情報セキュリティインシデント

情報セキュリティを脅かす事象や事故の総称。不正アクセス、情報漏えい、マルウェア感染、サービス停止などが該当する。発生時は迅速な対応と報告が求められる。

事業運営や情報セキュリティを脅かす可能性が高い、望まない情報セキュリティ事象。マルウェア感染、情報漏えい、不正アクセスなどが該当し、発見・報告・対応・再発防止の手順を定めておく。

情報セキュリティを脅かす事象のうち、事業の運営や情報資産に影響を与える可能性が高いもの。発見・報告・対応・復旧・再発防止の手順をあらかじめ定め、CSIRTなどの体制で対応する。

情報の機密性、完全性、可用性を脅かす事象で、組織の情報セキュリティ方針に違反するもの。不正アクセス、情報漏洩、マルウェア感染などが該当する。インシデント管理と情報セキュリティ管理の両プロセスで対応する。

情報セキュリティ事象のうち、事業運営を脅かし情報セキュリティを脅かす可能性が高いと評価されたもの。不正アクセス、情報漏洩、マルウェア感染、サービス妨害などが該当し、組織は検知後に対応手順に従い迅速に対処する必要がある。

情報セキュリティ事象のうち、事業運営を脅かし情報セキュリティを脅かす可能性が高いと評価されたもの。不正アクセス、情報漏洩、マルウェア感染、サービス妨害などが該当し、組織は検知後に対応手順に従い迅速に対処する必要がある。

望まない又は予期しない、単独若しくは一連の情報セキュリティ事象で、事業運営を危うくし、情報セキュリティを脅かす可能性が高いもの。不正アクセス、マルウェア感染、情報漏えい、サービスの停止などが該当し、検知から封じ込め、復旧、再発防止までの対応の手順を事前に定めておく。

組織にとって価値があり保護すべき情報と、それを扱う仕組みの総称。顧客データや設計書といった情報そのもののほか、ハードウェア、ソフトウェア、記録媒体、人や役務も含む。台帳で洗い出し、重要度に応じて分類することが管理の出発点となる。

内部不正は「機会」「動機」「正当化」の3要素がそろったときに発生するという理論。アクセス権の限定と監視で機会を、処遇改善で動機を、倫理教育と規程の明示で正当化を、それぞれ断つことが内部不正防止の考え方となる。

暗号鍵の生成、配布、保管、更新、廃棄までの一生を安全に統制すること。暗号アルゴリズムが強固でも鍵の扱いが甘ければ安全性は保てないため、HSMなどでの保護、権限分離、定期的な鍵の更新（ローテーション）が要となる。

情報資産に対するリスクを体系的に特定・分析・評価するプロセス。リスク特定（脅威と脆弱性の洗い出し）、リスク分析（発生可能性と影響度の評価）、リスク評価（リスク受容基準との比較）の3段階で構成される。情報セキュリティマネジメントの基盤。

組織の情報セキュリティを体系的に管理するための仕組み。計画（Plan）、実行（Do）、点検（Check）、改善（Act）のPDCAサイクルで継続的に改善する。JIS Q 27001（ISO/IEC 27001）が要求事項を、JIS Q 27002が管理策の実施の手引きを規定する。

特定されたリスクに対する対応策。リスク回避（リスク要因の排除）、リスク低減（セキュリティ対策の実施）、リスク移転（保険やアウトソーシング）、リスク保有（許容範囲として受容）の4つの選択肢がある。