情報セキュリティの考え方

指導者向けの公開補足

学習本文に加えて、指導の視点・背景・授業での確かめ方を示します。どなたでも読めます。

指導の焦点

機密性・完全性・可用性を、単語の対応だけでなく「誰の、何を、どの状況で守るか」に結びつける。一つの対策で三つを同時に保証できるとは限らない。

リスクは脅威だけでなく、弱点や起きたときの影響も含めて考える。安全性を高めるほど必ず利便性が下がるという単純な関係でもない。

校内の提出システムについて、閲覧権限の誤り・記録の改変・停止を分類する。重要な情報やサービスを先に特定し、必要な対策を選ばせる。

制度・規格等は本文末尾の参考資料も確認してください。

情報セキュリティは、必要な情報やシステムを適切に使える状態に保つための取組だ。「他人に見られない」だけでなく、「勝手に変わらない」「必要なとき使える」も重要になる。これらを機密性・完全性・可用性という三つの観点で整理できる。

完全性は「全ての内容が真実であること」を自動的に保証する言葉ではない。誤った値を最初に入力すれば、無断変更がなくても誤りは残る。入力確認や正当な変更手続も必要だ。可用性も、常に誰でも見られるという意味ではなく、認められた利用者が必要時に使えることを考える。

情報を危険にさらす要因を脅威、攻撃や事故につながる弱点を脆弱性という。脅威には、不正アクセスや悪意のあるソフトウェアだけでなく、誤送信、故障、停電、自然災害もある。

予約表なら、誰でも編集できる共有設定が弱点になり、誤操作やいたずらによって予約が消えるかもしれない。「悪い人がいないから安全」ではない。信頼する仲間でも、忙しいときには別の行を消すことがある。

リスクを検討するときは、何が、どのように損なわれ、誰にどれだけ影響するかを整理する。発生の可能性と影響の大きさは、優先順位を考える手掛かりになる。ただし、根拠のない数字を掛け合わせても、精密な予測になるわけではない。

たとえば予約表の色が変わる被害と、参加者の住所が公開される被害では、対処の優先度が違う。提出直前だけに使う資料と、日常の受付に使う資料でも、停止の影響は異なる。守りたいもの、利用者、必要な時間帯を先に整理しよう。

全員を編集不可にすれば誤変更は減るかもしれないが、予約更新が止まってしまう。受付担当だけ編集可能にし、利用者は閲覧のみとするなど、役割に合った権限を設定する。必要以上の権限を与えない考え方を最小権限という。

さらに変更履歴、別媒体の連絡先、復元可能なバックアップを組み合わせる。一つの対策が失敗しても被害を小さくするためだ。対策は導入して終わりではなく、担当が変わったときやサービスを変更したときに見直す。

事故時には責任者へ早く知らせる。「怒られるかもしれない」と報告を遅らせると被害が広がりやすい。報告先と初動の手順を普段から確認し、授業では実在する他人のシステムを試すような検証は行わない。

問1の解答例を見る

必要なときに予約表を利用できないため、可用性が損なわれている。内容が正しく保存されていることは、利用できることとは別の観点である。

問2の解答例を見る

必要以上に編集を許す共有設定は脆弱性になり得る。誤操作による行の削除は、その弱点を通じて記録を損なう脅威となる。悪意のない操作もリスクになる。

問3の解答例を見る

部員は入力フォームから予約を申し込み、予約表の編集は受付担当だけに許可する。確認用の一覧は必要な範囲で閲覧専用にし、復元できる履歴も残す。

情報セキュリティでは機密性・完全性・可用性を併せて守る。脅威と弱点を整理し、影響に応じて対策する。使えることと守れることの両立を、継続的に確かめよう。