用語集

インターネットに接続されたデバイスに割り当てられる固有の識別番号。IPv4 (32 ビット、約 43 億個) と IPv6 (128 ビット、事実上無限) の 2 種類がある。Web 通信やネットワーク管理の基盤技術で、通信相手を特定するために不可欠。IP アドレスから国・地域レベルの位置情報を推定できるが、個人の住所を特定することは不可能。VPN やプロキシを使用すると外部に見える IP アドレスを変更でき、プライバシー保護に役立つ。グローバル IP とプライベート IP の違いを理解しておくことが、ネットワークトラブルの切り分けに重要となる。

IPv4 のアドレス枯渇問題を解決するために設計された次世代インターネットプロトコル。128 ビットのアドレス空間を持ち、事実上無限に近い数のデバイスに一意のアドレスを割り当てられる。プライバシー拡張アドレス (RFC 4941) により、MAC アドレスからの追跡リスクを軽減できる。よくある誤解として「IPv6 は IPv4 より安全」というものがあるが、暗号化はプロトコル自体ではなく TLS 等の上位層が担う。日本では NTT 東西の NGN を中心に普及が進み、IPoE 接続による高速化の恩恵を受けられる環境が増えている。

人間が読めるドメイン名 (例: example.com) を、コンピュータが理解できる IP アドレスに変換する仕組み。インターネットの電話帳に例えられ、Web 閲覧のたびに裏側で DNS 問い合わせが発生している。従来の DNS クエリは暗号化されておらず、ISP やネットワーク管理者に閲覧先が筒抜けになるリスクがある。この問題を解決するのが DNS over HTTPS (DoH) や DNS over TLS (DoT) といった暗号化技術。DNS キャッシュポイズニングという攻撃手法も存在し、偽サイトへの誘導に悪用されることがある。

IP アドレスからおおよその地理的位置情報 (国、地域、都市) を推定する技術。広告配信やコンテンツのローカライズ、不正アクセスの検知に広く利用されている。MaxMind の GeoLite2 が代表的な無料データベースで、国レベルの精度は 99% 以上だが、都市レベルでは数十 km の誤差が生じることも珍しくない。VPN やプロキシを使用すると GeoIP の結果はサーバーの所在地を示すため、実際の位置とは異なる。「IP アドレスで自宅が特定される」という誤解が広まっているが、GeoIP で分かるのは ISP の拠点レベルの情報にとどまる。

プライベート IP アドレスとグローバル IP アドレスを相互に変換する技術。家庭やオフィスのルーターで広く使われており、複数のデバイスが 1 つのグローバル IP アドレスを共有してインターネットに接続できる。IPv4 アドレスの枯渇を緩和する重要な役割を果たしてきた。外部から内部ネットワークへの直接アクセスを遮断する副次的なセキュリティ効果もあるが、ファイアウォールの代替にはならない。P2P 通信やオンラインゲームで接続問題が発生する場合、NAT タイプの設定が原因であることが多い。IPv6 の普及により NAT の必要性は低下しつつある。

VPN やプロキシを使用しているにもかかわらず、DNS クエリが暗号化されたトンネルの外側を通過し、ISP や第三者に閲覧先が漏洩する現象。VPN の設定不備や OS の DNS 解決順序が原因となることが多い。専用のリークテストツールで検出でき、VPN 導入後は必ず確認すべき項目の 1 つ。Windows では「スマートマルチホーム名前解決」機能が DNS リークを引き起こすケースが報告されている。対策としては、VPN プロバイダーの DNS サーバーを明示的に指定するか、DNS over HTTPS を併用する方法が有効。WebRTC リークと並んで VPN 利用時の代表的なプライバシーリスクとなっている。

DNS クエリを HTTPS プロトコルで暗号化して送信する技術。従来の平文 DNS と異なり、ISP やネットワーク管理者による DNS トラフィックの傍受・改ざんを防止する。Chrome、Firefox、Edge など主要ブラウザが標準対応しており、設定画面から有効化できる。類似技術の DNS over TLS (DoT) はポート 853 を使用するため通信がブロックされやすいのに対し、DoH はポート 443 の HTTPS 通信に紛れるため検閲耐性が高い。企業ネットワークでは DNS ベースのフィルタリングが無効化される懸念から、管理者が DoH を制限するケースもある。

ネットワークに接続するデバイスに IP アドレス、サブネットマスク、デフォルトゲートウェイ、DNS サーバーなどの設定情報を自動的に割り当てるプロトコル。手動設定の手間を省き、IP アドレスの効率的な管理を実現する。家庭用ルーターの大半が DHCP サーバー機能を内蔵しており、スマートフォンや PC を接続するだけで自動的にネットワーク設定が完了する。リース期間の概念があり、一定時間後にアドレスが再割り当てされるため、同じデバイスでも IP アドレスが変わることがある。DHCP スプーフィング攻撃では偽の DHCP サーバーが不正な設定を配布し、通信を傍受する手口が知られている。

インターネット通信を暗号化し、別の場所にあるサーバーを経由させることで、実際の IP アドレスと通信内容を保護する技術。公共 Wi-Fi の利用時や地理的制限の回避に有効だが、VPN プロバイダーの信頼性が重要となる。無料 VPN はデータを記録・販売するリスクがあるため、ノーログポリシーを掲げる有料サービスが推奨される。VPN を使用しても DNS リークや WebRTC リークにより IP アドレスが漏洩する場合があり、導入後のリークテストは必須。企業では社内ネットワークへのリモートアクセス手段としても広く利用されている。

クライアントとインターネットの間に位置し、通信を中継するサーバー。IP アドレスの隠蔽やコンテンツフィルタリングに利用される。VPN と異なり通信全体を暗号化しないため、セキュリティ面では限定的な保護にとどまる。HTTP プロキシは Web ブラウジングのみ、SOCKS プロキシはあらゆるプロトコルに対応するなど種類によって機能が異なる。企業ではアクセスログの取得やマルウェアフィルタリングの目的で導入されることが多い。無料の公開プロキシは通信内容を傍受されるリスクがあるため、信頼できるプロバイダーの選定が重要。

複数のリレーサーバーを経由して通信を多層暗号化し、高い匿名性を実現するネットワーク。各リレーは通信経路の一部しか知ることができないため、送信元と宛先の紐付けが極めて困難になる。通信速度の低下が主なデメリットで、動画視聴や大容量ダウンロードには不向き。Tor Browser を使えば特別な設定なしに Tor ネットワークを利用できる。ジャーナリストや人権活動家が検閲を回避する手段として活用する一方、ダークウェブへのアクセス手段としても知られる。VPN と Tor を併用する「Tor over VPN」構成でさらに匿名性を高められる。

VPN 接続が予期せず切断された際に、インターネット通信を自動的に遮断する安全機構。VPN トンネルが途切れた瞬間に生の IP アドレスが露出することを防ぎ、プライバシーの一貫した保護を担保する。信頼性の高い VPN サービスでは標準機能として搭載されている。キルスイッチには、アプリケーション単位で通信を遮断するタイプと、OS のネットワーク全体を遮断するタイプがある。後者の方が保護範囲が広く、バックグラウンドプロセスからの漏洩も防止できる。トレント利用時やジャーナリストの取材活動など、IP アドレスの露出が致命的な場面では必須の機能。

