77語を収録

情報セキュマネ 用語集

試験に出る言葉を、ひとつずつ。
意味を調べて、関連する用語や過去問へ。

情報セキュリティ全般（2語）

サイバーキルチェーン
サイバーキルチェーンとは、標的型攻撃などのサイバー攻撃で攻撃者がたどる行動を、偵察から目的の実行までの段階に分けてモデル化したものである。米国のロッキード・マーティン社が提唱した。 偵察、武器化、配送、攻撃（悪用）、インストール、遠隔操作（C&C）、目的の実行の7段階で表すのが一般的である。各段階で検知や防御の対策を講じ、どこかで連鎖を断ち切ることで被害を防ぐという考え方につながる。
ゼロトラスト
ゼロトラストとは、社内のネットワークであっても無条件には信頼せず、すべてのアクセスについて、利用者・端末・通信の正当性をその都度検証してから許可するという、セキュリティの考え方である。 クラウドサービスの利用やテレワークの広がりで、社内と社外の境界を守る従来の境界防御だけでは守りきれなくなったことから広まった。強固な認証、端末の状態の確認、最小限の権限の付与、通信の監視などを組み合わせて実現する。

情報セキュリティ管理（15語）

JPCERT/CC
JPCERT/CC（JPCERTコーディネーションセンター）とは、日本国内のコンピュータセキュリティインシデントについて、報告の受付、対応の支援、関係者間の調整などを行う一般社団法人である。 特定の政府機関や企業に属さない中立の立場で活動し、脆弱性情報の調整や注意喚起の発信、組織内CSIRTの構築を支援する資料（CSIRTマテリアル）の提供なども行っている。
インシデント管理
インシデント管理とは、サービスの停止や品質の低下、情報セキュリティ上の事故などの出来事（インシデント）が起きたときに、できるだけ早くサービスを正常な状態に戻すための活動である。 発生の記録、影響度と緊急度による優先度付け、対応、必要に応じたエスカレーション、解決と記録までを手順として定めておく。根本原因の追究と再発防止は、問題管理として別に扱う。
エスカレーション
エスカレーションとは、担当者だけでは解決できない事象や重大な事象を、より上位の責任者や専門の部署へ引き継いだり報告したりすることである。 インシデント対応では、影響度や緊急度に応じて誰にいつ報告するかの基準と経路を事前に決めておく。重大度に関係なく報告ルートを一律にすると、経営層への報告や専門家への引継ぎが遅れるおそれがある。
デジタルフォレンジックス
デジタルフォレンジックスとは、不正アクセスや情報漏えいなどのインシデントが起きたときに、コンピュータやネットワークに残された記録を、法的な証拠として使えるように収集・保全し、調査・分析する手法や技術のことである。 証拠となるデータを改変しないよう、原本ではなく複製を使って調査し、誰がいつどのように扱ったかを記録して証拠の完全性を保つことが重要である。
リスクアセスメント
リスクアセスメントとは、リスクを洗い出して大きさを見積もり、対応が必要かどうかを判断するまでの一連のプロセスである。 JIS Q 31000 などでは、リスクを見つけ出す「リスク特定」、発生の起こりやすさと影響から大きさを求める「リスク分析」、その結果を基準と比べて対応の要否や優先順位を決める「リスク評価」の3つで構成される。その後にリスク対応へ進む。
リスク分析
リスク分析とは、リスクの性質と特徴を理解し、必要に応じてリスクの大きさ（リスクレベル）を決定するプロセスである。JIS Q 31000 などで、リスクアセスメントを構成するプロセスの一つとして位置付けられている。 特定したリスクについて、起こりやすさと、起きたときの結果（影響）の大きさを検討し、両者からリスクレベルを求める。その結果を基準と比べて対応の要否や優先順位を決めるのが、次のリスク評価である。
リスク対応
リスク対応とは、リスクアセスメントで評価したリスクに対して、どのように扱うかを決めて実行することである。 代表的な選択肢は、対策を講じて発生可能性や影響を下げる「低減」、リスクの原因となる活動をやめる「回避」、保険や外部委託で他者と分け合う「移転（共有）」、対策をとらずに受け入れる「保有（受容）」の4つ。どの対応をとってもリスクが完全に無くなるとは限らず、残ったものを残留リスクと呼ぶ。
不正のトライアングル
不正のトライアングルとは、人が不正を行うのは「機会」「動機（プレッシャー）」「正当化」の3つの要素がそろったときだとする理論である。米国の犯罪学者クレッシーの研究に基づく。 機会は不正を実行できる環境、動機は不正に向かわせる事情や圧力、正当化は不正を自分の中で許してしまう理由付けを指す。組織の対策としては、3要素それぞれを減らす。特に、職務の分離やアクセス権の管理などで機会を減らすことは組織が直接とりやすい対策であり、ルールの周知で正当化を、職場環境の整備で動機を減らすことも対策として挙げられる。
情報セキュリティ管理基準
情報セキュリティ管理基準とは、経済産業省が公表している、組織が情報セキュリティマネジメントを構築・運用する際の実践規範であり、情報セキュリティ監査で判断の尺度として使われる基準である。 ISMSの国際規格を基にした JIS Q 27001・JIS Q 27002 と整合がとられている。令和7年の改正は、JIS Q 27001:2023とJIS Q 27002:2024への規格の改訂を受けたものである。監査では、組織の実情に合わせて項目を取捨選択・追加・具体化した個別管理基準を作り、判断の尺度とする。
懲戒手続
懲戒手続とは、情報セキュリティの規程などに違反した従業員に対して、処分を決めて実施するまでの手順である。違反の事実と内容を確認したうえで、影響の大きさや事情を考え、公平かつ段階的に処分を決める。あらかじめ規程に定めて周知しておくことで、違反の抑止にもつながる。
業務プロセス
業務プロセスとは、組織が目的を達成するために行う一連の仕事の流れのことである。受注から出荷、請求までのように、複数の作業と担当者のつながりとして捉える。内部統制では、業務プロセスの中に承認や照合といった統制活動を組み込んで不正や誤りを防ぐ。
機会
機会とは、不正のトライアングルの3要素の一つで、不正を実行できてしまう環境や状況のことである。一人に権限が集中している、チェックの仕組みが無いといった状態が当たる。職務の分離やアクセス権の管理、相互チェックによって機会を減らすことが、組織が直接とれる対策となる。
残留リスク
残留リスクとは、リスク対応を実施した後に残っているリスクのことである。 対策をとってもリスクを完全に無くすことはできない場合が多く、また保有（受容）を選んだリスクもそのまま残る。組織は残留リスクの大きさを把握し、許容できる水準にあるかを経営層などが判断して、受け入れるかどうかを決める。
監査
監査とは、対象の業務や管理の状況が基準や規程に沿っているかを、独立した立場の者が証拠に基づいて点検・評価し、結果を報告することである。情報セキュリティ監査やシステム監査では、監査人が指摘事項と改善の助言をまとめ、後日その改善状況を確認する。
統制活動
統制活動とは、内部統制の基本的要素の一つで、経営者の命令や指示が適切に実行されるようにするための方針と手続のことである。 業務プロセスの中に組み込まれた承認、照合、職務の分離、記録の確認などが当たる。内部統制の基本的要素には、ほかに統制環境、リスクの評価と対応、情報と伝達、モニタリング、ITへの対応がある。

