初級ではCIAと基本原則を見ました。中級では、守る性質と設計原則を正確に押さえます。
中級の解説は準備中のため、中級の内容を表示しています。
概要 — まず全体をつかむ
詳細 — 1段階ずつ追う
守る性質＝CIA
セキュリティが守る「性質」は3つが基本です。
- 機密性（C） — 認められた人だけが見られる（暗号・アクセス制御）
- 完全性（I） — 勝手に書き換えられない（ハッシュ・署名）
- 可用性（A） — 使いたいときに使える（冗長化・DoS対策）
拡張として、真正性（本物であること）、否認防止（やっていないと言わせない）、責任追跡性（誰が何をしたか追える。全体像のAAA＝アカウンティングと接続）も重要です。
※「何を・何から守る」「リスクで優先順位をつける」は、姉妹ユニット セキュリティの全体像 を参照。
設計原則
- 最小権限 — 仕事に必要な最小の権限だけを与える（奪われても被害を小さく）
- セキュアバイデフォルト — 既定は拒否（deny by default）、必要な分だけ許可
- 多層防御（defense in depth） — 予防・検知・対応を層で重ねる
- フェイルセーフ／フェイルセキュア — 壊れたときの倒し方が逆。フェイルセーフ＝安全優先（例：非常時はドアを開ける）／フェイルセキュア＝保全優先（例：施錠して遮断する）
- 職務分掌（SoD） — 1人に権限を集中させない
- 信頼境界 — 信用する領域としない領域を分け、越える所で検証
- ゼロトラスト — 常に検証、暗黙の信頼を置かない
人・組織・技術
- セキュリティ文化 — 教育・訓練（フィッシング演習など）
- プロセス — インシデント対応、パッチ管理、鍵管理
- 技術は最後の一枚 — 暗号・認証認可・監視。人と運用が土台で、技術がそれを支える
⚠️ 陥りやすい罠
- 境界防御依存 — 外だけ固め、中に入られると無防備
- 形骸化 — ルールはあるが守られない（使い勝手を無視）
- 可用性の犠牲 — 守りすぎて業務が止まる
関連する知識
理解度チェック
そのまま解けます（成績は保存されません）。無料アカウントを作ると、学習の記録と進捗の山登りが始まります。
問1. CIAの「完全性（Integrity）」が守るのはどれ？
問2. リスク対応の4分類に当てはまらないのは？
問3. 「内側のネットワークだから無条件に信用する」を否定する考え方は？
問4. 情報セキュリティの基本「CIA」が指すのは？
問5. 「セキュアバイデフォルト」に最も近い方針はどれ？
問6. 「多層防御（defense in depth）」の説明として正しいのはどれ？
問7. CIAの「可用性（A）」を主に脅かすのはどれ？
問8. 各人・各プログラムに、仕事に必要な最小限だけの権限を与える設計原則を漢字4文字で答えてください。
問9. 「誰が何をしたか」を後から追える性質を、AAAのアカウンティングと接続する日本語で答えてください。