本サイト上のコンテンツは、参照目的だけのために、英語の原本から翻訳されたものです。また、本サイト上のコンテンツの一部は機械翻訳されたものです。日本語版と英語版の間に何らかの齟齬がある場合には、英語版が優先されます。当社は改善のためのあらゆる努力を行いますが、翻訳の正確性及び信頼性は保証せず、当社に故意または重大な過失がある場合を除き、不正確性又は遺漏により生じる損失又は損害に責任を負わないものとします。
目次
このガイドでは以下の内容をご覧いただけます。
- サイバーセキュリティの定義
- なぜサイバーセキュリティが重要なのか?
- サイバーセキュリティの種類
- 人、プロセス、技術
- サイバーセキュリティ脅威の種類
- サイバーセキュリティのキャリア
- サイバーセキュリティ認定資格
- 多層的なサイバーセキュリティ
サイバーセキュリティの定義
CISA（Cybersecurity & Infrastructure Security Agency）は、サイバーセキュリティを「ネットワーク、デバイス、データを不正アクセスや犯罪目的の利用から保護する技術であり、情報の機密性、完全性、可用性を確保するための実践」と定義しています。
すべての組織は、経理、配送状況の追跡、サービス提供、その他あらゆる目的で情報技術（IT）を利用しており、そのデータは保護されなければなりません。サイバーセキュリティ対策は、ビジネスが常に安全かつ継続的に運用できる状態を確保します。
なぜサイバーセキュリティが重要なのか?
サイバーセキュリティは、テクノロジーの世界を守るスーパーヒーローのような存在です。適切なサイバーセキュリティ対策があれば、重要なシステムへの被害を未然に防ぎ、さまざまな脅威に直面しても、組織の事業を継続することができます。（まさにスーパーヒーローのような活躍です。）ビジネスを守り、成長を続けていくために、サイバーセキュリティは欠かせません。
サイバーセキュリティの種類
重要インフラストラクチャセキュリティ
重要インフラストラクチャセキュリティとは、組織が業務を継続するために不可欠なコンピューターシステムを保護するための取り組みを指します。これには、重要なシステムを安全に稼働し続けるために使用するテクノロジー、プロセス、保護対策などが含まれます。
ネットワークセキュリティ
ネットワークセキュリティとは、ネットワークインフラストラクチャを保護するために必要なあらゆる取り組みを指します。ファイアウォールの設定、VPNの保護、アクセス制御の管理、ウイルス対策ソフトウェアの導入などが含まれます。この分野のサイバーセキュリティプロフェッショナルは、ネットワーク上で発生する脅威やデータ侵害から組織を保護します。
エンドポイントセキュリティ
エンドポイントとは、デスクトップPC、ノートPC、タブレット、モバイルデバイス、スマートテレビなど、ネットワークに接続されるデバイスのことです。
エンドポイントを保護するには、脅威や異常なアクティビティの検出、多要素認証の利用、ユーザーへのトレーニング、エンドポイント利用に関するポリシーの策定などが必要です。また、エンドポイントデバイスが設置されている物理的な場所を保護することも含まれます。
アプリケーションセキュリティ
アプリケーションセキュリティとは、サイバー攻撃から個々のアプリケーションを保護するために、セキュリティ設定を行うことを指します。コード内のバグの解消や、悪意のある攻撃者から保護するためのサイバーセキュリティ対策の実装などが含まれます。アプリケーションを保護することは、クラウドネイティブ時代におけるデータセキュリティの強化にもつながります。
情報セキュリティ
情報セキュリティには、データを保護するために講じるあらゆる対策が含まれます。これは広い意味を持つ言葉で、個人を特定できる情報（PII）やその他の機密データを安全に保護するためのあらゆる取り組みを指します。
クラウドセキュリティ
クラウドセキュリティとは、クラウドアプリケーションやインフラストラクチャへの攻撃を防ぐために必要な取り組みを指します。これらの取り組みにより、インターネットベースのアプリケーション間でやり取りされるデータのプライバシーと安全性を確保します。