情報セキュリティ対策（20語）

CVSS
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）とは、ソフトウェアの脆弱性の深刻度を、製品や開発元によらない共通の尺度で0.0〜10.0の数値に評価する仕組みである。 バージョン3では、脆弱性そのものの特性を評価する基本評価基準、攻撃コードや対策の出回り具合など時間とともに変わる要素を評価する現状評価基準、利用者の環境に応じた影響を評価する環境評価基準の3つで評価する。2023年に公開されたバージョン4.0では、現状評価基準が脅威評価基準（Threat）に改められ、スコアに入らない補足評価基準（Supplemental）が加わった4つの構成になっている。
SIEM
SIEM（Security Information and Event Management）とは、サーバやネットワーク機器、セキュリティ製品などのログを一か所に集めて分析し、攻撃や不正の兆候を検知する仕組みである。 個々の機器のログだけでは気づきにくい出来事も、複数のログの時刻や内容を突き合わせる相関分析によって見つけやすくなる。検知したらアラートを出し、インシデント対応の起点となる。
SQLインジェクション
SQLインジェクションとは、Webアプリケーションの入力欄などに不正なSQL文の断片を入力し、データベースを不正に操作する攻撃である。 入力値をそのままSQL文に組み込んでいると、情報の盗み出しや改ざん、削除が行われるおそれがある。根本的な対策は、SQL文の構造と入力値を分けてデータベースに渡すプレースホルダ（パラメータ化クエリ）を使うことで、入力値の特殊文字を無害化するエスケープ処理も補助的に使われる。
アンチパスバック
アンチパスバックとは、入退室管理で、入室の記録が無いカードでは退室できないようにするなど、認証履歴の順序に矛盾がある場合に通行を拒否する仕組みである。 一人が認証した後に別の人が一緒に通り抜ける共連れや、カードを外から受け渡して使い回す不正を抑止できる。入退室の両方でカード認証を行うことが前提となる。
セキュアOS
セキュアOSとは、強制アクセス制御や最小特権の考え方を取り入れて、セキュリティを強化したオペレーティングシステムである。 管理者が定めたポリシーに従ってアクセス権を強制するため、ファイルの所有者であっても勝手に権限を変更できない。管理者権限を分割して必要最小限だけを与えることで、仮に侵入されても被害の範囲を限定できる。
チャレンジレスポンス
チャレンジレスポンス認証とは、サーバが毎回異なる乱数（チャレンジ）を送り、利用者側がそれとパスワードなどの秘密情報を組み合わせて計算した値（レスポンス）を返すことで本人を確かめる方式である。 パスワードそのものがネットワークを流れず、チャレンジも毎回変わるため、通信を盗聴して再送するリプレイ攻撃に強い。
ビヘイビア法
ビヘイビア法とは、プログラムを実際に動かしてその振る舞い（動作）を監視し、不審な動きからマルウェアを検出する方式である。 既知のマルウェアの特徴と照合するパターンマッチング方式では見つけられない、新種や亜種のマルウェアも検出できる可能性がある。安全に観察するために、隔離した仮想環境（サンドボックス）の中で動かす方法も使われる。
ブラックボックステスト
ブラックボックステストとは、プログラムの内部構造を考慮せず、仕様に基づいて入力を与え、期待どおりの出力が得られるかで確かめるテストである。 同値分割や限界値分析といった手法でテストデータを選ぶ。プログラムの命令や分岐の通り方に着目するホワイトボックステストと対比される。
プレースホルダ
プレースホルダとは、SQL文の中で後から値を当てはめる場所を記号（「?」など）で示しておき、実際の値は別に渡す仕組みである。 SQL文の構造が先に確定し、利用者が入力した値は単なるデータとして扱われるため、入力に不正なSQLの断片が含まれていても命令として解釈されない。SQLインジェクション対策の基本とされる。
ホワイトボックステスト
