【第25回】「肩越しの盗み見」から学ぶ、情報セキュリティの基本

見えたよ、今の

今の、肩越しの盗み見って言うんだ。画面の入力を後ろや横から覗き見て、パスワードを盗む手口

そう。しかも、意外とすぐできちゃうくらい単純な手口。今日はこういう脅威と、その対策の話をするよ

情報セキュリティが守ろうとしているものは、大きく3つに整理できる。機密性（許可された人だけが情報にアクセスできること）、完全性（情報が改ざんされず正確な状態であること）、可用性（必要なときに情報やシステムをちゃんと使えること）

うん、この3つをまとめてCIA——Confidentiality・Integrity・Availabilityの頭文字で呼ぶこともある

脅威にもいろいろ種類がある。ウイルスなどのマルウェア、特定の組織を狙い撃ちする標的型攻撃、そしてさっきの『肩越しの盗み見』のような、技術じゃなく人の心理や隙をついて情報を盗むソーシャルエンジニアリング

そう。他にも、電話や会話で言葉巧みに情報を聞き出す手口や、本人になりすまして侵入するなりすましなんかも、ソーシャルエンジニアリングに含まれる

まさにそこが盲点になりやすい。どんなに技術的な対策をしても、人の隙を突かれたら意味がないから

対策の基本の1つが暗号化。データを、特定の手順（鍵）を使わないと読めない状態に変換すること。ここで共通鍵暗号と公開鍵暗号の違いを押さえよう

共通鍵暗号は、暗号化するときも復号するときも、同じ鍵を使う方式。処理は速いけど、その鍵を相手に安全に渡す方法が課題になる

そう。それを解決するのが公開鍵暗号。公開鍵（誰に渡してもいい鍵）と秘密鍵（自分だけが持つ鍵）のペアを使う方式で、公開鍵で暗号化したデータは、対になる秘密鍵でしか復号できない。鍵を配る問題を解決できる代わりに、処理は共通鍵暗号より重くなる

もう1つの基本が認証。パスワード認証だけだと、さっきの肩越しの盗み見みたいな手口で突破されるリスクがある。だから最近は、パスワードに加えてスマホへの通知など複数の要素を組み合わせる多要素認証が推奨されてる

あと基本的だけど、ウイルス対策ソフトによる日常的な防御も欠かせない

1つ目は、ソーシャルエンジニアリングの手法名の区別。『肩越しの盗み見』『なりすまし』など、名前と手口の対応を問われる

共通鍵暗号と公開鍵暗号、鍵の使い方の違い。『同じ鍵を使うか、公開鍵と秘密鍵のペアを使うか』、そこを軸に整理するといい

これで、3分野の解説は全部完了。次は、この連載を読み終えた人が次に何をすればいいか、という話をしよう