モバイルセキュリティ
今や、ほとんどの人がモバイルデバイスを所有しています。モバイルデバイスはどこへ行くにも持ち歩く、日常生活に欠かせない存在です。
モバイルセキュリティは、こうしたデバイスを脆弱性から保護します。私たちは、機密情報の保存からショッピング、仕事のメールの送信まで、さまざまな用途でモバイルデバイスを使用しています。そのため、モバイルセキュリティはデバイス上のデータを安全に保ち、サイバー犯罪者から守るうえで重要です。また、脅威アクターが個人情報の窃取を別の攻撃手段として悪用する可能性にも注意が必要です。
IoT（モノのインターネット）セキュリティ
IoTセキュリティには、接続されたデバイス間でやり取りされる情報を保護するためのあらゆる方法が含まれます。
クラウドネイティブ時代にIoTデバイスの利用が拡大するにつれ、IoTデバイス間で共有されるデータが侵害されないよう、より厳格なセキュリティプロトコルが必要になります。IoTセキュリティは、IoTエコシステム全体を継続的に保護します。
ゼロトラスト
ゼロトラストとは、すべてのユーザーを検証し、すべての接続を承認するサイバーセキュリティ戦略です。デフォルトでは、誰にもリソースへのアクセス権を付与しません。
このモデルでは、ネットワーク境界の内側か外側かにかかわらず、あらゆるアクセス元に対して検証を求めます。そのため、脆弱性につながるリスクを抑えるために、厳格なアクセス制御とポリシーを実装する必要があります。
人、プロセス、技術
人
従業員は組織にとって欠かせない資産である一方、サイバーセキュリティの連鎖における弱点にもなり得ます。実際、セキュリティ侵害の95%にはヒューマンエラーが関係しています。組織はテクノロジーの安全性確保には多くの時間を費やしていますが、サイバーインシデントやソーシャルエンジニアリングの脅威に備えるための従業員教育は、依然として十分とはいえません（詳細は後述）。多くの場合、エンドユーザー自身が脅威アクターなのではありません。自分の行動がどのような影響を及ぼす可能性があるのかを理解するために必要なトレーニングや教育が不足しているのです。
ここでは、人がサイバーセキュリティリスクを高める6つの要因を紹介します。
- 不正なメールと悪意のあるURL：
脅威アクターは巧妙な手口を使います。中でも、悪意のあるURLリンクや不正なメールを使って従業員をだます手法は、成功しやすい攻撃の一つです。トレーニングを実施することで、従業員が不正なメールやリンクを見分けられるようになります。本文のないメール、送信元を特定できないメール、偽装されたメールアドレス、個人情報や機密情報を要求するメッセージなど、危険を示す兆候を見分けられるよう教育しましょう。また、不審な試みを発見した場合は、他の従業員へのリスクを抑えるため、すぐに報告するよう促すことも重要です。 - 安全性の低いパスワードや、長期間変更されていないパスワード：
誰にでも、つい使ってしまう「いつものパスワード」があるかもしれません。子どもの名前、ペットの誕生日、記念日などを使っている人もいるでしょう。しかし、使い慣れたパスワードを使い回すのはやめるべきです。パスワードを定期的に更新するだけでなく、強力なパスワードの選び方についてユーザーを教育する必要があります。また、パスワードを書いた付箋を人目につく場所に貼るのではなく、安全なパスワード管理ツールの利用を検討しましょう。 - 機密情報の誤送信：
誤って送信されたメールを受け取った経験がある人は、決して少なくないでしょう。メールサービスでは、メールに追加すべきと思われる宛先が候補として表示されることがあります。そのため、意図せず機密情報を誤った相手に送ってしまう場合があります。メッセージを送信する前に、正しい相手が宛先に含まれていることを確認することで、こうしたミスを減らすことができます。 - 意図しない個人識別情報（PII）の共有：
リモートワークの時代では、仕事と私生活の境界線が曖昧になりがちです。従業員には、業務用デバイスでオンラインショッピングをしないことや、SNSで必要以上に個人情報を共有しないことを指導しましょう。こうした情報が、企業データへの侵害にどのように悪用されるかはわかりません。 - デバイスをアップデートしない：