VPN 接続の確立方法と暗号化方式を定義する通信規約。WireGuard は高速かつ軽量でコード量が少なく監査しやすい。OpenVPN は高い互換性と 20 年以上の実績を持つ。IPsec/IKEv2 はモバイル環境での安定性に優れ、Wi-Fi とモバイルデータの切り替え時にも接続を維持できる。用途や環境に応じた適切なプロトコル選択が VPN の性能とセキュリティを左右する。PPTP や L2TP/IPsec は旧世代のプロトコルで、既知の脆弱性があるため新規導入は推奨されない。VPN サービスを選ぶ際は対応プロトコルの確認が重要な判断基準となる。

VPN 接続時に、特定のアプリケーションや宛先の通信のみを VPN トンネル経由とし、それ以外は通常のインターネット接続を使用する技術。帯域幅の効率的な利用と、ローカルネットワークリソース (プリンターや NAS) へのアクセスを両立できる。設定を誤ると保護すべき通信が VPN を迂回し、プライバシーリスクが生じる。リモートワーク環境では、業務通信のみ VPN 経由にして動画配信などは直接接続にする運用が一般的。VPN プロバイダーによってはアプリ単位・URL 単位で細かく制御できるものもある。

OSI 参照モデルのセッション層で動作する汎用プロキシプロトコル。HTTP プロキシと異なり、TCP および UDP の任意のトラフィックを中継できるため、メール、FTP、P2P など幅広いアプリケーションに対応する。SOCKS5 は認証機能と UDP 対応を備え、Tor ネットワークのローカル接続にも利用されている。通信内容自体は暗号化しないため、機密性が必要な場合は SSH トンネルや TLS と組み合わせて使用する。VPN ほどのオーバーヘッドがなく、特定アプリケーションの通信だけを中継したい場合に適している。

VPN トラフィックを通常の HTTPS 通信に偽装し、DPI (ディープパケットインスペクション) による VPN 検出を回避する技術。VPN の使用自体が制限される環境において、通信の自由を確保するために用いられる。Obfsproxy や Shadowsocks が代表的な実装例。中国のグレートファイアウォールやロシアの通信規制など、国家レベルの検閲を回避する手段として重要性が高まっている。難読化に対応した VPN サービスは限られるため、渡航前に対応状況を確認しておくことが望ましい。通信のオーバーヘッドが増加するため、通常の VPN 接続より速度が低下する傾向がある。

Web サイトがブラウザに保存する小さなデータファイル。ログイン状態の維持や設定の記憶に使われるファーストパーティ Cookie と、複数サイトにまたがる行動追跡に使われるサードパーティ Cookie がある。プライバシーへの影響から規制が強化されており、GDPR では Cookie の使用に明示的な同意が必要。主要ブラウザはサードパーティ Cookie の段階的廃止を進めている。Cookie を定期的に削除することで追跡リスクを低減できるが、ログイン情報や設定も失われる点に注意が必要。

ブラウザの設定、プラグイン、画面解像度、フォント、タイムゾーンなどの組み合わせからユーザーを識別する技術。Cookie を削除しても追跡が可能なため、プライバシー上の脅威として注目されている。Canvas や AudioContext の描画結果、WebGL のレンダリング情報も識別に利用される。EFF の調査によると、一般的なブラウザ構成でも約 83% のユーザーが一意に識別可能とされる。Tor Browser や Brave はフィンガープリント対策を標準搭載しており、属性値を均一化することで識別精度を下げる。

ブラウザ間でリアルタイムの音声・映像通信を可能にする技術。ビデオ通話やファイル共有に利用されるが、VPN 使用時でもローカル IP アドレスが漏洩する WebRTC リークが問題となる。STUN サーバーへのリクエストを通じて内部ネットワークの IP アドレスが露出するため、VPN でプライバシーを保護しているつもりでも実際の IP が特定される可能性がある。Firefox では about:config から無効化でき、Chrome では拡張機能で対策可能。Brave は WebRTC リーク防止機能を標準搭載している。

Web サイトに対して行動追跡を拒否する意思を伝えるブラウザの設定。HTTP ヘッダーとして送信されるが、法的拘束力がなく、多くの Web サイトはこの要求を無視している。プライバシー保護の意思表示としての象徴的な意味合いが強い。実効性の低さから、W3C は 2019 年に DNT の標準化作業を中止した。代替として Global Privacy Control (GPC) が登場し、カリフォルニア州の CCPA では GPC シグナルの尊重が法的に義務付けられている。DNT の有効化自体がフィンガープリントの識別要素になりうる点にも注意が必要。

Web ページやメールに埋め込まれる 1x1 ピクセルの透明な画像。読み込み時にサーバーへリクエストが送信され、閲覧者の IP アドレス、閲覧日時、デバイス情報などが記録される。メールの開封確認や広告効果測定に広く利用されている。メールクライアントの「画像を自動読み込みしない」設定で対策できるが、利便性とのトレードオフが生じる。近年は Apple の Mail Privacy Protection が自動的にトラッキングピクセルを無効化する機能を提供しており、メールマーケティングの開封率指標の信頼性が低下している。

Web コンテンツの描画処理をエンドポイントから分離し、安全な環境で実行する技術。リモートブラウザ分離 (RBI) では、クラウド上の仮想環境でページを描画し、画面情報のみをユーザーに転送する。マルウェアやエクスプロイトがローカル環境に到達することを防止する。ゼロデイ攻撃やドライブバイダウンロードに対して高い防御効果を発揮する。企業のセキュリティ対策として導入が進んでおり、従業員が未知の Web サイトにアクセスする際のリスクを大幅に低減できる。ネットワーク帯域の消費増加とレイテンシの増加がデメリット。

閲覧中の Web サイトとは異なるドメインから発行される Cookie。広告ネットワークが複数サイトにまたがるユーザーの行動を追跡するために利用する。主要ブラウザがサードパーティ Cookie の段階的廃止を進めており、Safari は既に完全ブロック、Chrome も Privacy Sandbox への移行を推進している。代替技術として Topics API やアトリビューション API が提案されているが、広告業界からは効果測定の精度低下を懸念する声もある。ファーストパーティ Cookie との違いを理解し、ブラウザの Cookie 設定を適切に管理することが重要。

HTML5 Canvas 要素に不可視のグラフィックを描画し、そのピクセルデータのハッシュ値からブラウザを識別する技術。GPU、ドライバー、OS、フォントレンダリングの違いにより描画結果が微妙に異なるため、高い識別精度を持つ。Cookie に依存しない追跡手法として広告業界で利用が広がっている。Canvas Blocker 拡張機能で描画結果をランダム化することで対策できる。AudioContext フィンガープリントと組み合わせることで、さらに識別精度が向上する。ブラウザフィンガープリントの中でも特にエントロピーが高い属性の 1 つ。

