もう情報セキュリティ対策で悩まない！業務に直結する情報セキュリティの考え方・知識・常識・対策方法を習得しよう

セクション2で学ぶ内容を紹介します。このセクションでは、主にネットワーク技術を解説しますが、技術者出ない人にもわかるように工夫しながら、セキュリティにかかわるポイントを押さえます。

ネットワークの基礎的な知識とインターネットのネットワーク階層モデルについての理解を深めます。

LANの基本的な知識とプロトコルスタックについて学びます

LANに対してWANというネットワーク。ここでは、とくにWANとしてのインターネットについて学びます。

スイッチやルータなど基本的なネットワーク機器の機能を解説します。これらの知識はセキュリティ対策を考える上で必要になってきます。

LANの外側、外部ネットワークやインターネットにつながる機器や関連技術について学びます。ルーターやDMZについて取り上げます。

分類としてはレイヤ2の機器となるWi-Fiアクセスポイント。セキュリティ上でもたびたび問題に上がる機器ですが、それを踏まえて押さえるべきポイントを学びます。

ネットワーク機器なら必ず持っているMACアドレスについて、その仕組みと役割を学びます。MACアドレスはデバイスを特定できる重要な識別子です。高度な対策、攻撃の解析に必要となる情報です。

IPアドレスの基本情報として、IPアドレスの概要とアドレス体系がどのように管理されているのかを解説します。IPアドレスで国や企業がなぜわかるのか、どこまでわかるのか、仕組みの基本を理解します。

ここでは、IPv4アドレスの表記方法について解説します。基本的な情報の他、IPアドレスでなにが特定できて、何が特定できないのかがわかります。

IPアドレスのCIDR表記というものがあります。サブネットの考え方と関連用語について意味を学びます。セグメントやサブネットの考え方は、セキュリティ対策においてセキュリティレベルの制御、障害の切り分けに役立ちます。

インターネット上で相手のサーバーを指定するときに使うドメイン名の基礎を学びます。ドメイン名はどのように管理されているのか、ドメイン名でなにがわかるのか、といった知識を身につけます。

インターネットでドメイン名を使えるようにしているのがDNSです。インターネットの重要なインフラのひとつであるDNSが、どんな機能を担っているのかを学習します。

ドメイン名からIPアドレスを得るためのDNSの機能を説明します。名前解決やDNSのキャッシュについて学べます。また、DNSのセキュリティ上の問題についても取り上げます。

インターネットの基本的な技術を学んだところで、あらためてインターネットとは、ということを考えます。これまでの技術的な知識に加え、歴史的な背景や現状についてまなぶことで、より深い知識と理解を目指します。

企業内のPCは原則としてプライベートIPアドレスが割り当てられます。しかし、インターネットではグローバルIPアドレスでしか通信ができません。どうやってメールやウェブアクセスを実現しているのかを学びます。

インターネットの代表的なアプリケーションのひとつがメールです。このしくみと、セキュリティ上の課題について学習します。

Gmailなどクラウドサービス型のメールシステムについて学習します。企業のメールもクラウドサービスを利用するようになってきています。

WebブラウザとWebサーバーの基本的な機能を学びます。サーバーとブラウザの関係、URLのパラメータやJavascriptはサーバーやブラウザにどう作用するのか、HTTPとHTTPSの違いはなにかを把握します。

HTTPS通信を実現している重要な技術、公開鍵暗号方式と認証局、サーバー証明書について学びます。HTTPSが無条件で安全でない理由など、現在の状況を踏まえて解説となっています。

インターネットにおいて、ユーザーが一番多く接する機会が多いブラウザとWebアプリケーションについて学びます。

IoTの概要と、セキュリティ上の課題を学習します。一般的に指摘されているIoTの課題と、IoT製品のセキュリティアップデートの問題をとりあげます。

セクション1で学んだ内容のまとめです。

セクション1で学んだことの確認テストです。

このセクション（セキュリティの基本）で学習する概要説明です

セキュリティマネジメントの基本を解説します。加えて、実践的な対策の考え方を近年の動向を踏まえて解説します。

セキュリティ対策でまず行うべき、リスクマネジメントについて解説します。脅威とリスクについて学びます。

具体的な脅威にはどんなものがあるのかを解説します。

代表的な攻撃者の分類として、ハッカー、ハクティビスト、犯罪組織の概要を学びます。

一般的なインターネットの世界とダークウェブやディープウェブと呼ばれる世界の違いやその実態がわかります。

サイバー攻撃を軍事オプションとしている国は少なくありません。また、国が関与するサイバー攻撃も増えています。この現状を解説します。

セクション3で学んだ内容をおさらいします。

セクション3で学んだことの確認テストです。

代表的なマルウェアの種類を学び、攻撃者の攻撃技術や攻撃手法について学びます。マルウェアの現実的な脅威を判断するための知識となります。

サイバー攻撃の種類や手法を学ぶにあたって、まずもっとも基本的な分類を整理します。ウイルス、ワーム、トロイの木馬、それぞれどんな特徴があり、どう違うのかを把握します。