デバイスに未対応の通知が表示されていると気になってしまう人なら、おそらくこれには当てはまらないでしょう。しかし、デバイスのアップデートを促す通知をつい無視してしまう人もいます。必要なアップデートを実施しなければ、本来であれば簡単に回避できる脆弱性を残すことにつながります。実際、悪名高いWannaCryランサムウェア攻撃では、Microsoftがすでに修正プログラムを提供していたシステムの脆弱性が標的となりました。それでも、アップデートが適用されていなかったデバイスへの侵入に成功しました。 - 物理的なセキュリティ対策の不足：
たとえiPhoneが2分間操作しなければ自動的にロックされるとしても、空港のトイレに置き忘れれば、第三者から完全に守られているとはいえません。また、コードを入力しているところを、脅威アクターに肩越しにのぞき見される可能性もあります。どのような場合でも、物理的なセキュリティを軽視せず、常に自分のデバイスを管理することが重要です。
プロセス
サイバーセキュリティの専門家であれば、プロセスがサイバーインシデントへの対応と被害軽減の基盤であることを理解しています。サイバー脅威は複雑かつ多面的であり、適切なプロセスが整備されているかどうかが、対応の成否を分ける可能性があります。プロセスでは、セキュリティ侵害が発生した際に取るべき手順を明確にし、「誰が、何を、いつ行うのか」を定義します。
明確なプロセスを策定することで、チームはリスク管理に十分に備えることができます。事業継続が脅かされた場合でも、文書化されたプロセスに沿って対応することで、時間やコストを節約し、顧客からの信頼を守ることにつながります。また、こうしたプロセスは、規制当局の要件を遵守し、一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）などの厳格な規制へのコンプライアンスを確保するうえでも役立ちます。
技術
人材（People）とプロセス（Processes）を整備したら、次はコンピューターシステムを脅威から保護するために、どのようなテクノロジーツールを活用するかを検討します。リモートワークが一般化したクラウドネイティブインフラストラクチャの時代において、脅威からシステムを保護することは新たな課題となっています。
セキュリティ対策として、次のようなツールを取り入れることを検討できます。
- 暗号化ツール
- ペネトレーションテスト
- ネットワーク監視
- VPN
- 脅威検知
- ファイアウォール
- 侵入検知システム（IDS）
- パケットアナライザー
- 脆弱性へのパッチ適用
- アンチウイルス
- 脅威インテリジェンス
- 機械学習／AIを活用した脅威検知
サイバーセキュリティ脅威の種類
マルウェア
「マルウェア」という言葉は、いかにも不吉な響きを持っていますが、それには十分な理由があります。マルウェアとは、システムに侵害をもたらすことを目的とした、あらゆる種類の悪意のあるソフトウェアを指します。つまり、その名のとおり危険なものです。
マルウェアは、悪意のある目的で情報を抜き取ったり、システムを使用不能にしたりするために使われることがよくあります。マルウェアには、さまざまな種類があります。
- ウイルス
- ワーム
- トロイの木馬
- スパイウェア
- ボット
- ランサムウェア
- アドウェア
- ルートキット
- キーロガー
ランサムウェア
ランサムウェアも不吉な面ではあまり良い結果を出しませんが、その名前は確かに的確です。 ランサムウェア はあなたのデータを人質に取るサイバー攻撃の一種です。名前の通り、悪意のある攻撃者はあなたのデータを盗んだり暗号化したりし、身代金を支払った後に返却します。
フィッシング攻撃
フィッシングは、ソーシャルエンジニアリングの手法を用いて、個人データや機密情報へのアクセスを試みるサイバー攻撃の一種です。