パスワードに加えて、もう 1 つの認証要素 (SMS コード、認証アプリ、物理キーなど) を要求するセキュリティ手法。パスワードが漏洩しても不正アクセスを防止できる。SMS 認証は SIM スワップ攻撃に脆弱なため、TOTP アプリ (Google Authenticator、Authy) や FIDO2 セキュリティキーが推奨される。主要な Web サービスの大半が 2FA に対応しており、特にメール、銀行、SNS アカウントでの有効化が強く推奨される。2FA を設定していないアカウントは、パスワードリスト攻撃の格好の標的となる。

FIDO2 標準に基づくパスワードレス認証技術。公開鍵暗号方式を利用し、生体認証や PIN でログインできる。フィッシング耐性が高く、パスワードの記憶や管理が不要になる次世代の認証方式として普及が進んでいる。Apple、Google、Microsoft が OS レベルでサポートしており、iCloud キーチェーンや Google パスワードマネージャーを通じてデバイス間で同期できる。従来のパスワード認証と異なり、サーバー側に秘密情報を保存しないため、データ漏洩時のリスクも大幅に低減される。

複雑で一意なパスワードを生成・保存・自動入力するツール。マスターパスワード 1 つで全アカウントのパスワードを管理できる。パスワードの使い回しを防ぎ、クレデンシャルスタッフィング攻撃のリスクを大幅に低減する。1Password、Bitwarden、KeePass などが代表的な製品。ブラウザ内蔵のパスワード保存機能より高度なセキュリティ (ゼロ知識暗号化、漏洩チェック) を提供するものが多い。マスターパスワードを忘れるとすべてのデータにアクセスできなくなるため、リカバリーキーの安全な保管が不可欠。

過去のデータ漏洩で流出した ID とパスワードの組み合わせを、他のサービスに自動的に試行する攻撃手法。パスワードの使い回しを悪用するため、サービスごとに異なるパスワードを設定することが最も効果的な対策となる。攻撃者はボットネットを使って数百万件の認証情報を短時間で試行する。Have I Been Pwned などのサービスで自分のメールアドレスが漏洩リストに含まれていないか確認できる。二要素認証の有効化とパスワードマネージャーの併用が、この攻撃に対する最善の防御策。

現在時刻と共有秘密鍵から一定時間 (通常 30 秒) ごとに新しいワンタイムパスワードを生成するアルゴリズム。Google Authenticator や Authy などの認証アプリで利用される。SMS 認証より安全性が高く、SIM スワップ攻撃の影響を受けない。RFC 6238 で標準化されており、ほぼすべての主要 Web サービスが対応している。秘密鍵のバックアップを取っておかないと、スマートフォンの紛失時にアカウントにアクセスできなくなるリスクがある。リカバリーコードの安全な保管が重要。

1 回の認証で複数の関連サービスやアプリケーションにアクセスできる仕組み。ユーザーの利便性向上とパスワード管理の負担軽減に寄与する。一方で、SSO の認証基盤が侵害された場合、連携する全サービスが影響を受けるリスクがある。Google アカウントや Microsoft アカウントによるソーシャルログインが身近な例。企業では SAML や OpenID Connect プロトコルを用いた SSO が広く導入されており、従業員が数十のサービスを個別のパスワードなしで利用できる。SSO アカウントには特に強力な二要素認証を設定すべき。

パスワードや暗号鍵のあらゆる組み合わせを総当たりで試行し、正解を見つけ出す攻撃手法。計算能力の向上により、8 文字以下の英数字パスワードは数時間で解読される。十分な長さ (12 文字以上) と複雑さを持つパスワードの設定が不可欠。アカウントロックアウトやレート制限が有効な防御策となる。辞書攻撃 (よく使われるパスワードのリストを試行) やハイブリッド攻撃 (辞書語に数字や記号を付加) など、効率化された派生手法も存在する。パスワードマネージャーで生成したランダムな長いパスワードが最善の対策。

サードパーティアプリケーションに対して、ユーザーのパスワードを共有せずにリソースへの限定的なアクセス権を付与する認可フレームワーク。Google や GitHub のアカウントで他サービスにログインする「ソーシャルログイン」の基盤技術。認証 (OpenID Connect) と組み合わせて利用されることが多い。アクセストークンにはスコープ (権限範囲) と有効期限が設定され、必要最小限のアクセスに制限できる。よくある誤解として OAuth 2.0 自体は認証プロトコルではなく認可プロトコルであり、ユーザーの身元確認には OpenID Connect 層が必要。

インターネット上の活動によって残される痕跡の総称。SNS の投稿、検索履歴、オンライン購入履歴など、意図的に残すもの (アクティブ) と、Cookie やアクセスログなど無意識に残るもの (パッシブ) がある。一度公開された情報の完全な削除は困難なため、日頃からの管理が重要。就職活動や信用調査で過去の投稿が参照されるケースも増えている。Google の「マイアクティビティ」で自分の検索履歴を確認・削除できる。定期的な SNS の公開範囲見直しとアカウント棚卸しが、デジタルフットプリントの管理に有効。

データに関するデータ。写真の Exif 情報 (撮影日時、GPS 座標、カメラ機種)、メールヘッダー (送信元 IP、経由サーバー)、文書のプロパティ (作成者、編集履歴) などが含まれる。本文以上に多くの個人情報を漏らす場合がある。SNS に写真をアップロードする際、Exif の GPS 情報から自宅が特定されるリスクがある。多くの SNS は自動的に Exif を除去するが、個人ブログやファイル共有サービスでは残存することが多い。ExifTool などのツールでメタデータを確認・削除してから共有する習慣が重要。

EU 域内の個人データ保護を規定する法規制。データの収集・処理に明示的な同意を求め、忘れられる権利やデータポータビリティ権を保障する。違反時には全世界売上高の最大 4% または 2,000 万ユーロのいずれか高い方の制裁金が科される。EU 域外の企業でも EU 居住者のデータを扱う場合は適用対象となるため、グローバルに事業展開する企業は対応が必須。日本の個人情報保護法や米国の CCPA など、世界各国のプライバシー法に大きな影響を与えた。Cookie 同意バナーが普及したのも GDPR の影響。

検索履歴やユーザープロファイルを収集・追跡しない検索エンジン。DuckDuckGo、Startpage、Brave Search などが代表的。検索結果のパーソナライズは行われないが、フィルターバブル (自分の好みに偏った情報しか表示されない現象) を回避し、プライバシーを保護できる。Startpage は Google の検索結果をプロキシ経由で表示するため、検索品質を維持しつつプライバシーを確保できる。DuckDuckGo は独自のクローラーと Bing の結果を組み合わせている。日常的な検索をこれらに切り替えるだけで、広告プロファイリングを大幅に抑制できる。

個人情報の適正な取り扱いを定める日本の法律。個人情報取扱事業者に対し、利用目的の特定、安全管理措置、第三者提供の制限などを義務付ける。2022 年の改正で個人の権利が拡充され、漏洩時の報告義務や罰則が強化された。個人情報保護委員会が監督機関として機能し、違反企業への勧告・命令権限を持つ。GDPR と比較すると制裁金の上限は低いが、改正のたびに規制が強化される傾向にある。Cookie 情報は「個人関連情報」として規制対象に含まれ、第三者提供時の同意取得が必要になった。

