セキュリティとは何か
セキュリティとは、「安全」や「保安」という意味を持ち、英語では「security」と表記します。
コンピューターセキュリティには大きく2種類ある
セキュリティは、大きく「情報セキュリティ」と「サイバーセキュリティ」の2種類に分けて考える必要がります。そして、それらをバランスよく考えていく必要があります。
ここでは、この2種類のセキュリティについてみていきたいと思います。
〈情報セキュリティ〉
情報セキュリティとは、デジタルデータの破損や情報漏洩、そのシステムやデータが正規のユーザーが、いつでも安全に情報を使える状態のことを指します。
あえて「正規のユーザー」と書いたのは、情報セキュリティは正規ではない「悪意のある人間」によって、脅かされているからです。
〈サイバーセキュリティ〉
コンピューターやWebサイト、サーバなどへの不正アクセスを防ぎ、電子情報の不正な取得・流出、そして改ざんの防止や、防止を目的とした対策のことを言います。
コンピュータセキュリティの全体像でいえば、情報セキュリティの中にサイバーセキュリティの概念がある、というイメージです。
基本的な情報セキュリティの意識
私生活やビジネスにIT・ICTを活用したイノベーションは欠かせない時代となりましたが、デジタル化が進むと避けて通れないのがセキュリティです。
ここでは、個人が意識すべき情報セキュリティと、組織（企業など）が意識すべき情報セキュリティに分けて確認していきましょう。
個人レベルでの情報セキュリティ
個人が日常生活で特に意識すべき情報セキュリティは、個人を特定する情報や決済に関わる情報を安全に取り扱うための対策です。
例として、ECサイトを利用するときに意識すべき情報セキュリティを考えてみましょう。
ECサイトを利用するためには個人の氏名や住所、クレジットカード番号などの個人情報の登録が必要です。
このとき最低限確認すべきなのは、利用するショッピングサイトが正規ページであるかどうかということと、そのページがセキュリティに配慮してあるかということです。
正規ページであるかについては、利用するショッピングサイトのURLが正しい文字列であるかどうかで概ね確認できます。また、利用するサイトの情報入力を行うページのURLの先頭が「https」で始まっているかも確認してみましょう。
現在は、URLが「http://」で始まるすべてのサイトに「安全ではありません」の警告が出るようになっています。
また、個人情報やクレジットカードなどの決済情報の入力は、必ず自分自身のパソコンやスマートフォンで行うことが大切です。インターネットカフェなどのだれでも利用できるパソコンには入力情報を不正に取得するためのウィルスが仕込まれているかもしれませんし、情報入力後に履歴から個人情報を抜き取られる危険性もあるのです。
個人が意識して扱うべき代表的な情報を以下にまとめましたので、確認してみてはいかがでしょうか。
- クレジットカード番号
- 住所、氏名、年齢、電話番号
- 電子メールアカウント
- メールの内容
- 商品購入などのサイト上の行動履歴
- 本人確認情報（パスポート、マイナンバー、運転免許証、健康保険証）
- ネットバンキングの情報（アカウントやパスワード）
企業レベルでの情報セキュリティ
企業や組織での情報システムの停止による損失、顧客情報の漏洩（ろうえい）は、ブランドイメージの失墜など、大きな被害や影響をもたらします。また、多くの場合、被害や影響は取引先や顧客などの関係者へも波及します。
個人レベルでは、基本的に情報は個人（自分自身）のものの範囲であり、自分が入力するページや入力に使用する端末などの配慮が主な観点でした。
しかし、企業や組織レベルでは、情報システムの利用や扱う情報を業務上で共有する必要があり、利用している複数のソフトウェアや基幹システムの設備から、情報システムを利用する従業員の情報セキュリティ意識に至るまで、徹底した配慮が必要なのです。
特に、個人情報や顧客情報などの重要情報を取り扱う場合には、これを保護することは、企業や組織にとっての社会的責務でもあります。
また、企業の情報セキュリティ対策では自然災害なども考慮しておかなければなりません。例えば、企業データを単一のデータセンターだけに保管していた場合、万が一の大地震や落雷などによってすべてのデータを消失してしまうことも考えられるからです。また、津波が発生する地域ではバックアップ機材は高台に設置するなどの配慮が必要です。
自然災害リスクの観点やセキュリティリスクの観点など、リスクベースで対策が取られているかを確認する必要があります。
企業レベルで意識すべき事項について以下にまとめてみますので、確認してみてはいかがでしょうか。
- 顧客や社員の個人情報の管理方法
- 利用しているソフトウェアに脆弱性がないこと
- 利用しているソフトウェアとシステム基盤のアップデートが常にされていること
- 脆弱性が発見された場合、速やかに対策が講じられていること
- 社員一人ひとりが情報の取り扱いよるリスクを理解していること
- データを扱うコンピューターにウィルス対策が施してあること
- 企業としてのセキュリティポリシーを策定し、遂行されていること
- データの破損や予期せぬ消去に備えたバックアップ体制が整っていること
- バックアップ体制はオンライン（自然災害リスク）オフライン（サイバーリスク）両方とも取られていること
