用語集
セキュリティ用語集
製品の名前や規格の名前として耳にするセキュリティの用語 39 語を、中小企業の担当者向けに1文で説明しました。どの用語にも、よくある誤解と、このサイトの攻撃の手口や事例とのつながりを添えています。
要点
- 分け方 ネットワークと境界、端末と監視、認証とアクセス、メールのなりすまし対策、脆弱性と診断、事故への備えと対応、組織のルールと規格の7つに分けています。
- つながり 39 語のうち 39 語に、関係する攻撃の手口や事例のページへのリンクがあります。
- 出典 意味と誤解の訂正は、IPA、NISC、JPCERT/CC、NIST、IETF などの公的な資料を出典にしています。
ネットワークと境界
- ファイアウォール Firewall ファイアウォール（Firewall）は、ネットワークの間や端末の出入り口で、決めたルールに従って通信を通すか止めるかを判断する仕組みで、社内とインターネットの境目に置くのが代表的な使い方です。
- UTM Unified Threat Management UTM（Unified Threat Management）は、ファイアウォール、IDS・IPS、ウイルス対策、URLフィルタリングなど複数の防御機能を1台にまとめた機器です。
- WAF Web Application Firewall WAF（Web Application Firewall）は、Webサイトとの通信の中身を検査し、Webアプリの脆弱性を狙う攻撃を検出して止める仕組みです。
- VPN Virtual Private Network VPN（Virtual Private Network）は、インターネットなどの上に、多くの場合は暗号化で守った通り道を作り、社外の端末や拠点を社内ネットワークに専用線のようにつなぐ技術です。
- IDS・IPS Intrusion Detection System / Intrusion Prevention System IDS・IPS（Intrusion Detection System / Intrusion Prevention System）は、通信や端末の動きを監視して不正なアクセスを見つけ、知らせる（IDS）か自動で遮断する（IPS）仕組みです。
- SASE Secure Access Service Edge SASE（Secure Access Service Edge）は、ネットワーク接続とファイアウォールやCASBなどの防御機能を、まとめてクラウドから提供する考え方です。
- CASB Cloud Access Security Broker CASB（Cloud Access Security Broker）は、社員とクラウドサービスの間に立ち、クラウドの使われ方を見える化して利用ルールを当てる仕組みです。
端末と監視
- EDR Endpoint Detection and Response EDR（Endpoint Detection and Response）は、PCやサーバー上の処理や通信の不審な振る舞いを検知し、感染後の調査や隔離を素早く行うための仕組みです。
- XDR Extended Detection and Response XDR（Extended Detection and Response）は、端末のEDRやネットワークのNDRなどをまとめ、横断して脅威を検知し対応するサービスです。
- MDM Mobile Device Management MDM（Mobile Device Management）は、スマートフォンやタブレットなど業務で使う端末の設定、更新、紛失時の遠隔ロックやデータ消去を一元的に管理する仕組みです。
- DLP Data Loss Prevention DLP（Data Loss Prevention）は、管理対象のデータのコピー、メール添付、外部送信などの持ち出しを検知し、警告や遮断を行う情報漏えい対策の仕組みです。
- SIEM Security Information and Event Management SIEM（Security Information and Event Management）は、EDRやサーバーなどのログを一か所に集め、関連づけて分析する仕組みです。
- SOC Security Operations Center SOC（Security Operations Center）は、セキュリティ機器やログを常時監視し、異常の兆候を分析して担当部門へ知らせる、監視と分析を担う組織や機能です。
- ログ管理 Log Management ログ管理（Log Management）は、機器やシステムの記録を取得し、送り、保管し、分析し、期限が来たら廃棄するまでを計画的に行う活動です。
認証とアクセス
- ゼロトラスト Zero Trust ゼロトラスト（Zero Trust）は、社内ネットワークにいることを理由に信用せず、アクセスのたびに利用者と端末を確かめ、必要最小の権限だけを与える考え方です。
- 最小権限 Least Privilege 最小権限（Least Privilege）は、利用者やプログラムに、その仕事に必要な最小限のアクセス権だけを与えるという原則です。
- SSO Single Sign-On SSO（Single Sign-On）は、一つのアカウントと認証手段で複数の業務アプリやクラウドサービスに続けて入れるようにする仕組みで、多くはID連携の規格で実現されるです。
- 多要素認証 Multi-Factor Authentication (MFA) 多要素認証（Multi-Factor Authentication）は、知識情報、所持情報、生体情報という認証の3要素のうち2つ以上を組み合わせて本人を確かめる方式です。