目的の達成に必要最小限の個人データのみを収集・処理すべきとするプライバシー原則。GDPR の基本原則の 1 つであり、過剰なデータ収集を抑制する。サービス設計の段階からこの原則を組み込む「プライバシー・バイ・デザイン」の考え方と密接に関連する。実務では、会員登録フォームで本当に必要な項目だけを求める、ログの保存期間を最小限にする、匿名化・仮名化を積極的に活用するといった施策が該当する。データを持たなければ漏洩リスクもないという発想が根底にある。

ソーシャルメディアプラットフォームにおける個人情報の公開範囲を制御する設定群。プロフィール情報、投稿の公開範囲、位置情報の共有、タグ付けの許可など、多岐にわたる項目を適切に管理することで、意図しない情報漏洩を防止できる。プラットフォームのアップデートで設定がリセットされたり、新しい共有機能がデフォルトで有効になることがあるため、定期的な見直しが必要。Facebook、Instagram、X (旧 Twitter) はそれぞれ設定項目が異なり、プラットフォームごとの確認が求められる。

EC サイトでの購入時に個人情報や決済情報を保護するための実践的な対策。HTTPS 接続の確認、信頼できる決済手段の利用、不審なサイトの回避が基本。仮想クレジットカード番号やワンタイムパスワードの活用により、カード情報の漏洩リスクを低減できる。URL が正規のドメインであることの確認、極端に安い価格設定への警戒、レビューの信頼性チェックも重要な判断材料。PayPal やキャリア決済など、カード番号を直接入力しない決済手段を選ぶことで、フィッシング被害のリスクを軽減できる。

インターネット通信を暗号化するプロトコル。SSL は旧称で、現在は TLS が標準。Web サイトの HTTPS 接続、メール送受信、VPN 通信など幅広く利用されている。TLS 1.3 が最新バージョンで、ハンドシェイクの高速化 (1-RTT) とセキュリティの強化が図られている。TLS 1.0/1.1 は既知の脆弱性があるため主要ブラウザでサポートが終了した。よくある誤解として「SSL 証明書」という呼称が残っているが、実際に使われているのは TLS プロトコル。証明書の有効期限管理と適切な暗号スイートの選択がサーバー運用の重要なポイント。

送信者と受信者の間でのみデータを復号できる暗号化方式。サービス提供者を含む第三者が通信内容を閲覧できない。Signal、WhatsApp などのメッセージアプリや、ProtonMail などのメールサービスで採用されている。法執行機関からのデータ開示要求に対しても、サービス提供者が技術的に応じられない点が特徴。一方で、犯罪捜査の妨げになるとして各国政府からバックドア設置の圧力を受けることもある。E2EE を採用していないサービスでは、サーバー側でメッセージが平文で保存されるリスクがある。

HTTP に TLS による暗号化を追加したプロトコル。ブラウザと Web サーバー間の通信を暗号化し、盗聴や改ざんを防止する。アドレスバーの鍵アイコンで確認でき、現在ではほぼすべての Web サイトで標準的に使用されている。Google は HTTPS をランキングシグナルとして採用しており、SEO の観点からも導入が必須。Let's Encrypt の普及により無料で SSL/TLS 証明書を取得できるようになり、個人サイトでも HTTPS 化が容易になった。HTTP サイトでは Chrome が「保護されていない通信」と警告を表示するため、ユーザーの信頼にも直結する。

ネットワークの境界に設置され、通信の許可・拒否を制御するセキュリティ機構。パケットフィルタリング型、ステートフルインスペクション型、アプリケーションゲートウェイ型などの種類がある。不正アクセスやマルウェアの侵入を防ぐ第一の防御線。Windows Defender ファイアウォールや macOS のファイアウォールは OS に標準搭載されており、有効化するだけで基本的な保護が得られる。企業ネットワークでは次世代ファイアウォール (NGFW) がアプリケーション層まで検査し、より高度な脅威を検出する。

暗号化と復号に異なる鍵 (公開鍵と秘密鍵) を使用する暗号方式。公開鍵で暗号化されたデータは対応する秘密鍵でのみ復号できる。TLS 通信の鍵交換、デジタル署名、パスキー認証など、現代のインターネットセキュリティの根幹を支える技術。RSA と楕円曲線暗号 (ECC) が代表的なアルゴリズムで、ECC は RSA と同等の安全性をより短い鍵長で実現できる。量子コンピュータの発展により既存の公開鍵暗号が解読されるリスクが指摘されており、耐量子暗号 (PQC) への移行が進められている。

Web サイトやサーバーの身元を証明する電子的な証明書。認証局 (CA) が発行し、公開鍵とドメイン所有者の情報を紐付ける。ブラウザは証明書を検証して HTTPS 接続の信頼性を確認する。Let's Encrypt の普及により、無料での取得が一般的になった。証明書には DV (ドメイン認証)、OV (組織認証)、EV (拡張認証) の 3 段階があり、認証レベルが異なる。有効期限切れの証明書はブラウザが警告を表示するため、自動更新の仕組み (certbot 等) を導入しておくことが運用上重要。

メールの本文や添付ファイルを暗号化し、送信者と受信者以外が内容を閲覧できないようにする技術。ProtonMail や Tuta はエンドツーエンド暗号化を標準提供し、サーバー側でもメール内容を復号できないゼロアクセス暗号化を採用している。PGP/GPG による手動暗号化も可能だが、鍵管理の煩雑さが普及の障壁となっている。通常のメールサービス (Gmail、Outlook) は転送時の暗号化 (TLS) には対応しているが、サーバー上では平文で保存されるため、サービス提供者や法執行機関がアクセスできる点に注意が必要。

Web サーバーがブラウザに送信する HTTP レスポンスヘッダーのうち、セキュリティポリシーを指示するもの。Content-Security-Policy (CSP) は XSS 攻撃を防止し、Strict-Transport-Security (HSTS) は HTTPS 接続を強制し、X-Frame-Options はクリックジャッキングを防ぐ。適切な設定により Web アプリケーションの攻撃対象面を大幅に縮小できる。SecurityHeaders.com などのオンラインツールで自サイトのヘッダー設定を無料で診断できる。設定ミスによりサイトが正常に動作しなくなるリスクがあるため、段階的な導入が推奨される。

正規の組織や個人を装い、パスワードやクレジットカード情報などの機密情報を詐取する攻撃手法。メール、SMS (スミッシング)、偽 Web サイトなど多様な手段が使われる。URL の確認、送信元の検証、二要素認証の有効化が主な対策。近年は AI を活用した精巧なフィッシングメールが増加しており、文面の不自然さだけでは見分けが困難になっている。リンク先の URL をホバーして確認する、公式アプリから直接アクセスするなどの習慣が被害防止に有効。企業では定期的なフィッシング訓練が従業員の意識向上に効果的。

感染したデバイスのファイルを暗号化し、復号と引き換えに身代金 (多くはビットコインなどの暗号資産) を要求するマルウェア。メールの添付ファイルや脆弱性の悪用を通じて感染する。定期的なバックアップ、OS とソフトウェアの更新、不審なファイルの実行回避が重要な予防策。身代金を支払っても復号鍵が提供される保証はなく、支払いは犯罪組織の資金源となるため推奨されない。二重脅迫型ランサムウェアはデータの暗号化に加え、窃取したデータの公開をも脅迫材料にする。オフラインバックアップの保持が最後の砦となる。