ホワイトボックステストとは、プログラムの内部構造（命令の並びや分岐の条件）を把握したうえで、それらが正しく動くかを確かめるテストである。 すべての命令を一度は実行する命令網羅や、分岐の真と偽を両方通す判定条件網羅などの基準でテストケースを作る。仕様だけを見て確かめるブラックボックステストと対比される。
マルウェア
マルウェアとは、利用者や組織に害を与える目的で作られた不正なソフトウェアの総称である。英語の malicious software を縮めた言葉。 コンピュータウイルス、ワーム、トロイの木馬、スパイウェア、ランサムウェア、ボットなどが含まれる。対策ソフトの検出方式には、既知の特徴（シグネチャ）と照合するパターンマッチング方式や、実際の動作を観察して判定するビヘイビア法などがある。
リスクベース認証
リスクベース認証とは、利用者のいつものアクセスの傾向と、接続元のIPアドレスや端末、ブラウザ、時刻などを照らし合わせ、普段と違うと判断したときだけ追加の認証を求める方式である。 通常のログインでは利用者の手間を増やさずに、パスワードが漏れて第三者が別の環境からログインしようとした場合などを見つけやすくなる。
不正ログイン
不正ログインとは、他人のIDとパスワードなどを不正に使って、本人になりすましてシステムやサービスにログインすることである。 漏えいしたパスワードを使い回して試すパスワードリスト攻撃や、総当たり攻撃などで行われる。対策には、パスワードの使い回しをしないこと、多要素認証の導入、普段と違うアクセスに追加認証を求めるリスクベース認証、ログイン失敗が続いたときのアカウントロックなどがある。
入退室管理
入退室管理とは、建物やサーバ室などの区画に出入りできる人を制限し、誰がいつ出入りしたかを記録・管理することである。 ICカードや生体認証による認証、入退室記録の保存などで行う。一人の認証に続いて別人が通り抜ける共連れを防ぐため、一人ずつしか通れないゲートや、入室記録の無いカードでは退室できないアンチパスバックといった仕組みが使われる。
共連れ
共連れとは、入退室管理で、正規の利用者が認証して扉を開けたときに、認証していない別の人が一緒に入室（退室）してしまうことである。 悪意のある第三者の侵入につながるほか、入退室の記録が実態と合わなくなる。一人ずつしか通れないゲートや、入室記録の無いカードで退室できなくするアンチパスバック、監視カメラなどで抑止する。
強制アクセス制御
強制アクセス制御とは、システムの管理者が定めたセキュリティポリシーに従って、すべての利用者とプログラムのアクセスを強制的に制御する方式である。 ファイルの所有者であっても、ポリシーに反してアクセス権を変更することはできない。所有者が自由に権限を設定できる任意アクセス制御と対比され、セキュアOSで採用されている。
現状評価基準
現状評価基準とは、CVSS（共通脆弱性評価システム）バージョン3の評価基準の一つで、脆弱性を取り巻く現在の状況を評価するものである。 攻撃コードが出回っているか、修正プログラムや回避策が提供されているか、情報がどれだけ確かかといった、時間の経過とともに変わる要素で評価する。脆弱性そのものの特性を評価する基本評価基準、利用者の環境を考慮する環境評価基準と区別する。
相関分析
相関分析とは、複数のデータの間にある関係性を調べる分析である。セキュリティ運用では、サーバやネットワーク機器、セキュリティ製品など複数のログを時刻や送信元などで突き合わせ、単独のログでは気づきにくい攻撃の兆候を見つける手法を指し、SIEMの中心的な機能となっている。
認証
認証とは、利用者や機器が本当に名乗ったとおりの本人（正規の相手）であるかを確かめることである。 確かめる手がかりには、パスワードなど本人だけが知っているもの（知識）、ICカードやスマートフォンなど本人が持っているもの（所有）、指紋や顔など本人の身体的特徴（生体）がある。異なる要素を組み合わせる方式を多要素認証と呼ぶ。認証で本人を確認した後に、何をしてよいかを決めるのが認可（アクセス制御）である。
追加認証
追加認証とは、通常のログインに加えて、さらに別の方法で本人確認を行うことである。リスクベース認証では、普段と異なる端末や場所からのアクセスなど不審な場合にだけ、秘密の質問やワンタイムパスワードなどの追加認証を求め、なりすましによる不正ログインを防ぐ。

