セキュリティは「大切なものを、脅威から守る」こと。細かい技術に入る前に、「何を・何から守るのか」の地図を持ちましょう。
概要 — まず全体をつかむ
アニメーション『何を守る × 何から守る』を開く
詳細 — 1段階ずつ追う
何を守る？
- 情報 — 見られてはいけないデータ（個人情報・秘密）
- 資産 — お金や、お金につながるもの
- 本人 — なりすまされないこと（自分の名で悪用されない）
- 使えること — サービスが止まらないこと
この部分をもっと深く（中級）
まず「何を守るのか」を資産として並べます。
- データ — 個人情報・機密・信用（漏洩や改ざんが痛い）
- お金 — 決済・残高・不正送金の的
- 本人／権限 — アカウントそのもの（乗っ取られると全部が危ない）
- 可用性 — サービスが動き続けること自体も守る対象
まず資産の棚卸し・分類（何があるかを洗い出し、重要度でランク付け）を行うと、リスク式の「資産価値」が具体化し、どこを厚く守るかが決まります。
※「守るべき性質（CIA＝機密性・完全性・可用性）」と各設計原則は、姉妹ユニット セキュリティの考え方 で扱います。
何から守る？
- 盗聴 — 通信や保存データを盗み見られる
- なりすまし — 他人のふりをされる
- 改ざん — データを勝手に書き換えられる
- 破壊・紛失 — データやシステムを壊される・失う
- 妨害（DoS） — サービスを止められる
- 人をだます — 技術でなく心のスキを突かれる（フィッシング）
この部分をもっと深く（中級）
すべてを完璧には守れません。だからリスクで優先度を決めます。
- リスク ≒ 資産価値 × 脅威 × 脆弱性
- 対応は4択：低減（対策する）／回避（やめる）／移転（保険・委託）／受容（許容する）
- 脅威モデリング（代表手法にSTRIDE） — どこを、誰が、どう狙うかを設計時に洗い出す
掛け算のどこを下げるか（脆弱性を潰す・価値の高い資産を厚く守る）で考えます。
どう学ぶ？（このカテゴリの地図）
この「セキュリティ」大カテゴリは、守りの仕組みと原理を扱います。
- 考え方 — 何をどう守るかの基本原則（CIA）
- 暗号の仕組み — 盗み見・改ざん・なりすましを防ぐ土台
- 攻撃と防御 — 代表的な手口と、その守り方・歴史
- 個人情報とプライバシー — 自分のデータの扱い
（ログイン・権限など実務の認証・認可は、Webサービス側で扱います）
この部分をもっと深く（中級）
守りの指針を俯瞰します（各原則の詳細は セキュリティの考え方）。
- 多層防御 — 予防・検知・対応を層で重ね、1枚破られても次で止める
- AAA — 認証（誰か）・認可（何ができるか）・アカウンティング（利用の記録・追跡）
- 記録して追える状態 — 侵害に気づき、後から追跡できるログを残す
⚠️ 最大の落とし穴
- 油断 — 「自分は狙われない」。攻撃の多くは自動化・無差別
- 一点頼み — 1つの対策で安心する（本当は多層で守る）
- 人の弱さ — どんな技術も、だまされてパスワードを渡せば無力
この部分をもっと深く（中級）
- 完璧主義 — 守り切ろうとして、可用性や使い勝手を殺す
- 脅威の見落とし — 内部犯・サプライチェーン・人の弱さ
- 監査の欠如 — 記録が無いと、侵害に気づけず追えない
関連する知識
理解度チェック
そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。
問1. サービスを止めて使えなくする妨害攻撃を、英字3文字の略語で答えてください。
問2. 「何をどう守るか」の基本原則で、機密性・完全性・可用性の頭文字をとった呼び方を英字3文字で答えてください。
問3. 「自分は狙われないから対策は要らない」が危険な理由に近いのは？
問4. セキュリティを一言でいうと？
問5. 「通信や保存データを盗み見られる」脅威の呼び名はどれ？
問6. 「他人のふりをされて、自分の名で悪用される」脅威はどれ？
問7. この大カテゴリで、盗み見・改ざん・なりすましを防ぐ「土台」として学ぶのはどれ？
問8. 本文が挙げる「最大の落とし穴」に当てはまらないのはどれ？