- パスキー Passkey (FIDO credential) パスキー（Passkey）は、FIDOの規格に基づき、端末の生体認証や画面ロックの解除でログインする、パスワードを使わない認証方式です。
メールのなりすまし対策
- SPF Sender Policy Framework SPF（Sender Policy Framework）は、ドメインの持ち主がそのドメインでメールを送ってよいサーバーをDNSで公開し、受信側が確かめられるようにする仕組みです。
- DKIM DomainKeys Identified Mail DKIM（DomainKeys Identified Mail）は、送信側がメールに電子署名を付け、受信側がDNS上の公開鍵で検証して署名ドメインと改ざんの有無を確かめる仕組みです。
- DMARC Domain-based Message Authentication, Reporting, and Conformance DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMの結果を差出人ドメインと照合し、失敗時の扱いをドメインの持ち主が宣言する仕組みです。
脆弱性と診断
- 脆弱性 Vulnerability 脆弱性（Vulnerability）は、OSやソフトウェア、機器、運用の手順などにある、攻撃者に悪用されうる弱点です。
- CVE Common Vulnerabilities and Exposures CVE（Common Vulnerabilities and Exposures）は、公開された個々の脆弱性に「CVE-年-連番」の一意の番号を付けて識別する共通の仕組みです。
- CVSS Common Vulnerability Scoring System CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0から10.0で表す共通の評価方法であり、現行版は2023年11月公開のv4.0です。
- パッチ Patch パッチ（Patch）は、見つかった不具合や脆弱性を直すためにメーカーが提供する修正プログラムです。
- 脆弱性診断 Vulnerability Assessment 脆弱性診断（Vulnerability Assessment）は、システムや製品を体系的に調べ、悪用されうる弱点や対策の不足を見つけて報告する検査です。
- ペネトレーションテスト Penetration Testing ペネトレーションテスト（Penetration Testing）は、取り決めた条件の下で実際の攻撃者の手口をまね、守りの仕組みを突破できるかを確かめる試験です。
事故への備えと対応
- CSIRT Computer Security Incident Response Team CSIRT（Computer Security Incident Response Team）は、組織内の情報セキュリティの問題を専門に扱い、事故が起きたときに対応を担うチームです。
- インシデント対応 Incident Response インシデント対応（Incident Response）は、情報漏えいやウイルス感染などの事故の被害を最小限に抑え、復旧し、再発を防ぐための一連の活動です。
- フォレンジック Digital Forensics フォレンジック（Digital Forensics）は、情報の完全性を保ちながら、端末やサーバー、ログなどのデータを収集し、調べて分析し、何が起きたかを明らかにする調査です。
- バックアップの3-2-1ルール 3-2-1 Backup Rule バックアップの3-2-1ルール（3-2-1 Backup Rule）は、データを3つ持ち、2種類の媒体に保管し、そのうち1つを別の場所に置くというバックアップの原則です。
- BCP Business Continuity Plan BCP（Business Continuity Plan）は、災害や事故で業務が止まったときに、重要な業務を続けるか目標の時間内に再開するための計画です。
組織のルールと規格
- シャドーIT Shadow IT シャドーIT（Shadow IT）は、会社の管理部門の許可なく、社員や部署が業務に使っている機器、ソフトウェア、クラウドサービスのことです。
- ISMS Information Security Management System ISMS（Information Security Management System）は、リスクを評価して必要な対策を決め、運用と見直しを続ける、組織の情報セキュリティ管理の仕組みです。
- Pマーク PrivacyMark Pマーク（PrivacyMark）は、JIS Q 15001に基づいて個人情報を適切に管理していると評価された事業者が使えるマークで、JIPDECが運営する制度です。
- セキュリティポリシー Information Security Policy セキュリティポリシー（Information Security Policy）は、組織が情報をどう守るかの方針と、それを実行するための規程や手順を文書にまとめた組織のルールです。
- NIST CSF NIST Cybersecurity Framework NIST CSF（NIST Cybersecurity Framework）は、米国NISTが公開する、規模や業種を問わず組織がサイバーリスクを管理するための成果の枠組みです。
- CIS Controls CIS Critical Security Controls CIS Controls（CIS Critical Security Controls）は、米国の非営利団体CISが公開する、優先順位を付けた18項目のセキュリティ対策の実践集です。
攻撃手法の用語
攻撃の手口そのものの用語は、攻撃手法のページで仕組み、兆候、対策、事例とあわせて解説しています。