もっと知りたい！ Pickup IT用語　
第33回　セキュア

「セキュア」（Secure）という英単語は「安心な」「安全な」「保護された」という意味を持つ形容詞で、その名詞形が「セキュリティ」（Security）です。IT分野においてセキュアとは、セキュリティが確保された状態、すなわちウイルス対策や暗号化機能などによって、システムやデータ、ネットワークが不正アクセスや攻撃、情報漏えいなどの脅威から守られていることを指します。

例えば、ウェブブラウジング時のセキュリティを強化したウェブブラウザを「セキュアブラウザ」といいます。通信の暗号化や広告・トラッキングのブロック、不正なウェブサイトの警告、強力なパスワード管理機能など、従来のウェブブラウザに比べて、さまざまなセキュリティ機能やプライバシー保護機能が搭載されています。

また、オンラインでのクレジットカード取引のセキュリティを高めるための本人認証システムに「3Dセキュア」という仕組みがあります。これは、クレジットカード会社と加盟店が連携してカード会員の本人認証を行うものです。

「Windows 11」などの最新OSには、コンピュータを起動させる際に、信頼できるソフトウェアのみを実行できるようにするセキュリティ機能として「セキュアブート」という技術が実装されています。PCやサーバー、モバイルデバイスなどで利用される仕組みで、不正なソフトウェアやマルウェアが起動時に動作することを防ぎます。

IT分野におけるセキュアとは、情報の漏えいを防ぐ「機密性」、情報の改ざんを防ぐ「完全性」、情報にいつでもアクセスできる「可用性」を満たした状態を表します。

より詳しく見れば、
・情報に許可された者だけがアクセスでき、データが不正アクセスや改ざん、窃取から守られていること
・システムやサービスが予想される動作を正確に、かつ一貫して行うこと
・ユーザーやシステムの真正性を確認するプロセス（認証）と、特定のリソースや情報へのアクセスを許可するプロセス（認可）が働いていること
・既知・未知の脆弱（ぜいじゃく）性を利用した攻撃からシステムが守られていること
・サーバールームやデータセンターなど、物理的な設備が不正アクセスや盗難、破壊から守られていること
などが挙げられます。

セキュアなIT環境を構築・維持するためには、こうした要素の一部ではなく、全般に注意を払い、対策を講じる必要があります。

IT分野におけるセキュアの概念は、技術の進化、社会の変動、そして新たな脅威の出現に伴って、時間とともに変化してきました。

初期のコンピュータネットワークでは、セキュアな環境を維持するために、主に物理的なセキュリティと簡単なアクセス制御が用いられていました。ネットワークへのアクセス自体が限られており、大規模なセキュリティの脅威は少なかったからです。

しかしインターネットの普及とともに、情報の流通が急速に拡大し、その結果、サイバー攻撃のリスクが増加しました。これに応じて、ファイアウォール、暗号化、セキュアな通信プロトコル（例：HTTPS）などの技術が導入されるようになります。

さらにスマートフォンの登場・普及と、IoT（Internet of Things）デバイスの増加により、接続されるデバイスの種類と数が増加。デバイスのセキュリティとプライバシー確保への懸念が増大しました。また、データとアプリケーションのクラウドへの移行が進むにつれ、セキュリティの焦点はオンプレミスのインフラからクラウドベースの保護へとシフトしていきます。

セキュアの概念は、新たな開発手法の導入によっても進化しています。開発担当と運用担当が連携して開発を行う「DevOps」や、「継続的インテグレーション／継続的デリバリー（CI/CD）」といった手法を取り入れることで、ソフトウェアはスピーディーに開発・リリースされるようになっています。こうした開発手法に対応するセキュリティ対策として、「DevSecOps」のように開発プロセス全体にセキュリティを組み合わせるアプローチも採用されるようになりました。

