情報セキュリティリスクとは？主な脅威の種類と基本をわかりやすく解説

情報セキュリティリスクとは

情報セキュリティリスクとは、情報技術の利用に関連するリスクを管理する一連のプロセスを指します。具体的には、組織の資産における「機密性」「完全性（インテグリティ）」「可用性」に対する脅威を特定・評価し、適切に対応することを含みます。このプロセスの目的は、組織全体のリスク許容度に応じてリスクを処理することにあります。

リスクとは、本質的には、組織がそのミッションを遂行する能力を脅かしたり制限したりするあらゆる要因のことです。リスクマネジメントは、組織のあらゆる活動において継続的かつ発展的に実施されるべきプロセスであり、過去・現在・未来の活動を取り巻くリスクに体系的に対応しなければなりません。

情報セキュリティリスクの特徴と課題

組織が直面する情報セキュリティリスクは、その組織が行う処理の性質や、扱うデータの機密性によって異なります。リスクへの正しい理解とリスク評価手法の活用は、安全なコンピューティング環境を効率的かつ効果的に構築するために不可欠です。

残念ながら、この分野は情報技術の専門家にとって複雑な領域です。その理由として、技術変化に伴うコスト、インターネットの比較的新しい登場と爆発的な普及、そして「リスク評価や投資対効果（ROI）の算定は複雑すぎて実行できない」という考え方（あるいは現実）が広まっていることが挙げられます。

こうした背景により、情報システムおよび情報システムセキュリティは、セキュリティリスクを体系的に特定し、金銭的に定量化できないという不満足な状況に置かれてきました。その結果、セキュリティソリューションが場当たり的・不適切に導入され、必要以上の費用が投じられたり、逆に予算不足に陥ったりする事態が生じています。

主な情報セキュリティリスクの種類

代表的な情報セキュリティリスクには、以下のようなものがあります。

フィッシング

フィッシングは、ユーザーのパスワードを盗むためのシンプルな攻撃手法です。攻撃者はユーザーに対してパスワードの入力を求めます。典型的な手口としては、フィッシングメールで偽のログインページを送りつけ、警戒していないユーザーを、攻撃者がアクセスしたいサービスの偽ページへ誘導します。

偽ページでは「セキュリティ上の問題が見つかった」といったメッセージを表示してユーザーに入力を促し、その裏でパスワードを盗み見ます。その後、攻撃者は盗んだパスワードを使ってユーザーの機密データにアクセスします。ユーザー自身が自発的にパスワードを入力してしまうため、攻撃者はわざわざパスワードを解読する手間すら必要ありません。

コンピュータウイルス

コンピュータウイルスとは、既存の文書やプログラムに悪意のあるコードを組み込むマルウェアを特に指します。さまざまな手段で自己増殖し、今なお最も一般的なネットワークセキュリティの脅威とされています。ウイルスの約90%はメールの添付ファイル経由で拡散しているといわれています。ただし、ウイルスがコンピュータに感染するにはユーザーの操作が必要であるため、慎重な利用行動によって拡散を防ぐことが可能です。

マルウェア

マルウェアとは、コンピュータシステムに害を及ぼすあらゆるソフトウェアの総称です。ワーム、ウイルス、トロイの木馬、スパイウェア、アドウェア、ルートキットなどの形態があり、保護された情報を盗んだり、ファイルを削除したり、ユーザーの承認なくソフトウェアをインストールしたりします。