基本的なマルウェアの分類の次は、比較的最近増えており、さまざまな攻撃の機能を構成するマルウェアであるダウンローダー、キーロガー、スパイウェアの機能を学びます。

近年問題になっているマルウェア、標的型攻撃などに多様されるマルウェアを解説します。ランサムウェア、エクスプロイトなどの意味を正しく理解します。

もっとも古典的な攻撃は、メールやウイルスなどをばらまく攻撃です。その概要と、現在のばらまき型攻撃の手法を学びます。

標的型攻撃とAPTの違い、サイバーキルチェーン、サプライチェーン攻撃についてその意味を学習します。これらは重要なトレンドワードでもあるので、正しい理解が重要です。

DoS/DDoS攻撃の基本と現実にどのような攻撃が起きているのかを解説します。DDoS攻撃はIoTの普及とともに新しいフェーズに入っています。

バグと脆弱性の違いとゼロデイ攻撃について学習します。マルウェアが侵入や情報窃取を行う場合、おもに利用するのがソフトウェアの脆弱性です。

アカウント情報は、さまざまなサイバー攻撃においてもっとも基本的な攻撃ポイントです。サーバーに侵入するには、パスワードを入手するのがいちばん確実だからです。フィッシングはそのために有効な攻撃手法のひとつです

仮想通貨に関するサイバー攻撃にマイニングマルウェアがあります。マイニングとはなにか。マイニングマルウェアとはなにか。どうやって金銭を得ているのか。などを解説します。

サイト改ざんは、さまざまな攻撃に利用できます。その改ざん手法と、改ざんによっておこる危険について解説します。

クロスサイトスクリプティングと呼ばれる攻撃手法を学習します。利用される脆弱性と、それによる一般的な被害を把握します。

クロスサイトスクリプトフォージェリについて学習します。攻撃手法やどんな被害が発生するのかを解説しますが、混同されやすいクロスサイトスクリプティング（XSS）との違いも明確にします。

攻撃手法の用語で中間者攻撃について解説します。中間者攻撃は攻撃手法を表す用語なので、利用する技術やシチュエーションは様々です。どのような手法があるのかを学びます。

Wi-Fiアクセスポイントの危険性はいろいろなところで指摘されています。どんな危険があるのか、なぜ危険なのかについて理解します。

ボットネットについてあらためて基本を確認します。IoTの動向との関係がポイントとなります。

人の心理に付け込んだ騙しのテクニックがソーシャルエンジニアリングです。サイバーの世界では、詐欺的な手法で、マルウェアを開封させたりパスワードを入力させたりといった手法が目立ちます。どんな攻撃があるのかを解説します。

このセクションのまとめです。

サイバー攻撃についての確認テストです。

代表的な対策手法のうち、技術的な対策、事後対応、教育・訓練の3つのカテゴリについて学びます。

暗号化技術の基本とその問題点を解説します。一部は、以前のレクチャーでも解説していますが、おさらいを含めて学習します。

普段なにげに使っているログインについて、認証の種類や問題点。よいパスワードの条件について学習します。

パスワードの管理方法と、どのような攻撃があるのか。そしてどのようなパスワードが強度が高いといえるのかについて学びます。

第2パスワードや二要素認証、二段階認証など、追加認証やリスクベース認証にかかわる技術を学びます。

その他の認証技術として、認証サーバー、生体認証と、パスワードに代わる技術として実証が進められているFIDO認証についても解説します。

アンチウイルスソフト、セキュリティアップデート、ファイアウォールという3つの基本てkいな対策ソリューションのおさらいです。

IPS/IDS、ふるまい検知、サンドボックスについて解説します。サンドボックスの解説では、AIを利用した攻撃対策の話もします。

複数のセキュリティ対策を統合的に提供するシステムやサービスの解説です。UTM、SIEM、SOCサービスの理解を深めます。

インシデントが発生した、事後対応のうち、ログ解析とフォレンジックスの重要性を学びます。ログ解析でどのようなことがわかるのかも説明します。

ここでは、脆弱性診断、ペネトレーションテスト、サイバーインテリジェンスを解説します。脆弱性診断とペネトレーションテストの違い、サイバーインテリジェンスや脅威インテリジェンスと呼ばれるものはなにかを把握しましょう。