技術的な手段ではなく、人間の心理的な弱点を突いて情報を詐取する攻撃手法。権威への服従、緊急性の演出、好意の利用など、さまざまな心理テクニックが用いられる。技術的対策だけでは防げないため、セキュリティ意識の向上が不可欠。「上司を装った緊急の送金依頼」や「IT 部門を名乗るパスワード確認」が典型的な手口。電話、メール、対面、SNS などあらゆるチャネルで実行される。組織では定期的なセキュリティ研修と模擬攻撃訓練が最も効果的な対策とされている。

ソフトウェアの脆弱性が公表される前、または修正パッチが提供される前に、その脆弱性を悪用する攻撃。開発者が対策を講じる猶予がゼロ日 (zero day) であることが名前の由来。国家レベルのサイバー攻撃で使用されることが多く、ゼロデイ脆弱性はダークウェブで高額で取引される。多層防御の考え方と迅速なアップデート適用が対策の基本。エンドポイント検出・対応 (EDR) ツールは、未知の脆弱性を悪用する異常な振る舞いを検知する能力を持つ。ソフトウェアの自動更新を有効にしておくことが個人レベルでの最善策。

深層学習技術を用いて、人物の顔や声を精巧に合成・改変する技術。偽の動画や音声を作成し、なりすましや偽情報の拡散に悪用される。映像の不自然な瞬きや輪郭のぼやけ、音声の抑揚の違和感などが見破る手がかりとなる。CEO の声を模倣した詐欺電話で数千万円が騙し取られた事例も報告されている。Microsoft Video Authenticator などの検出ツールが開発されているが、生成技術の進歩に検出技術が追いつかない状況が続いている。ビデオ通話での本人確認にも影響を及ぼしうる新たな脅威。

ソフトウェアの開発・配布過程に介入し、正規のアップデートや依存ライブラリにマルウェアを混入させる攻撃手法。信頼されたソフトウェアを経由するため検出が困難で、被害が広範囲に及ぶ。SolarWinds 事件では 18,000 以上の組織が影響を受け、npm パッケージの汚染事例も頻発している。オープンソースの依存関係を自動スキャンする Dependabot や Snyk などのツールが対策として有効。ソフトウェアの署名検証やビルドの再現性確保 (Reproducible Builds) も防御策として重要性が高まっている。

大量のコンピュータから標的のサーバーやネットワークに一斉にリクエストを送信し、サービスを利用不能にする攻撃。ボットネットと呼ばれる感染端末群が攻撃に利用されることが多い。CDN やレート制限、トラフィック分析による異常検知が主な防御手段。攻撃規模は年々増大しており、数 Tbps に達する大規模攻撃も観測されている。DDoS 攻撃を請け負う「DDoS-as-a-Service」が闇市場で安価に提供されており、技術的知識がなくても攻撃を実行できる状況にある。AWS Shield や Cloudflare などのクラウド型防御サービスの利用が有効。

通信する 2 者の間に攻撃者が割り込み、通信内容の傍受や改ざんを行う攻撃手法。公共 Wi-Fi での暗号化されていない通信が典型的な標的となる。HTTPS の利用、証明書の検証、VPN の使用が有効な防御策。HSTS ヘッダーによるプロトコルダウングレード防止も重要。ARP スプーフィングや DNS スプーフィングを組み合わせた高度な攻撃も存在する。カフェや空港の無料 Wi-Fi では、攻撃者が偽のアクセスポイントを設置して通信を傍受する「Evil Twin 攻撃」が実際に報告されている。

組織が保有する個人情報や機密データが、不正アクセス、内部犯行、設定ミスなどにより外部に流出する事象。漏洩した認証情報はダークウェブで売買され、クレデンシャルスタッフィングなどの二次攻撃に悪用される。迅速なパスワード変更と影響範囲の特定が初動対応の要。Have I Been Pwned で自分のメールアドレスが漏洩リストに含まれていないか定期的に確認することが推奨される。日本の個人情報保護法では、一定規模以上の漏洩は個人情報保護委員会への報告と本人への通知が義務付けられている。

他者の個人情報を不正に取得し、その人物になりすまして金銭的利益を得たり、サービスを悪用したりする犯罪行為。フィッシング、データ漏洩、ソーシャルエンジニアリングが主な手口。被害の早期発見には、信用情報の定期的な確認とアカウントの異常検知が有効。被害に遭った場合は、関連するパスワードの即時変更、金融機関への連絡、警察への届出が初動対応となる。ダークウェブでは個人情報のセット (氏名、住所、クレジットカード番号) が数ドルで売買されており、誰もが潜在的な被害者となりうる。

Web アプリケーションの脆弱性を悪用し、悪意のあるスクリプトをユーザーのブラウザ上で実行させる攻撃。反射型 (URL パラメータ経由)、格納型 (データベースに保存)、DOM ベース (クライアント側で発生) の 3 種類に分類される。入力値のサニタイズと Content-Security-Policy ヘッダーの適切な設定が主要な防御策。OWASP Top 10 に常にランクインする代表的な Web 脆弱性で、Cookie の窃取やセッションハイジャックに悪用される。React や Vue.js などのモダンフレームワークはデフォルトで出力エスケープを行うため、XSS リスクが低減されている。

ユーザーが認証済みの Web サイトに対して、意図しないリクエストを送信させる攻撃。攻撃者が用意した罠ページを閲覧するだけで、パスワード変更や送金などの操作が実行される可能性がある。CSRF トークンの検証と SameSite Cookie 属性の設定が有効な対策。SameSite=Lax がモダンブラウザのデフォルトとなったことで、基本的な CSRF 攻撃は自動的に防御されるようになった。ただし、GET リクエストで状態変更を行う設計は依然として脆弱であり、重要な操作には POST メソッドと CSRF トークンの併用が推奨される。

Web アプリケーションの入力フィールドに悪意のある SQL 文を挿入し、データベースを不正に操作する攻撃。認証の回避、データの窃取・改ざん・削除が可能になる。プリペアドステートメント (パラメータ化クエリ) の使用が最も効果的な防御策。OWASP Top 10 に長年ランクインし続ける代表的な脆弱性で、2023 年時点でも多くの Web アプリケーションに残存している。ORM (Object-Relational Mapping) を使用していても、生の SQL を直接組み立てる箇所があれば脆弱性が生じる。WAF による入力パターンの検知も補助的な防御として有効。

異なるオリジン (ドメイン、プロトコル、ポートの組み合わせ) 間での HTTP リクエストを制御するブラウザのセキュリティ機構。サーバーが適切な CORS ヘッダーを返すことで、許可されたオリジンからのリクエストのみを受け入れる。Access-Control-Allow-Origin にワイルドカード (*) を設定すると全オリジンからのアクセスを許可してしまうため、本番環境では具体的なドメインを指定すべき。プリフライトリクエスト (OPTIONS) の仕組みを理解していないと、API 開発時に CORS エラーに悩まされることが多い。

