セキュリティの全体像 — 何を、何から守る

全体設計は「何を守るのか」の棚卸しから始まります。守る対象が見えないうちは、どこを厚くすべきかも決められません。

1. 資産を洗い出す — データ・お金・アカウント（本人／権限）・止められない業務を、漏れなく並べる
2. 重要度で分類する — すべてを同じ強さでは守れない。価値の高いものにランクを付ける
3. 守るべき性質を評価する — 各資産に対し、機密性・完全性・可用性（CIA）のどれがどれだけ大事かを見る
4. 境界を引く — その資産がどこに置かれ、誰の手を通り、どこまで晒されているか（保管・処理・伝送）を把握する

この棚卸しが、後段のリスク式の「資産価値」を具体化します。値の高い資産ほど厚く守る、という優先順位はここで初めて根拠を持ちます。

登場人物メモ（※の説明）:

• ※1 CIA — 機密性（見せない）・完全性（書き換えさせない）・可用性（使える状態を保つ）の3性質。守るべき「性質」の軸で、各性質の設計上の意味づけは セキュリティの考え方 で扱う

⚠️ イレギュラー（棚卸しでつまずく所）:

• 見えない資産は守れない — 台帳に載らない野良サーバ・退職者アカウント・外部SaaSに預けたデータが、最も無防備になりやすい
• 重要度を付けないと均質化する — 全部を同じ強さで守ると、大事な所が薄く・些末な所が過剰になり、コストが噛み合わない

守る対象が並んだら、次はどこから先に守るかです。全部を完璧にはできないので、リスクという物差しで序列を付けます。

• 脅威を洗い出す — 誰が・どこを・どう狙うかを設計時に列挙する。代表手法が脅威モデリング（STRIDE※1 など）。6分類の中身と使い方は セキュリティの考え方 上級で深掘りする
• リスクを見積もる — リスク ≒ 資産価値 × 脅威 × 脆弱性。掛け算なので、どれか一つでも小さくできれば全体が下がる
• 対応方針を選ぶ — 見積もったリスクごとに、次の4つから選ぶ

| 方針 | 中身 | 向く場面 | |---|---|---| | 低減 | 対策を打って脆弱性を小さくする | 手が届き効果が見合うリスク | | 回避 | リスクを生む活動そのものをやめる | 価値に対し危険が大きすぎる | | 移転 | 保険・委託で負担を外へ移す | 起きたときの損失を分散したい | | 受容 | 許容して見送る | 対策コストが被害額に見合わない |

4方針は排他ではありません。低減で下げきれない残りを移転し、なお残る分を受容する、というように組み合わせて残余リスクを管理するのが実務です。

登場人物メモ（※の説明）:

• ※1 STRIDE — なりすまし・改ざん・否認・情報漏えい・サービス妨害・権限昇格の6分類で脅威を漏れなく列挙する枠組み。overview では「洗い出しの入口」として名前だけ押さえ、内訳は姉妹ユニットへ

⚠️ イレギュラー（優先順位付けの落とし穴）:

• 脅威の見落とし — 内部犯・サプライチェーン・人の弱さは、外部の攻撃だけ見ていると抜ける
• リスクは動く — 脅威も脆弱性も時間で変わる。一度見積もって終わりにせず、定期的に測り直す

守る対象と優先順位が決まったら、どういう構えで守るかという設計思想を選びます。上級で対比すべきは、伝統的な多層防御と、前提を組み替えたゼロトラストです。

• 多層防御（Defense in Depth） — 予防・検知・対応を層で重ね、1枚破られても次の層で止める。単一の壁ではなく複数の関門で守る
• ゼロトラスト — 「内側だから信頼」をやめる。従来の境界防御は一度内側に入られると無防備だった。ネットワーク上の位置ではなく、アイデンティティと文脈で毎回検証する

この2つは対立ではなく重ね方です。多層防御は「関門を何枚重ねるか」、ゼロトラストは「どの関門でも位置に頼らず都度確かめる」。両者に共通して効く土台が、次の2つです。