標準化された脆弱性ハンドリングの流れ、脆弱性情報およびパッチの公開プロセスを学びます。また、バグバウンティという取り組みも紹介します。

このセクションのまとめです。

対策手法に関する確認テストです。

このセクションでは主にCSIRTの活動について解説します。

CSIRTとは、その機能と役割を学習します。CERTとCSIRTの違いについても解説します。

CSIRTの日常的な業務について解説します。一般的なセキュリティ対策とそれに必要な情報収集など多岐にわたります。

CSIRTの重要な役割に、インシデント発生時の対応業務があります。ウイルスに感染した、情報が盗まれた、といったときに発生する作業をまとめました。

インシデント発生時の初動と復旧処理について学びます。初動で重要なトリアージ、復旧処理に必要な分析業務、対外的な届出、情報公開も取り上げます。

被害届の他、分析作業、復旧に関連したサーバーのテイクダウンなど、インシデント対応は、自社CSIRTだけで完結することはありません。外部連携について解説します。

日業業務に含まれますが、情報収集やセキュリティ対策、教育以外に、CSIRTが担当する業務を解説します。

このセクションのまとめです。

インシデント対応の手順・流れに関する確認テストです。

インシデントの被害状況や対策を考えるために必要な技術や手法を学習します。フォレンジックス、マルウェア解析、さらに予防的措置としてセキュアコーディング、サイバー演習を学びます

フォレンジックスが重要な背景と、デジタルの証拠保全が必要な理由を説明します。

マルウェアの解析の目的と意義、そしてマルウェア解析でわかることを学びます。解析の中で発見される脆弱性の問題も取り上げます。

インシデントが発生したとき、連携可能なセキュリティ機関と警察組織を紹介します。国内主要組織の他、主だった組織の表も確認できます。

ソフトウェアの開発時に、セキュリティ要件のチェックを必須として、そのテストを含めて開発ライフサイクルにセキュリティ対策・機能を組み込むことをセキュリティバイデザインといいます。

CTF、レッドチームなどサイバー演習や脆弱性診断にかかわる手法を解説します。サイバー演習は、防災訓練に相当するものと、エンジニアや担当者の防御スキルを向上させるものがあります。

このセクションで学んだことをまとめます。

このセクションで学んだことの確認テストです。IoTとセキュリティバイデザインの関係について確認します。

このセクションで学ぶ4つの事業領域について、セキュリティ対策の重要なポイントを整理します。

モバイルセキュリティは、PCやサーバーとは違った特性を考慮した対策が必要です。そもそもウイルスに対する考え方が違うといったことを学習します。

発電所や交通機関、工場や金融機関など、社会インフラにおけるセキュリティ対策のポイントを学びます。これらへのサイバー攻撃は、実際に発生していますが、セキュリティ対策のポイントと課題を解説します。

家電や自動車、ロボットがインターネットにつながるようになり、セキュリティの対象が広がっています。IoT特有の攻撃や被害にどんなものがあり、基本的な対策はどうすればいいのかを解説します。

Webはビジネスにも生活にも浸透しています。そのセキュリティ対策の基本部分を解説します。

このセクションで学習したことをまとめます。

確認テストです。

セキュリティ活動全般にかかわる法律にどんなものがあるのか。そして、それにはどんな目的や機能があるのかを学びます。

国のセキュリティ政策や取り組みの基本となる法律です。各省庁や関連法人組織が実施するセキュリティ活動の基本的な理念を規定しています。NISC、内閣サイバーセキュリティセンターについても取り上げます。

一般に、ウイルス罪などと呼ばれている刑法の規定について学びます。マルウェアの作成や利用・保持を禁止するものですが、課題も大きい法律のひとつです。

著作権法は、プログラムやネット上のコンテンツにも適用されます。ビジネスやセキュリティ対策という視点で著作権法を考えてみます。

通信事業者やサービスプロバイダは電気通信事業法によって業務に制約がかけられています。放送局は電波法です。インターネットで問題になりがちなのは、通信の秘密とフィルタリングやサイバー攻撃の遮断をどうバランスさせるか、という点です。

公開鍵暗号を使った電子署名の概要と、電子署名を法的に有効なものとしている法律について学びます。

スパムメールや迷惑メールを制限するための法律です。この法律により企業は勝手に広告メールは送れなくなっています。

アカウントの不正利用、脆弱性を利用したサーバーへの侵入を、直接規制する法律です。セキュリティ対策や被害の解析でも必要な行為も含みます。どんな行為が違法になるのか把握しておいてください。

サービスプロバイダや通信事業者は「通信の秘密」を遵守しなければなりませんが、犯罪行為とどうバランスするかが課題となっています。この法律は、その間の一部を埋める機能を持っています。

セキュリティインシデントの典型例に個人情報の漏えいがあります。しかし、個人情報の定義をしっかり理解している人は多くありません。名前やメールアドレスを抜いただけで個人情報ではないという理解は間違いです。このレクチャーで正しく理解してください。

GDPRは国内法ではありませんが、多くの日本企業も無関係ではない法律です。どのような法律で、どこが日本と関係するのか解説します。

サイバーセキュリティに関連する法律には、サイバー攻撃、業務、個人情報にかかわるものがあります。このセクションでは、主だったセキュリティ関連法を解説しました。

このセクションで学んだことの確認テストです。

コース全体のまとめと今後の学習方法などをアドバイスします。

講師のバックグラウンド情報としての業務内容とコースに関連する書籍について紹介します。