Web ページが読み込めるリソース (スクリプト、スタイルシート、画像など) のソースを制限する HTTP レスポンスヘッダー。XSS 攻撃の影響を大幅に軽減し、インラインスクリプトの実行やデータの外部送信を制御できる。段階的な導入には report-only モードが有用で、既存サイトへの影響を事前に把握できる。nonce ベースや hash ベースのポリシーにより、許可されたスクリプトのみを実行させる精密な制御が可能。設定が厳しすぎるとサードパーティのウィジェットや広告が動作しなくなるため、段階的な適用が推奨される。

透明な iframe を重ねて表示し、ユーザーが意図しないボタンやリンクをクリックさせる攻撃手法。SNS の「いいね」ボタンや設定変更ボタンが標的になることが多い。X-Frame-Options ヘッダーや CSP の frame-ancestors ディレクティブで防御できる。ユーザーには見えない透明なレイヤーの下に攻撃者のページが配置されるため、被害者は正規のサイトを操作しているつもりで攻撃者の意図した操作を実行してしまう。カメラやマイクの許可ダイアログを偽装する「UI リドレッシング」も同種の攻撃に分類される。

Web サーバーがブラウザに対し、以降のアクセスを必ず HTTPS で行うよう指示するセキュリティ機構。HTTP から HTTPS へのリダイレクト時に発生する中間者攻撃のリスクを排除する。preload リストへの登録により、初回アクセスからの保護も実現できる。max-age ディレクティブで有効期間を指定し、includeSubDomains でサブドメインにも適用を拡大できる。HSTS を設定していないサイトでは、攻撃者が HTTP へのダウングレードを強制し、通信を傍受する SSL ストリッピング攻撃が成立する。

Web アプリケーションへの HTTP/HTTPS トラフィックを監視・フィルタリングし、悪意のあるリクエストを遮断するセキュリティ装置。SQL インジェクション、XSS、DDoS 攻撃などの既知の攻撃パターンを検出・ブロックする。AWS WAF、Cloudflare WAF などクラウド型 WAF の普及により導入の敷居が下がっている。従来のネットワークファイアウォールが IP アドレスやポート番号で通信を制御するのに対し、WAF は HTTP リクエストの内容 (ヘッダー、ボディ、URL パラメータ) を検査する。誤検知 (正常なリクエストのブロック) の調整が運用上の課題となる。

スマートフォンアプリがカメラ、マイク、位置情報、連絡先などのデバイスリソースにアクセスする際に必要な許可の管理。iOS と Android はともに細粒度の権限制御を提供しており、不要な権限を拒否することでプライバシーリスクを低減できる。「使用中のみ許可」オプションにより、位置情報のバックグラウンド取得を制限できる。懐中電灯アプリが連絡先へのアクセスを要求するなど、機能に不釣り合いな権限要求は悪意あるアプリの兆候。定期的に設定画面から各アプリの権限を見直す習慣が重要。

スマート家電、監視カメラ、ウェアラブルデバイスなど、インターネットに接続される機器のセキュリティ対策。初期パスワードの変更、ファームウェアの定期更新、ネットワークセグメンテーションが基本。計算資源の制約から高度な暗号化が困難な機器も多く、ネットワーク側での防御が重要。Mirai ボットネットのように、脆弱な IoT デバイスが大規模 DDoS 攻撃に悪用された事例がある。IoT 専用の Wi-Fi ネットワークを分離し、メインネットワークへの侵入経路を遮断する対策が推奨される。

音声アシスタント、スマートカメラ、スマートロックなどのスマートホームデバイスが収集する音声・映像・行動データに関するプライバシー課題。常時待機するマイクやカメラの存在は、意図しない録音・録画のリスクを伴う。デバイスごとのプライバシー設定の見直しが不可欠。Amazon Alexa や Google Home は音声データをクラウドに送信して処理するため、会話内容がサーバーに保存される。録音履歴の定期的な削除、マイクのミュートボタンの活用、ゲスト用ネットワークへの接続が実践的な対策となる。

Apple が iOS 14.5 で導入した、アプリによるユーザー追跡に明示的な許可を求めるフレームワーク。アプリが他社のアプリや Web サイトにまたがってユーザーを追跡する前に、オプトインの同意を取得する必要がある。導入後、約 75% のユーザーがトラッキングを拒否したとされ、Facebook (Meta) の広告収益に数十億ドル規模の影響を与えた。Android でも同様の Privacy Sandbox が導入されつつある。広告業界はコンテキスト広告やファーストパーティデータの活用へと戦略転換を迫られている。

スマートフォンや PC のストレージ全体を暗号化し、紛失・盗難時にデータへの不正アクセスを防止する技術。iOS は標準で有効、Android も Android 10 以降で必須化されている。Windows の BitLocker、macOS の FileVault が PC 向けの代表的な実装。暗号化されたデバイスでは、正しいパスコードや生体認証なしにはデータを読み取れない。よくある誤解として、デバイス暗号化は電源オフ時やロック時のデータ保護であり、ロック解除後のマルウェアや不正アクセスには別途対策が必要。リカバリーキーの安全な保管も忘れてはならない。

スマートフォンやタブレットの通信を暗号化し、公共 Wi-Fi などの安全でないネットワーク上でのプライバシーを保護する技術。IKEv2 プロトコルはモバイル環境でのネットワーク切り替え (Wi-Fi とモバイルデータ間) に強く、接続の安定性に優れる。WireGuard もバッテリー消費が少なくモバイルに適している。無料のモバイル VPN アプリはデータを収集・販売するリスクが高いため、信頼できる有料サービスの利用が推奨される。常時接続 (Always-on VPN) 設定により、VPN 接続なしでの通信を完全に遮断することも可能。

攻撃者が携帯キャリアを騙して被害者の電話番号を別の SIM カードに移し替える詐欺手法。SMS ベースの二要素認証を突破し、銀行口座やメールアカウントを乗っ取る。TOTP アプリやハードウェアキーによる認証への移行が最も効果的な対策。米国では年間数千件の被害が報告されており、暗号資産の保有者が特に狙われやすい。キャリアに PIN コードを設定して SIM 変更に追加認証を要求する、重要なアカウントの二要素認証を SMS から TOTP に切り替えるなどの予防策が有効。

組織が従業員のモバイルデバイスを一元的に管理・制御するためのソリューション。デバイスの暗号化強制、アプリのインストール制限、リモートワイプ (遠隔データ消去) などの機能を提供する。BYOD (個人端末の業務利用) 環境でのセキュリティ確保に不可欠。Microsoft Intune、Jamf、VMware Workspace ONE が代表的な製品。MDM を導入することで、紛失・盗難時に遠隔でデバイスをロック・消去でき、情報漏洩リスクを最小化できる。個人のプライバシーとの両立が導入時の課題となることが多い。

クラウド上に保存されたデータの機密性、完全性、可用性を確保するための対策。アクセス制御の適切な設定、保存時暗号化 (encryption at rest)、転送時暗号化 (encryption in transit) が基本要素。S3 バケットの公開設定ミスによるデータ流出が最も頻度の高いインシデント原因で、Capital One の大規模漏洩事件もクラウドの設定不備が発端だった。共有リンクの有効期限設定、多要素認証の有効化、アクセスログの監視が実務上の重要ポイント。ゼロ知識暗号化を採用したサービスではプロバイダーもデータを閲覧できない。