情報セキュリティ関連法規（8語）

個人情報
個人情報保護法でいう個人情報とは、生存する個人に関する情報であって、氏名や生年月日などによって特定の個人を識別できるもの（他の情報と容易に照合でき、それにより特定の個人を識別できるものを含む）や、個人識別符号が含まれるものをいう。 亡くなった人の情報は、原則としてこの法律の個人情報には当たらない（遺族など生存する個人の情報でもある場合は、その人の個人情報になる）。マイナンバーや、本人認証用に変換した指紋の特徴データなどの個人識別符号は、それ単体で特定の個人を識別できるため、これを含む情報は個人情報になる。
個人情報保護法
個人情報保護法（個人情報の保護に関する法律）とは、個人情報の有用性に配慮しながら、個人の権利と利益を守ることを目的に、個人情報を取り扱う事業者などの義務を定めた法律である。 利用目的の特定と通知・公表、目的外利用の制限、安全管理措置、第三者提供の制限、本人からの開示請求への対応などを定めている。対象となる個人情報は、生存する個人に関する情報である。
特定電子メール法
特定電子メール法（特定電子メールの送信の適正化等に関する法律）とは、広告や宣伝を目的とした電子メール（特定電子メール）の送信について規制する法律である。 原則として、あらかじめ同意した相手にだけ送ることができるオプトイン方式をとり、送信者には氏名や名称、受信拒否の連絡先などを表示する義務がある。受信拒否の意思を示した相手には送ってはならない。
生存する個人
生存する個人とは、個人情報保護法の「個人情報」の対象を示す言葉で、現に生きている人を指す。亡くなった人に関する情報は、原則としてこの法律の個人情報には当たらない。ただし、その情報が遺族など生存する個人に関する情報でもある場合は、その人の個人情報として扱われる。
真正な成立
真正な成立とは、文書が、作成者とされる本人の意思に基づいて作成されたものであることをいう。電子署名法では、本人による一定の要件を満たす電子署名が付いた電磁的記録は、真正に成立したものと推定されると定めており、紙の文書の押印と同様の効力を認めている。
電子署名
電子署名とは、電子文書が本人によって作成されたことと、内容が改ざんされていないことを確かめられるようにするために、電子文書に付ける措置である。 公開鍵暗号の仕組みを使うデジタル署名が代表的な方式。電子署名法では、本人による一定の要件を満たす電子署名がある電磁的記録は真正に成立したものと推定される（押印のある紙の文書と同様の推定効果）。
電子署名法
電子署名法（電子署名及び認証業務に関する法律）とは、電子署名が手書きの署名や押印と同じように通用するための法的な基盤を定めた法律である。 本人だけが行える一定の要件を満たす電子署名が付いた電磁的記録は、本人の意思に基づいて作成された（真正に成立した）ものと推定されると定めている。あわせて、電子証明書を発行する認証業務のうち一定の基準を満たすものの認定制度も定めている。
電子計算機損壊等業務妨害
電子計算機損壊等業務妨害とは、刑法に定められた罪で、業務に使うコンピュータやそのデータを壊したり、虚偽の情報や不正な指令を与えたりして、コンピュータを正しく動かなくさせ、業務を妨害する行為をいう。 データの消去や改ざん、マルウェアを使った動作の妨害などが当たる。