• アタックサーフェス（攻撃対象領域）の縮小 — 使わない機能・ポート・アカウントを止める。存在しない入口は攻撃されない。既定は無効から始め、必要な分だけ開ける
• 最小権限の徹底 — 各人・各プログラムに仕事に必要な最小限だけを渡す。奪われても被害が権限の範囲に留まり、横展開の燃料を断つ

攻撃面の縮小が「入口をそもそも減らす」なら、最小権限は「通った後に触れる範囲を狭める」。設計思想の詳しい束ね方は セキュリティの考え方 で、破られる側の手口は 攻撃と防御 で扱います。

⚠️ イレギュラー（アーキテクチャ選択の罠）:

• 「多層にすればゼロトラスト」ではない — 壁を厚く重ねても、内側を無条件に信頼していれば境界防御のまま。位置で信頼するのをやめて初めてゼロトラスト
• 一点最強の誘惑 — 最強の一枚は迂回される。攻撃者は正面ではなく弱い脇を突く

CIA（機密性・完全性・可用性）は、同時に最大化できません。全体設計とは、資産ごとにどの性質を優先するかを裁く作業でもあります。

• 機密性 ↔ 可用性 — 暗号化や厳格なアクセス制御を強めるほど、正当な利用者の手間や障害時の復旧が重くなりやすい
• 完全性 ↔ 可用性 — 障害時に検証を飛ばして即復旧すれば可用性は上がるが、破損・改ざんデータを取り込む危険が増す（完全性が下がる）
• 機密性 ↔ 完全性 — ログを大量に残すと追跡（完全性・否認防止）に効く一方、そのログ自体が機密情報を含み漏えい面になり得る

だから「全部を最高強度で」は設計として成立しません。資産の性質評価（{#targets} の棚卸し）に立ち返り、大事な性質を厚く・競合する性質はどこまで許すかを明示的に決める——これが上級の設計判断です。医療の可用性、金融の完全性、個人情報の機密性、と重心は対象で変わります。

最後に、ここまでを回し続ける仕組みにします。セキュリティは一度作って終わりではなく、100%の安全はないという前提の上で、次の4段を回すサイクルです。

1. 予防 — 攻撃を未然に防ぐ（多層防御・最小権限・攻撃面の縮小）
2. 検知 — 破られたことに早く気づく（監視・監査ログ・異常検知）
3. 対応 — 気づいた侵害を封じ込め、被害の拡大を止める
4. 回復 — 正常な状態へ素早く戻す（バックアップ・冗長化・手順の演習）

完璧な予防より、「破られる前提」で検知と回復を厚くするのが現実解です。攻撃側は一つの穴を見つければよく、守る側はすべてを塞ぎ続けねばならない——この非対称ゆえ、突破ゼロは保証できません。だからこそ、気づく力と戻す力に投資します。

認証・認可という実務の入口は 認証 と 認可 で、代表的な攻撃と防御は 攻撃と防御 で扱います。

• 完璧主義 — 守り切ろうとして可用性や使い勝手を殺す。使われない対策は破られる（無効化される）ぶん、かえって危ない
• 人が最弱点 — どれだけ技術を固めても、だまされてパスワードを渡せば無力。設計は技術・手続き・教育の三点で支える
• 検知・監査の欠如 — 記録が無いと侵害に気づけず、後から追えない。予防偏重で検知を軽んじると、破られたことすら分からない
• コストとの不釣り合い — 被害額に見合わない対策は受容・移転で裁く。守りは有限の予算配分であって、聖域ではない
• 「壁があるから安全」という過信 — 境界は既知の危険を止める仕組み。未知の穴や人の油断は残る前提で、検知と回復まで含めて備える

まとめ——上級の全体像とは、資産を棚卸し（何を）／リスクで優先度を決め（どこから）／アーキテクチャを選び（どう守る）／性質の競合を裁き（何を優先）／予防・検知・対応・回復で回す（破られても戻す）という一続きの設計プロセスです。個別の技術は、この地図のどこに効く一手かとして読めるようになります。