ある情報を知っていることを、その情報自体を開示せずに証明する暗号学的手法。ゼロ知識暗号化を採用したクラウドサービスでは、サービス提供者でさえユーザーのデータを復号できない。ProtonMail や Tresorit がこの原理を実装している。パスワードマネージャーの Bitwarden もゼロ知識アーキテクチャを採用しており、マスターパスワードがサーバーに送信されることはない。法執行機関からのデータ開示要求に対しても技術的に応じられない点が、プライバシー重視のユーザーに支持される理由。

データを 3 つのコピーとして保持し、2 種類の異なるメディアに保存し、1 つはオフサイト (遠隔地) に保管するバックアップの基本原則。ランサムウェア対策として、オフラインバックアップの重要性が再認識されている。定期的なリストアテストも不可欠で、バックアップが正常に復元できることを確認しておかないと、いざという時に役に立たない。クラウドストレージをオフサイトバックアップとして活用する場合、ランサムウェアによる暗号化がクラウドに同期されないよう、バージョニング機能を有効にしておくことが重要。

平文のデータを暗号アルゴリズムで変換し、正当な鍵を持つ者のみが復号できる状態にする技術。保存時暗号化 (at rest) と転送時暗号化 (in transit) の両方を適用することで、データライフサイクル全体を通じた保護を実現する。AES-256 が現在の標準的な暗号強度で、米国政府の機密情報保護にも採用されている。暗号化していても鍵管理が不適切であれば意味がないため、鍵の生成・保管・ローテーションのプロセスが極めて重要。量子コンピュータの発展に備えた耐量子暗号への移行も長期的な課題。

ネットワークの内外を問わず、すべてのアクセスを信頼せず検証するセキュリティモデル。従来の境界型防御が内部ネットワークを暗黙的に信頼していたのに対し、ゼロトラストは「決して信頼せず、常に検証する」を原則とする。ID 認証、デバイス検証、最小権限の原則が柱。リモートワークの普及により、社内ネットワークの境界が曖昧になったことで導入が加速した。Google の BeyondCorp が先駆的な実装例として知られる。個人レベルでも、すべてのアカウントに二要素認証を設定し、不要な権限を削除する姿勢がゼロトラスト的思考。

ファイルの転送・共有時にデータの機密性と完全性を確保する手法。エンドツーエンド暗号化、パスワード保護、有効期限付きリンク、アクセスログの記録が主要な対策。クラウドストレージの共有設定を「リンクを知っている全員」にする運用は情報漏洩の温床となる。Send (旧 Firefox Send) や OnionShare など、暗号化ファイル共有に特化したツールも存在する。業務でファイルを共有する際は、共有範囲を必要最小限に絞り、不要になった共有リンクは速やかに無効化する運用が重要。

ダークウェブ上の闇市場やフォーラムを監視し、自身の個人情報 (メールアドレス、パスワード、クレジットカード番号など) が流出・売買されていないかを検知するサービス。Have I Been Pwned などの無料ツールで基本的な確認が可能。早期発見が被害拡大の防止に直結する。1Password や Bitwarden などのパスワードマネージャーにもダークウェブモニタリング機能が統合されている。流出が検知された場合は、該当するパスワードの即時変更と二要素認証の有効化が最優先の対応となる。

ストレージ上のデータを復元不可能な状態にする技術。通常のファイル削除ではデータ本体が残存するため、専用ツールによる上書き消去や暗号化消去が必要。SSD ではウェアレベリングの影響で完全消去が困難なため、暗号化消去 (Cryptographic Erase) が推奨される。デバイスの廃棄・売却前には必ず安全な消去を実施すべきで、初期化だけではデータ復元ツールで情報を取り出せる場合がある。企業では NIST SP 800-88 のガイドラインに従った消去手順が求められる。

セキュリティインシデント (不正アクセス、データ漏洩、マルウェア感染など) が発生した際に、被害の拡大を防止し、原因を特定し、復旧するための体系的な対応プロセス。準備、検知、封じ込め、根絶、復旧、教訓の 6 フェーズで構成される。事前の計画策定と定期的な訓練が迅速な対応の鍵となる。NIST SP 800-61 がインシデントレスポンスの標準的なガイドラインとして広く参照されている。初動対応の遅れが被害を拡大させるため、連絡体制と意思決定プロセスを事前に明確化しておくことが重要。

コンピュータやネットワーク上の電子的証拠を科学的手法で収集・保全・分析する技術。サイバー犯罪の捜査、インシデントの原因究明、法的手続きにおける証拠提出に利用される。証拠の改ざん防止のため、ハッシュ値による完全性検証とチェーン・オブ・カストディ (証拠の管理記録) の維持が不可欠。メモリフォレンジック、ディスクフォレンジック、ネットワークフォレンジックなど、対象に応じた専門分野がある。Autopsy や Volatility が代表的なオープンソースのフォレンジックツール。

Computer Security Incident Response Team の略称で、組織内のセキュリティインシデントに対応する専門チーム。インシデントの検知・分析・対応・復旧を担い、外部の CSIRT や法執行機関との連携窓口も務める。日本では JPCERT/CC が国レベルの調整機関として機能している。企業規模に関わらず CSIRT の設置が推奨されており、専任チームが難しい場合は兼任体制でも対応手順を整備しておくことが重要。NCA (日本シーサート協議会) に加盟することで、他組織の CSIRT と脅威情報を共有できる。

サイバー攻撃に関する情報 (攻撃者の手口、使用するツール、標的の傾向など) を収集・分析し、防御に活用する取り組み。IoC (Indicators of Compromise) と呼ばれる侵害の痕跡情報を共有することで、組織間の防御力を相互に高められる。戦略的 (経営判断向け)、戦術的 (防御チーム向け)、運用的 (リアルタイム対応向け) の 3 レベルに分類される。MITRE ATT&CK フレームワークは攻撃者の戦術・技術を体系化した知識ベースとして、脅威インテリジェンスの共通言語となっている。

実際の攻撃者の手法を模倣してシステムやネットワークの脆弱性を検証するセキュリティ評価手法。ホワイトボックス (内部情報あり)、ブラックボックス (情報なし)、グレーボックス (一部情報あり) の 3 種類がある。脆弱性スキャンとは異なり、発見した脆弱性の実際の悪用可能性まで検証する。年 1 回以上の定期実施が PCI DSS などのコンプライアンス基準で求められる。テスト結果のレポートには脆弱性の深刻度と具体的な修正方法が記載され、優先順位を付けた改善計画の策定に活用される。

ネットワーク機器、サーバー、アプリケーションなど多様なソースからログを収集・統合し、セキュリティイベントをリアルタイムに分析・相関付けするプラットフォーム。異常な振る舞いの検知、インシデントの早期発見、コンプライアンス監査のためのログ保管を一元的に実現する。Splunk、Microsoft Sentinel、Elastic Security が代表的な製品。大量のログから真の脅威を見分けるためのルール設定とチューニングが運用の鍵で、誤検知の多さが現場の負担になりやすい。近年は機械学習を活用した異常検知機能が標準搭載されるようになっている。

