情報セキュリティとは？
情報セキュリティの3大要素やリスク、企業に必要な対策を総まとめ

情報セキュリティとは、企業や組織の情報資産を守ることを指します。情報資産には重要な情報そのものに加えて、それらが記載されているファイル、メールなどのデータ、さらにそのデータが保存されているPC、サーバ、USBなどの記録媒体、紙の資料も含まれます。

総務省の「国民のためのサイバーセキュリティサイト」では、企業や組織における情報セキュリティについて、以下のように定めています。

私たちがインターネットやコンピュータを安心して使い続けられるように、大切な情報が外部に漏れたり、ウイルスに感染してデータが壊されたり、普段使っているサービスが急に使えなくなったりしないように、必要な対策をすること。それがサイバーセキュリティ対策です。

また、「情報セキュリティの3大要素」として、機密性・完全性・可用性が定義されています。この3つの要素を保ち維持することが、情報セキュリティにおける重要なポイントとなります。

• 機密性（Confidentiality）

許可された者のみが情報にアクセスできること

• 完全性（Integrity）

保有する情報が正確かつ完全である状態を保持すること

• 可用性（Availability）

許可された者が必要に応じていつでも情報にアクセスできる状態

では、情報資産を脅かすリスクにはどのようなものがあるのでしょうか。企業や組織における具体的な情報セキュリティリスクについて、主な5点を以下にまとめました。

内外に潜むさまざまなリスクとは？

近年、情報セキュリティ事故は増加の一途をたどっています。防御する側がいくら目を光らせていても、攻撃者は巧妙に脆弱性を突いてきます。ここからは、情報セキュリティ事故の具体例と、そこでどのような対応が行われたのかを紹介します。

自社セキュリティを強化するには？

ここまで見てきたようなさまざまなリスクに備えるためには、普段からどのようなことに気をつけておけばよいのでしょうか。ここからは、自社セキュリティを強化する方法について紹介します。

このほかにも、以下のような対策が挙げられます。

• メールに記載されたURLや添付ファイルに注意する
• メディアの持ち出しや紛失に注意する
• ハードウェアの処分時にデータを残さない

フィッシングメールや標的型攻撃メールなどが巧妙化し、うっかりURLをクリックしたり、添付ファイルをダウンロードしたりすることでウイルスに感染する可能性があります。また、故意ではなくともPCやタブレット、USBなどの持ち出しは盗難や紛失などのリスクがあるため、運用ルールなどを定めておくことも有効です。見落としがちですが、廃棄されたハードウェアから情報漏洩が起きる事故も発生しています。処分時にデータを完全に消去する、もしくは専門業者に依頼することも検討しましょう。

最後に、情報セキュリティに関して「聞いたことはあるけれど、よくわからない」といったよくある疑問を5つほどQ＆A形式で紹介します。

Q1　情報セキュリティポリシーとは？

A　企業や組織で実施する情報セキュリティ対策の方針や行動指針のことです。どのような情報資産をどのような脅威からどのように守るのか、そのためにどのような体制・運用規定・基本方針・対策基準を定めるのかなどを、具体的に検討してまとめます。

Q2　情報セキュリティで気をつけることは？

A　本文でも述べたように、情報セキュリティにおいて留意すべきことは、3大要素である「機密性」、「完全性」、「可用性」をしっかりと維持することです。企業や組織はこの3つのバランスを考慮したうえで、情報セキュリティ対策を行うことが重要です。

Q3　情報セキュリティ監査とは？

A　企業や組織において、情報資産を守るためにセキュリティシステムが正しく機能しているか、サイバー攻撃にしっかり対応できるかなどを第三者視点で検証・評価することを指します。監査の方法には内部監査のほか、外部の監査人に頼む外部監査があります。

Q4　情報セキュリティ5か条とは？

A　情報セキュリティ確保のために、企業が行うべき5つの基本的な取り組みについてIPA（独立行政法人 情報処理推進機構）が策定・公表したものです。わかりやすくシンプルにまとめられており、これらに取り組むことで必要最低限のセキュリティ対策ができます。

1. 1：OSやソフトウェアは常に最新の状態にしよう！
2. 2：ウイルス対策ソフトを導入しよう！
3. 3：パスワードを強化しよう！
4. 4：共有設定を見直そう！
5. 5：脅威や攻撃の手口を知ろう！

Q5　情報セキュリティにおける問題とは？

A　大きく分けると、「サイバー攻撃による被害」、「従業員や関係者の過失（または不正）によって起きる情報漏洩」、「システム障害による事業機会の喪失」ということになります。3つ目のシステム障害には、単なる内部要因によるシステム障害だけでなく、地震、豪雨など自然災害による障害も含まれます。企業としては、こうしたリスクに備えることが大切です。

ここまで、情報セキュリティについて総まとめ的に紹介してきました。何となく理解していたものが、「そういうことだったのか」と納得いただけたのではないでしょうか。
企業にとって情報セキュリティを強化することは、企業経営において欠かせない取り組みです。情報セキュリティを怠ると、サイバー攻撃はもちろん、思いがけないトラブルに見舞われるリスクが高まり、甚大な被害が発生する恐れがあります。そのためにも、まずは情報セキュリティの知識を高め、自社の現状を把握・見直しをすることが重要です。

サクサでは、サイバー攻撃をはじめとする中堅・中小企業の課題を解決するツールを多数ご用意しています。お気軽にお問い合わせください。
また、最新セキュリティレポートや情報漏洩対策チェックリストなど、さまざまなお役立ち資料もご提供していますので、ぜひご活用ください。