◇バックドア

・クラッカーによって侵入されてしまったサーバに設けられた、不正侵入用の「裏口」。

◇ソーシャルエンジニアリング

・巧みな話術、盗み見、盗み聞きによってセキュリティ上重要な情報を収集すること。

*社員からパスワードを聞かれたので、答えたらクラッカーのなりすまし行為だった。etc

パケット交換方式とは　「データを小分けにして送受信する方法」。

メリットは３つ。

①パケット多重

・一本の回線に複数のデータを流すことができる。

②障害に強い

・万が一ネットワーク障害が起こっても、ルータが別の経路を探してパケットを流してくれる。

③異機種感接続性がある

・プロトコル形式や回線速度が異なっていても、パケットであれば送受信することができる。

間違い・意見等ありましたらぜひコメントを(・ω・)/

7層：　アプリケーション層

・ウェブ・メール等、ユーザがデータのやりとりをする部分

6層：　プレゼンテーション層

・データ形式を変換する部分

・データの暗号化や圧縮を行う

5層：　セション層

・アプリケーションの開始と完了時にデータのやり取りをする部分

4層：　トランスポート層

・ネットワーク層とアプリケーション層の窓口業務をする部分

・データの誤りを修正する

・TCP　UDPがこれにあたる

3層：　ネットワーク層

・ネットワーク同士の通信を行う部分

・一意なアドレスの割り当て、データの伝送経路選択(ルーティング)、パケットサイズの変換を行う部分

2層：　データリンク層

・ネットワーク上で直結している機器同士でやりとりをする部分

・ノード同士でデータをやりとりする部分

1層：　物理層

・ネットワーク媒体や電気信号のやりとりをする部分

・光ファイバ、無線などがこれにあたる

間違い・意見等ありましたらぜひコメントを(・ω・)/

情報セキュリティポリシの策定で作成される文書は３つ。

１．情報セキュリティ基本方針　(見直し期間５年)

概要：　組織全体の方針を書いたもの

２．情報セキュリティ対策基準　(見直し期間３年)

概要：　どのような対策を実施するのか、各部署の事情に沿って書いたもの

３．情報セキュリティ対策　実施手順・規定類　(見直し期間１年)

概要：　業務を行う上で守るべきルール、作業手順を書いたもの(マニュアルとか)

※「情報セキュリティ基本方針」　「情報セキュリティ対策基準」の２つが情報セキュリティポリシに含まれる。

PDCAサイクルでISMSが成り立つ。

P：　Plan　(計画)

D：　Do　(実行)

C：　Check　(評価)

A：　Action　(改善)

-------------------------------------------

①P：　情報セキュリティポリシを定め、具体的なセキュリティ対策を計画する

　[ミッション]

　・情報資産管理台帳の作成

　・ISMS構築計画の作成　(脆弱性をなくす計画)

②D:　セキュリティ対策の実施

　[ミッション]

　・ISMS構築チームと各PJ担当者が協力し、末端社員までのセキュリティ対策遵守を指示

　・全社員へのセキュリティ教育

　・脆弱性をなくすための対策を実施

　*クリアデスク・クリアスクリーンの遵守など

③C:　セキュリティ対策実施に対する評価

　[ミッション]

　・ISMS本審査

　・審査員からのレビューを受ける

④A：　情報セキュリティポリシの再度見直し、改善

　[ミッション]

　・残留リスクに対する対処策

　・審査員からの指摘事項に対する改善策を計画

　・次回更新審査までのセキュリティ対策、スケジュールの計画

グルグル回してセキュリティレベルを上げ続けること、情報セキュリティマネジメントシステム(ISMS)。

間違い・意見等ありましたらぜひコメントを(・ω・)/

【リスクファイナンス】

・リスクが現実化した時に向けた資金対策のこと

　　○リスク移転：　外部に保険をかけること。

　　　　　　　　　　　　ex) ネットワーク保険　災害保険等

　　○リスク保有：　リスクを抱えたまま業務を続けること。

　　　　　　　　　　　　*受容リスクであるということ。

【リスクコントロール】

・リスクが現実化しないようにする対策のこと。

*情報資産をなくす　脆弱性をなくすetc

　　○リスク回避：　リスクそのものをなくしてしまうこと。

　　　　　　　　　　　　*情報資産をなくすetc

　　○リスク最適化：　リスクを小さくしたり、分割して受容範囲内に収めること。

　　　　　　　　　　　　　*脆弱性をなくすetc

　　　　　　　　　　　　　ex)ブラウザのセキュリティパッチを当てて脆弱性をなくす

　　　　　　　　　　　　　 ファイルのバックアップを定期的にとる

　　　　　　　　　　　　　　　ジムに通って病気に犯されない強い身体を作る

【リスク分析の手法１－リスクの強度による手法】

・定性的分析法
　　リスクの大きさを金額以外（大・中・小などのレベルや

　　相対的な値など）で表す分析手法。

・定量的分析法
　　リスクの大きさを金額で表す分析手法。

【リスク分析の手法２－具体的な作業手法】

１．ベースラインアプローチ

　・あらかじめ実現すべきセキュリティレベルを設定する。

　・実現するために必要な対策を選択する。

　・対象となるシステムに一律に適用する。

２．非形式的アプローチ

　組織・担当者の経験や判断によってリスクを評価する。

３．詳細リスク分析

　守るべき情報資産の『価値』 『脅威の大きさ』 『脆弱性』の3つの要素を勘案してリスク値を算出する。

cf) リスク値＝情報資産の価値×脅威×脆弱性

４．組み合わせアプローチ

　ベースラインアプローチと詳細リスク分析の組み合わせ。

間違い・意見等ありましたらぜひコメントを(・ω・)/

・明らかに損にしかならないもの。

⇒眠いので電車の線路で寝るetc

【投機リスク】

・リスクが発生すると損失になるが、発生しなければいいこともあるもの。

⇒個人情報にアクセス可能な人間を最少数にするため、虹彩認証を設けた。

　費用はかかったが、個人情報に対する不正アクセスの抑止効果に繋がった。etc