情報セキュリティとは？リスクや中小企業がやるべき対策のまとめ

情報セキュリティとは？

まずは、情報セキュリティの基本情報や構成する要素などについて解説します。

情報セキュリティとは企業が保有している情報を守ること

情報セキュリティとは、機密情報や企業が保有している個人情報などの重要な情報を守ることを指しています。

情報セキュリティ対策をしていないと、例えば悪意のある第三者の行為によって、企業が保有している情報が漏洩したり、改ざんされたりするリスクがあります。情報漏洩によって、自社の情報だけでなく顧客や取引先の個人情報・機密情報まで外部に流出した場合は、企業の信用が大きく損なわれる可能性があり、最終的には会社の経営に影響を与えることもあるでしょう。

◎「情報漏洩対策」の詳しい解説はこちら

情報セキュリティを構成する7つの要素

• 情報セキュリティは、7つの要素で構成されています。
  
  各要素の解説を確認いただき、自社に欠けている観点がないかをチェックしてみてください。

• 

機密性

機密性とは、権限を持った人だけが特定の情報にアクセスできる状態を指します。
機密性が保たれておらず、企業の機密情報が誰でもアクセスできる状態になっていると、その情報を扱う必要のない社員が閲覧したり、誤って編集したりする恐れがあります。

このようなリスクを防ぐためには、関係者以外のアクセスを制限する必要があります。一部の社員にのみ情報へのアクセス権を付与したり、パスワードを設定したりすることで、機密性を担保することが可能です。

完全性

完全性とは、企業が保有している情報が破損したり、改ざんされたりしない状態が維持されていることです。

完全性を担保するためには、アクセス履歴や変更履歴を保存し、不正アクセスやデータの改ざんの形跡を追えるようにしておく必要があります。

また、バックアップ対応のマニュアルを作成し、定期的にデータのバックアップを取得することで、データの改ざんや破損が発生した場合でも復元可能な状態にしておくことも大切です。

可用性

可用性は、必要なときにいつでも情報にアクセスでき、利用できる状態を指します。

情報の機密性・完全性が保たれていても、システムの停止などで必要な情報にアクセスできない状態になると、可用性が損なわれているといえます。

可用性を担保するには、情報のクラウド上への保存、予備のシステムや設備を準備する冗長化、災害対策としての遠隔地へのバックアップデータ保管などを実施することが大切です。

真正性

真正性は、企業の情報にアクセスする者が第三者ではなく、アクセス権限を持つ者自身であると根拠にもとづいて証明できることを指しています。

情報にアクセスする者が本人であると証明できない状態では、第三者が本人になりすまして不正に情報取得したり、改ざんを行ったりしてしまう可能性があります。

真正性を確保する方法としては、デジタル署名や2段階認証の他、生体認証を含む多要素認証などが一般的です。

信頼性

信頼性は、企業のデータやシステムに不具合がなく、正しい結果が提供される状態のことです。

例えば、誤作動の多いシステムは信頼性が低く、情報の正確性を判断できません。

システムのテストを徹底する、誤操作を防ぐシステム設計にするなどの対策により、信頼性を担保できます。

責任追跡性

責任追跡性は、情報に対して誰がいつどのような操作を行ったのかを追跡できることを指しています。

社内システムを誰がどのように操作したのかを確認できる操作ログや、企業が保有しているデータやシステムへのアクセス履歴を確認できるアクセスログなどを取得することで、責任追跡性を確保できます。

否認防止

否認防止は、企業が保有している情報を第三者に改ざんされた際に、改ざんを行った人物に否認させないための措置です。

責任追跡性を確保するための対策であるログの取得は、否認防止の措置にも該当します。

また、デジタル署名も否認防止の一つです。デジタル署名は、電子的に作成されたデータに対して、署名者の本人確認と署名内容の改ざん防止を保証する技術です。これにより、データの信頼性と真正性が確保されます。

情報セキュリティリスクの事例

情報セキュリティ対策を行わなかった場合、具体的にどのようなリスクがあるのでしょうか。いくつか事例を紹介します。

まとめ

◎製品名、会社名等は、各社の商標または登録商標です。