テクノロジ関連分野（16語）

DMZ
DMZ（DeMilitarized Zone：非武装地帯）とは、ファイアウォールによって、インターネット（外部）とも社内ネットワーク（内部）とも分けて設けた中間のネットワークである。 外部に公開するWebサーバやメールサーバ、DNSサーバなどを置く。ファイアウォールで、外部からDMZへの必要な通信だけを許可し、DMZから内部への通信を厳しく制限することで、公開サーバが攻撃されて乗っ取られても、被害が内部ネットワークに広がりにくくなる。
DNSキャッシュポイズニング
DNSキャッシュポイズニングとは、DNSサーバのキャッシュに偽のドメイン名とIPアドレスの対応を記憶させ、利用者を偽のサイトへ誘導する攻撃である。 キャッシュサーバが外部へ問い合わせている隙に、攻撃者が偽の応答を正規の応答より先に送り込むことで成立する。対策として、外部ネットワークからの再帰問合せを受け付けない設定、問合せのポート番号のランダム化、応答に署名を付けて正当性を確かめるDNSSECの導入などがある。
SHA-256
SHA-256とは、任意の長さのデータから256ビットの固定長のハッシュ値を求めるハッシュ関数である。SHA-2と呼ばれる系統の一つで、米国の標準技術研究所（NIST）が標準化した。 入力が少しでも違えば全く異なる値になり、ハッシュ値から元のデータを求めることや、同じハッシュ値になる別のデータを見つけることが実用上できない。このため、ファイルの改ざん検知やデジタル署名に使われる。
SPF
SPF（Sender Policy Framework）とは、電子メールの送信元ドメインが詐称されていないかを確かめる送信ドメイン認証技術の一つである。 ドメインの管理者が、そのドメインのメールを送ってよいサーバのIPアドレスをDNSに公開しておき、受信側は実際にメールを送ってきたサーバのIPアドレスと照合する。一致しなければなりすましの疑いがあると判断できる。電子署名を使うDKIMと組み合わせて使われることが多い。
cookie
cookie（クッキー）とは、Webサーバがブラウザに保存させる小さなデータで、次に同じサイトへアクセスしたときにブラウザから自動的に送られるものである。 HTTPのレスポンスヘッダでサーバから渡され、リクエストヘッダでサーバへ送り返される。ログイン状態の維持（セッション管理）や利用者ごとの設定の保存に使われる。セッションIDを含むcookieが盗まれるとなりすましにつながるため、暗号化通信でだけ送る設定などで保護する。
アクセス制御
アクセス制御とは、情報やシステムに対して「誰が」「何を」「どこまで」できるかを決め、許可された操作だけを行えるようにする仕組みである。 認証で本人を確かめた後、利用者や役割ごとに閲覧・更新・削除などの権限を割り当てて制御する。代表的な方式に、所有者が権限を設定できる任意アクセス制御、管理者が定めたポリシーで強制する強制アクセス制御、役割に権限を割り当てるロールベースアクセス制御などがある。職務に必要な最小限の権限だけを与える「最小権限の原則」が基本となる。
キャッシュ
キャッシュとは、一度取得したデータを手近な場所に一時的に保存しておき、次に同じデータが必要になったときに素早く取り出せるようにする仕組みである。 Webページを保存するプロキシサーバのキャッシュや、問合せ結果を保存するDNSサーバのキャッシュなどがある。応答の高速化や通信量の削減に役立つ一方、偽の情報を保存させられると利用者が偽サイトへ誘導される（DNSキャッシュポイズニング）といった危険もある。
サーバ証明書
サーバ証明書とは、Webサーバなどの身元と公開鍵の対応を、認証局が保証して発行するデジタル証明書である。 HTTPS通信では、ブラウザがサーバから受け取った証明書の署名を認証局の公開鍵で検証し、接続先が正規のサーバであることを確かめる。そのうえで、証明書の公開鍵でサーバの署名を検証して相手を確かめながら、通信を暗号化する鍵を安全に共有する（古い方式では証明書の公開鍵で鍵の元になる値を暗号化して送る）。