攻撃者は、正規の組織や企業などを装って電子メール、電話、テキストメッセージを使用し、クレジットカード番号、パスワード、社会保障番号など、本人に対して悪用できる情報をだまし取ろうとします。こうしたフィッシングの「釣り針」にかからないよう、十分な注意が必要です。
ソーシャルエンジニアリング
ソーシャルエンジニアリングとは、テクノロジーの設計における「人」という弱点を利用する手法の総称です。簡単に言えば、現代における「だます」「欺く」といった手口です。脅威アクターがシステムに直接侵入できない場合、人から情報を入手することで侵入を試みます。一般的には、正規の組織や人物になりすまして個人識別情報（PII）を入手し、その情報を本人に対して悪用します。
内部脅威
内部脅威も、人に起因する問題の一つです。組織の外部ではなく、内部から発生します。脅威をもたらす人物には、悪意を持つ人だけでなく、単に不注意な人も含まれます。いずれの場合も、すでに機密データへのアクセス権を持つ人物から脅威が生じる点が特徴です。また、ベンダー、パートナー、請負業者が脅威の発生源になる場合もあります。内部脅威は、正当なアクセス権を持つ人物や組織を起点としてサイバーインシデントが発生するため、特定が難しい脅威です。
分散型サービス拒否(DDoS)攻撃
分散型サービス拒否（DDoS）攻撃は、他の攻撃とは異なる特徴を持っています。データを盗むのではなく、コンピューターシステムに大量のトラフィックを送りつけて過負荷状態にすることで、通常の運用を妨害しようとします。こうした攻撃の目的は、システムの正常な運用やアクセスを妨げることです。
高度で持続的な脅威(APT)
高度で持続的な脅威（APT：Advanced Persistent Threat）は、特に深刻なサイバーインシデントとして知られるものです。豊富なリソースを持つ脅威アクターによって実行される、長期間にわたる高度な攻撃を指します。政府機関や国家を標的とする攻撃がその例です。こうしたサイバー脅威では、多くの場合、目的を達成するために複数の攻撃ベクトルが使用されます。
サイバーセキュリティのキャリア
- サイバーセキュリティスペシャリスト
- サイバーセキュリティアナリスト
- ペネトレーションテスター
- サイバーセキュリティエンジニア
- セキュリティアーキテクト
- セキュリティオペレーションセンター(SOC)アナリスト
- 脆弱性アナリスト
- サイバーセキュリティマネージャー
- セキュリティコンサルタント
関連ブログ: サイバーセキュリティ分野でのベストな仕事とそれを得る方法
サイバーセキュリティ認定資格
- CompTIA Security+
- CompTIA PenTest+
- CompTIA Cybersecurity Analyst (CySA+)
- CompTIA SecurityX(旧CASP+)
-
Certified Information Security Manager（CISM）
-
Certified in Risk and Information Systems Control（CRISC）
-
Certified Information Systems Auditor（CISA）
-
Certified Information Systems Security Professional（CISSP）
-
GIAC Security Expert（GSE）
-
GIAC Information Security Fundamentals（GISF）
-
GIAC Penetration Tester（GPEN）
多層的なサイバーセキュリティ
多層的なセキュリティアプローチでは、複数の予防策を組み合わせてデータを保護します。この方法では、さまざまなポイントや、使用するすべてのツールやアプリケーションにセキュリティコントロールを導入することで、セキュリティインシデントが発生する可能性を抑えます。
これは、防弾ベストの下にさらに防具を身につけるようなものです。たとえ1つの防御層が突破されても、その下には別の防御層があります。こうした多層的なアプローチによってデータ保護をさらに強化し、さまざまな脅威に対するレジリエンスを高めることができます。