近年は、サイバー攻撃の手法も高度化し、国家主導のサイバー攻撃や高度な持続的脅威（APT）など、脅威の内容も複雑になっています。これに応じて、セキュリティ対策もより複雑化・高度化する必要が生じています。また、EU一般データ保護規則（GDPR：General Data Protection Regulation）やカリフォルニア州消費者プライバシー法（CCPA：California Consumer Privacy Act）といったデータ保護規制により、個人データの保護とプライバシーの確保は、重要なセキュリティの側面として強調されるようになりました。

また最近では、テキスト、画像、音声などのデータを生成する「生成AI（ジェネレーティブAI）」が話題ですが、生成AIはその高度な生成能力により、セキュリティのリスクと機会をあわせ持っています。生成AIが利用するデータのプライバシー保護や、生成された情報の検証など、適切な利用と管理が求められる一方で、ネットワークトラフィックの異常検知、セキュリティイベントの自動解析、攻撃パターンの予測など、新しいセキュリティの課題や解決策の提案も期待されています。

このように、IT分野においてセキュアの概念は、単なる技術的な問題から、組織の戦略、リスク管理、法的義務、そして社会的な責任を含む、幅広い問題へと進化してきました。セキュアの概念は、今後も変化していくことが予想されます。ユーザーは、常に最新のセキュリティ情報を収集し、適切な対策を講じなければなりません。

セキュアな環境を実現するための対策は多岐にわたります。主な対策を見てみましょう。

まずは物理的セキュリティの確保。サーバールームやデータセンターへのアクセス制御、監視カメラの設置、無停電電源装置（UPS）の利用などの対策が挙げられます。

次にネットワークセキュリティ。対策としては、ファイアウォールの設置・維持、侵入検知・防御システム（IDS/IPS）の導入、VPN（仮想プライベートネットワーク）の使用などがあります。異常なアクセスや活動を検出するためには、モニタリングも有効です。さらに、アクセスログの定期的な監査もセキュリティ対策として挙げられます。

リソースや情報へのアクセスをコントロールするには、アクセス制御を用います。対策には「最小限の権限原則」（PoLP）と呼ばれる必要な権限だけを与える原則の適用や、二要素認証（2FA）の導入などがあります。認証・認可において、強力なパスワードポリシーを適用することも対策となります。

続いてデータの盗難や改ざんを防ぐための暗号化があります。暗号化の方法には、データの暗号化（データベース、ファイル、通信など）や、SSL/TLSの利用によるウェブサイトのセキュアな接続などがあります。

アプリケーションセキュリティの確保には、定期的なソフトウェアのパッチ適用、セキュアなコーディングの実践、Web Application Firewall（WAF）の利用などを用います。

PCのみならず、モバイルデバイスやIoT機器など、多様化する端末をサイバー攻撃から守るエンドポイントセキュリティでは、アンチウイルスやアンチマルウェアソフトウェアの導入や、オペレーティングシステムやアプリケーションの定期的なアップデートが効果的です。またモバイルデバイス管理（MDM）もセキュリティ対策として有効で、デバイスのリモートワイプ機能の導入や、企業のモバイルデバイス用ポリシーの策定などが、その手法として挙げられます。

定期的なデータのバックアップや災害復旧計画の策定は、事業継続計画（BCP）対策としても有効です。ほかにも、インシデント対応プロセスの策定、事前の対応計画やチームの編成といった障害対応計画や、供給業者や協力企業とのセキュリティ基準の確認、サードパーティのリスク評価といったサプライチェーンセキュリティも、考慮すべきでしょう。

ユーザー自身が不正アクセスや攻撃のリスクを理解するために、セキュリティトレーニングを実施することも対策の1つです。フィッシング詐欺などのほか、人間の心理的な隙や行動の癖を用いて個人が持つ秘密情報を入手するソーシャルエンジニアリングのリスクについての教育も重要です。

これらの対策は、組織や環境のニーズに応じてカスタマイズしたり、組み合わせたりする必要があります。一般的には、1つの対策だけでセキュアな環境を実現することは困難であり、多層的なセキュリティアプローチを採用することで、複数の防御層を持つことが推奨されます。