ネットワークアドレス
ネットワークアドレスとは、IPアドレスのうち、そのアドレスが属するネットワーク（サブネット）自体を表すアドレスである。 IPアドレスとサブネットマスクのビットごとの論理積をとり、ホスト部をすべて0にした値になる。例えば /28 のサブネットではアドレスが16個ずつの区切りになるので、10.170.70.19 は 10.170.70.16 から始まる範囲に属し、ネットワークアドレスは 10.170.70.16 となる。
ハッシュ関数
ハッシュ関数とは、任意の長さのデータから、決まった長さの値（ハッシュ値）を計算する関数である。 同じ入力からは必ず同じ値が出て、入力が少しでも違えば全く異なる値になる。セキュリティで使う暗号学的ハッシュ関数は、ハッシュ値から元のデータを求めることや、同じ値になる別のデータを見つけることが実用上できない。改ざんの検知、パスワードの保管、デジタル署名などに使われる。SHA-256が代表例。
プロキシサーバ
プロキシサーバとは、社内の端末などに代わってインターネット上のWebサーバへアクセスし、結果を中継するサーバである。 取得したコンテンツをキャッシュして応答を速くするほか、閲覧先を制限するURLフィルタリング、アクセスログの記録、内部の端末を外部から直接見えなくするといった目的にも使われる。
公開鍵暗号
公開鍵暗号とは、対になる2つの鍵（誰にでも公開する公開鍵と、本人だけが持つ秘密鍵）を使う暗号方式である。 公開鍵で暗号化したものは、対になる秘密鍵でしか復号できない。送信者が受信者の公開鍵で暗号化すれば、受信者の秘密鍵でしか読めない。逆に秘密鍵で署名すれば、公開鍵で本人の作成と確かめられる（デジタル署名）。鍵の配送は容易だが、共通鍵暗号より処理が遅い。RSAや楕円曲線暗号が代表例である。
共通鍵暗号
共通鍵暗号とは、暗号化と復号に同じ鍵を使う暗号方式である。 処理が速く大量のデータの暗号化に向くが、通信相手と同じ鍵を事前に安全に共有しておく必要があり、相手ごとに別の鍵を用意すると鍵の数が増える。AESが代表例。実際の通信では、公開鍵暗号で共通鍵を安全に受け渡し、本体のデータは共通鍵暗号で暗号化する組合せ（ハイブリッド方式）がよく使われる。
再帰問合せ
再帰問合せとは、DNSで、問い合わせを受けたサーバが最終的な答え（IPアドレスなど）が分かるまで、他のDNSサーバへ順に問い合わせてから結果を返す方式の問合せである。 キャッシュサーバが外部の誰からでも再帰問合せを受け付けると、DNSキャッシュポイズニングや、攻撃の踏み台に悪用されるおそれがある。このため、受け付ける相手を内部の利用者に限定する設定が推奨される。
暗号化
暗号化とは、第三者に読まれても内容が分からないように、鍵を使ってデータを別の形に変換することである。元に戻す操作を復号という。 方式には、暗号化と復号に同じ鍵を使う共通鍵暗号方式と、公開鍵と秘密鍵の対を使う公開鍵暗号方式がある。共通鍵暗号は処理が速く大量データ向き、公開鍵暗号は鍵の配送が容易という特徴があり、実際の通信では両者を組み合わせて使うことが多い。ハッシュ関数は元に戻せない一方向の変換で、暗号化とは目的が異なる。
認証局
認証局（CA）とは、公開鍵とその持ち主の対応を保証するデジタル証明書を発行する第三者機関である。 認証局は申請者の身元を確認したうえで、公開鍵などの情報に自らの秘密鍵で署名した証明書を発行する。受け取った側は、認証局の公開鍵で署名を検証することで、証明書が改ざんされておらず正規の認証局が発行したものと確かめられる。有効期限前に失効した証明書は失効リスト（CRL）などで公開される。