システムやソフトウェアに存在する脆弱性を継続的に発見・評価・修正するプロセス。CVE (Common Vulnerabilities and Exposures) による脆弱性の識別と、CVSS (Common Vulnerability Scoring System) による深刻度の定量評価が業界標準。パッチ適用の優先順位付けと迅速な対応が被害防止の要。CVSS スコアが 9.0 以上の「Critical」脆弱性は 24 時間以内の対応が推奨される。Nessus、Qualys、OpenVAS が代表的な脆弱性スキャナー。ゼロデイ脆弱性のように修正パッチが存在しない場合は、ワークアラウンド (回避策) の適用が求められる。

サイバー攻撃、自然災害、システム障害などの緊急事態が発生した際に、事業の中断を最小限に抑え、重要な業務を継続・早期復旧するための計画。RTO (目標復旧時間) と RPO (目標復旧時点) の設定が計画策定の出発点となる。定期的な見直しと訓練による実効性の維持が重要。ランサムウェア攻撃で業務システムが全停止した場合を想定した BCP の策定が、近年特に求められている。クラウドサービスの障害、主要ベンダーの倒産、パンデミックなど、想定シナリオを多角的に検討することが計画の実効性を高める。

攻撃者を意図的に誘引するために設置される囮のシステムやサービス。攻撃手法の観察、新たな脅威の早期検知、攻撃者の行動パターンの分析に利用される。本番環境から隔離された環境に構築し、攻撃者に気づかれないよう本物のシステムに見せかけることが運用の要点。低対話型 (限定的なサービスを模倣) と高対話型 (実際の OS やアプリケーションを使用) に分類される。T-Pot や Cowrie が代表的なオープンソースのハニーポットツール。収集した攻撃データは脅威インテリジェンスとして組織の防御力向上に活用できる。

サーバー、ネットワーク、ストレージなどのインフラ構成をコードとして定義・管理する手法。Terraform、CloudFormation、Pulumi などのツールを使用し、インフラの構築・変更を自動化・再現可能にする。手動設定に起因する設定ミスやセキュリティホールの発生を抑制できる。Git でバージョン管理することで、インフラの変更履歴を追跡し、問題発生時にロールバックできる。コードレビューのプロセスをインフラ変更にも適用でき、セキュリティ上の問題を事前に検出する仕組みを構築できる。

Docker や Kubernetes などのコンテナ技術を安全に運用するためのセキュリティ対策。コンテナイメージの脆弱性スキャン、最小権限での実行、ネットワークポリシーの適用、ランタイム監視が主要な対策。イメージの信頼性検証と署名による改ざん防止も重要。公開レジストリから取得したイメージにマルウェアが混入しているケースが報告されており、信頼できるベースイメージの使用と定期的なスキャンが不可欠。root ユーザーでのコンテナ実行は避け、読み取り専用ファイルシステムの使用が推奨される。

クラウド環境やシステムにおいて、ユーザーやサービスの認証・認可を一元管理する仕組み。最小権限の原則に基づき、必要最小限のアクセス権のみを付与する。IAM ポリシーの設定ミスはクラウド環境における最も一般的なセキュリティリスクの 1 つ。AWS IAM、Azure AD、Google Cloud IAM が主要クラウドプロバイダーの実装。過剰な権限を持つ IAM ロールが放置されると、侵害時の被害が拡大する。定期的な権限の棚卸しと未使用アカウントの削除が運用上の重要タスク。

API キー、データベースパスワード、暗号鍵などの機密情報 (シークレット) を安全に保管・配布・ローテーションする仕組み。AWS Secrets Manager、HashiCorp Vault などの専用ツールを使用し、ソースコードや設定ファイルへのハードコードを排除する。シークレットの定期的なローテーションが漏洩時の影響を限定する。GitHub にシークレットを誤ってコミットする事故は頻繁に発生しており、git-secrets や GitHub の Secret Scanning で自動検出する仕組みの導入が推奨される。環境変数での管理も一般的だが、プロセスの環境変数は他のプロセスから読み取れるリスクがある。

ネットワークを論理的に分割し、セグメント間の通信を制御することで、攻撃の横展開 (ラテラルムーブメント) を防止する手法。VLAN やマイクロセグメンテーションにより、侵害されたセグメントから他のセグメントへの被害拡大を抑制する。ゼロトラストアーキテクチャの基盤技術。家庭ネットワークでも、IoT デバイスをゲスト Wi-Fi に接続してメインネットワークと分離する簡易的なセグメンテーションが推奨される。クラウド環境では VPC (Virtual Private Cloud) やセキュリティグループによる論理的な分離が標準的な実装方法。

世界各地に分散配置されたエッジサーバーを通じて、Web コンテンツをユーザーに近い場所から高速に配信するネットワーク。表示速度の向上に加え、DDoS 攻撃の吸収、オリジンサーバーの保護、TLS 終端処理のオフロードなど、セキュリティ面でも重要な役割を果たす。Cloudflare、AWS CloudFront、Akamai が代表的なサービス。CDN を利用することで、世界中のユーザーに対して一貫した低レイテンシのアクセス体験を提供できる。静的コンテンツだけでなく、動的コンテンツのキャッシュや API のアクセラレーションにも活用される。

クラウドサービスにおけるセキュリティ責任を、クラウドプロバイダーと利用者の間で分担する考え方。プロバイダーはインフラの物理的セキュリティを担い、利用者はデータの暗号化、アクセス制御、アプリケーションのセキュリティを担う。責任範囲の誤解がセキュリティインシデントの主因となる。IaaS、PaaS、SaaS でそれぞれ責任の境界が異なり、SaaS に近づくほどプロバイダーの責任範囲が広がる。「クラウドに移行すればセキュリティはプロバイダーが全て担保してくれる」という誤解は危険で、利用者側の設定・運用責任は常に残る。

AWS Lambda や Azure Functions などのサーバーレスコンピューティング環境に固有のセキュリティ課題と対策。OS やランタイムの管理はプロバイダーが担うが、関数のコード品質、依存ライブラリの脆弱性、IAM 権限の最小化、入力検証は利用者の責任。コールドスタート時の初期化処理にも注意が必要。関数ごとに最小権限の IAM ロールを割り当てることが鉄則で、1 つのロールを複数関数で共有すると権限の肥大化を招く。イベントインジェクション (不正な入力による関数の悪用) が サーバーレス特有の攻撃ベクトルとして知られている。

機密データの不正な持ち出し、漏洩、紛失を検知・防止するためのセキュリティ技術。メール送信、クラウドアップロード、USB デバイスへのコピーなど、データの移動経路を監視し、ポリシーに違反する操作をブロックまたは警告する。個人情報やクレジットカード番号のパターンマッチングが基本的な検知手法。Microsoft Purview、Symantec DLP が代表的な製品。内部犯行による情報持ち出しの抑止にも効果があり、従業員が退職前に大量のファイルをダウンロードする異常行動を検知できる。導入時は業務効率への影響を考慮した段階的なポリシー適用が重要。