セキュアは、ITシステムを利用するすべてのユーザーにとって重要な概念です。ユーザー自身がセキュアを意識し、適切な対策を講じることで、より安全なIT環境を実現することができます。個人的な情報やデータの取り扱い、デジタルサービスの利用方法などにおいても、セキュリティ意識を持つことで多くのリスクを回避できます。

具体的にはどのようなポイントに気を付ければよいでしょうか。

まずは強固なパスワードの使用。単純なパスワードや同じパスワードを複数のサービスで使用するのは避け、複雑なパスワードを利用することが望ましいです。可能なら二要素認証を利用し、アカウントの安全性を向上させるとよいでしょう。

OSやアプリケーションのセキュリティアップデートは、新しい脅威に対処するために非常に重要です。定期的に更新を確認し、適用することが推奨されます。

不審なメールやリンクの開封を避けることも大切です。フィッシング攻撃は、ユーザーの個人情報や資格情報を盗み取るための一般的な手段です。不明な送信元のメールや、怪しいリンクを開くのは避けるべきです。また、一見怪しくないメールやリンクにも注意が必要です。アンチウイルスやアンチマルウェアソフトウェアといったセキュリティソフトウェアを利用することで、こうした攻撃に対するコンピュータやデバイスのセキュリティを強化することが可能です。

通信環境についても注意したいところです。カフェなどで提供されている公共のWi-Fiネットワークは、セキュリティが弱い場合が多いです。これらのネットワークを利用する際には、VPNを使用するなどの対策を取るとよいでしょう。

このほか、必要以上に個人情報をオンライン上で共有しないように心掛け、SNSなどでの情報の公開範囲を適切に設定すること、重要なデータの定期的なバックアップなども有効です。

また、サイバーセキュリティに関する基本的な知識や最新の脅威について学ぶこと、セキュリティに関する最新ニュースや情報に常にアンテナをはって、自身の知識をアップデートしておくことも大切です。

IT分野におけるセキュア、セキュリティの確保は、デジタル化された現代社会において、非常に重要です。

個人情報は、個人の生活や経済活動に大きな影響を与え、不正アクセスや漏えいにより大きな被害をもたらす可能性があります。セキュリティ技術は、ユーザーの個人情報やデータを保護する手段として不可欠です。これにより、プライバシー侵害や個人情報の悪用から市民を守ることが可能となります。

インターネットバンキング、電子商取引、クラウドサービスなどのデジタルサービスは、セキュリティが確保されていることでユーザーからの信頼を得られます。信頼があるからこそ、これらのサービスは普及し、日常的に利用されています。

セキュリティが確保されている環境では、ほかの新しい技術やサービスの導入も促進されます。例えば、IoTデバイスの普及は、適切なセキュリティ対策が前提となります。セキュアなITシステムの構築が、企業の業務効率化や新しいビジネスの創出の基盤となるのです。

一方、セキュリティインシデントやデータ漏えいは、企業のブランドや評価に大きな打撃を与える可能性があります。その結果、株価の下落や顧客の喪失、法的費用などの経済的損失を招くことがあります。

セキュリティが確保されていないシステムは、サイバー攻撃のリスクが高まり、インフラや公共サービス、金融システムなどの重要な部門に大きな混乱を引き起こす可能性があります。適切なセキュリティ対策は、社会の安定を保つためにも、社会安全保障上も不可欠です。

サイバーセキュリティが重要になるのにしたがって、多くの国が新しい法律や規制を導入しています。これにより、企業や組織はデータ保護やセキュリティ確保について、厳格な基準を満たす必要が出てきています。

IT分野におけるセキュリティの確保は、個人から組織、国家、そして国際的なレベルまで、さまざまなステークホルダーに影響を及ぼしています。適切なセキュリティ対策は、デジタル化された社会の持続的な発展と安定を支える基盤となっています。