情報セキュリティ管理士 技術的対策｜暗号・認証・アクセス制御

技術的対策は、「誰かを確かめる（認証）」「何をしてよいかを決める（認可・アクセス制御）」「中身を守る（暗号）」「後から確かめる（ログ）」 の4つの働きで整理できます（当サイトの整理）。それぞれが、機密性・完全性・可用性のどれを守るのかを結び付けると、選択肢を判断しやすくなります。

認証後の保護はセッション窃取への対処、AIが外部資料を読む場合の境界はプロンプトインジェクションとRAGで補えます。

情報セキュリティの要素（3要素と、真正性・責任追跡性・否認防止・信頼性を加えた7要素）は情報セキュリティの3要素と7要素で整理しています。

多要素認証は、種類の違う要素を2つ以上組み合わせる認証 です。パスワードと秘密の質問の組み合わせは、段階は2つでも どちらも知識 なので多要素認証には当たりません。「2段階認証」と「2要素認証」を同じものとする選択肢に注意してください。

生体認証の精度は、他人を本人と誤って受け入れる率（他人受入率）と、本人を誤って拒否する率（本人拒否率）で表されます。判定を厳しくすると他人受入率は下がりますが、本人拒否率は上がる、という トレードオフ の関係です。

フィッシングに強い認証として、公開鍵の仕組みを使うパスキー（FIDO2）が広がっています。詳しくはパスキーとFIDO2へ。

パスワードの推奨は、この10年ほどで大きく変わりました。古い常識（定期的に変える・記号を必ず混ぜる）が、いまは推奨されていない 点が試験のひっかけになりやすいところです。

総務省の「国民のためのサイバーセキュリティサイト」も、サービス側から流出した事実がないなら、パスワードを変更する必要はないと説明しています（2026年9月27日確認）。一方で、使い回しは避ける ことを強く勧めています。1つのサービスから漏れたパスワードで、他のサービスに次々とログインされる攻撃（パスワードリスト攻撃）があるからです。

パスワードを安全に保存する側（サーバ）では、パスワードそのものではなく、ソルトを加えてハッシュ化した値を保存します。

• ✓認証と認可の区別：認証は「誰であるか」を確かめること、認可は「何をしてよいか」を決めることです。
• ✓最小権限の原則：業務に必要な最小限の権限だけを与えます。管理者の権限は、日常の作業用のアカウントと分けます。
• ✓職務の分離：申請と承認のように、1人で不正を完結できないように役割を分けます。
• ✓RBAC（役割ベースのアクセス制御）：人ではなく「役割」に権限を付け、人に役割を割り当てます。異動のときは役割を付け替えるだけで済みます。
• ✓任意アクセス制御（DAC）と強制アクセス制御（MAC）：データの所有者が権限を決めるのが DAC、システムが定めた規則（機密度の区分など）で一律に決めるのが MAC です。

社内のネットワークの内側だから安全、と考えずに、すべてのアクセスをその都度確かめる考え方を ゼロトラスト と呼びます。詳しくはゼロトラストとはへ。

アクセスの記録（ログ）は、不正の発見と、事故の後の調査の両方に使います。時刻を正しくそろえる（時刻同期） こと、ログ自体を改ざんされないよう保全する ことも対策に含まれます。

実際の通信（TLS など）では、公開鍵の仕組みで鍵を安全に共有し、通信の本体は共通鍵暗号で速く暗号化する という組み合わせ（ハイブリッド）が使われます。

10人が互いに共通鍵で通信するには 10 ×（10 − 1）÷ 2 = 45 個の鍵が必要ですが、公開鍵暗号なら1人1組の合計10組で済みます。

国の情報システムで使う暗号は、CRYPTREC の「電子政府推奨暗号リスト」などにまとめられています。2026年9月27日時点の最新版は2026年3月30日の改定です（CRYPTREC、2026年9月27日確認）。基本の考え方は共通鍵暗号と公開鍵暗号の違いでも扱っています。

電子署名は、送信者の秘密鍵で署名し、受信者が送信者の公開鍵で検証する 仕組みです。署名の対象はデータのハッシュ値で、検証で一致すれば「その秘密鍵の持ち主が作ったこと」と「途中で改ざんされていないこと」を確かめられます。

ただし、その公開鍵が本当に送信者のものかは、公開鍵だけでは分かりません。そこで、信頼できる第三者の 認証局（CA） が「この公開鍵はこの人のもの」と電子証明書で保証する仕組みが PKI（公開鍵基盤） です。

法律の面では、電子署名法第3条が、本人による一定の電子署名が行われている電磁的記録は 真正に成立したものと推定 すると定めています（e-Gov、2026年9月27日確認）。法律の話は第2章、仕組みの詳細はPKI（公開鍵基盤）とはへ。

証明書の有効期限の前でも、秘密鍵の漏えいなどで失効させることがあります。失効した証明書は失効リスト（CRL）や OCSP で確かめます。

認証は本人を確かめること、認可はその本人に何を許すかを決めることです。二つの定義を暗記した後は、社員が業務ファイルを開く場面で違いを説明してみます。以下は当サイトの学習用の例です。

「ログインできたのだから何でも読める」は認証と認可の混同です。また、強い認証を導入しても、退職者の利用権を外すことや異動時の権限の見直しは必要です。パスキーの仕組みをこの例に当てはめ、どこまでが認証の役割かを確認してください。

用語の定義で止まるときはこの章を読み直し、判断の理由まで解説で確かめたいときは管理士の無料20問を利用できます。通し模試と章別の反復が必要なら、管理士パックの内容・料金を確認してください。

技術の問題は、「誰の鍵か」「何の要素か」「認証か認可か」 のどれを問われているかを先に見極めると、選択肢を切りやすくなります。

登録不要の無料お試し20問で本番の形（○×と4択）を確かめ、章別ドリルは対策ページから。ネットワークと Web の防御、インシデント対応は第8章で扱います。