通信できる状態になっているかどうか確認するコマンド
ping
CPU使用率や、メモリ利用率などを監視すること
性能監視
システム上のアクセスログや操作ログを定期的に記録し収集すること
ロギング
サイバー攻撃や災害でシステムが破壊されたときに復旧できるようにしておくこと
バックアップ
日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供しているサイト
JVN(Japan Vulnerability Notes)
日本国内で発生したセキュリティインシデント（攻撃事例）や特に緊急性の高い脆弱性やその対応方法について、情報提供しているサイト
JPCERT/CC(Japan Computer Emergency Response Team)
著作権とは
米国の著作権侵害の主張に対する抗弁事由の１つ
フェアユース
制作者が著作物に対して利用許諾の意思を表示するもの
クリエイティブ・コモンズ・ライセンス
プライバシー保護の留意点
個人に関わるあらゆる情報のこと
パーソナルデータ
プライバシーに気を付けてシステムを設計すること
プライバシー・バイ・デザイン PbD
個人を特定しにくくするようにデータを加工すること
匿名化
匿名化技術とは
同じ保護属性の組み合わせを持つデータがk個以上存在するように属性の一般化を行うこと
k-匿名化
匿名加工情報の具体的な作成方法について、経済産業省から～が公開されている
匿名加工情報作成マニュアル
ほかの情報と照合しない限り、特定の個人を識別できないように個人情報を加工して得られる個人に関する情報
仮名加工情報
暗号化技術とは
デジタルデータを一定の規則に基づいた異なるデジタルデータに変換・圧縮したり、アナログデータをデジタルに変換したりすること
符号化
送信者と受信者のみが知る共通の鍵を使って暗号化と複合化を行う方式
共通鍵暗号方式
公開鍵を使って暗号化し、秘密鍵を使って複合化を行う方式
公開鍵暗号方式
CA(Certification Authority)と呼ばれる証明機関により発行され、公開鍵とその所有者の同定する情報を結びつける証明書
デジタル証明書
クライアント・サーバ・システムのように主従の関係がなく、全ての端末同士が対等に通信を行うこと
P2P(ピア・ツー・ピア)
分散型台帳の連携
ブロックチェーン
合格体験記はこちら↓
コメント