マネジメント関連分野（8語）

MTBF
MTBF（Mean Time Between Failures：平均故障間隔）とは、システムや装置が故障してから次に故障するまでの、正常に動いている時間の平均である。 値が大きいほど故障しにくく、信頼性が高いことを表す。平均修復時間（MTTR）と組み合わせると、稼働率＝MTBF÷（MTBF＋MTTR）で求められる。MTTRを変えずにMTBFを長くすると稼働率は上がる。
MTTR
MTTR（Mean Time To Repair：平均修復時間）とは、故障が起きてから修理して正常な状態に戻るまでにかかる時間の平均である。 値が小さいほど復旧が早く、保守性が高いことを表す。稼働率はMTBF÷（MTBF＋MTTR）で求めるため、MTTRを短くすれば稼働率は上がる。保守体制の整備や予備部品の準備、障害の早期検知はMTTRの短縮に役立つ。
RASIS
RASISとは、コンピュータシステムの信頼性を評価する5つの観点の頭文字を並べたものである。 Reliability（信頼性：故障しにくさ）、Availability（可用性：使える時間の割合）、Serviceability（保守性：直しやすさ）、Integrity（完全性：データの矛盾や破壊が無いこと）、Security（安全性：不正な利用から守られていること）の5つ。信頼性はMTBF、可用性は稼働率、保守性はMTTRといった指標で表す。
サービスレベル目標
サービスレベル目標（SLO）とは、ITサービスの提供者が達成を約束する、測定可能なサービスの特性の目標値のことである。 稼働率、応答時間、障害時の復旧時間、問合せへの回答時間などを数値で定める。顧客との間でサービスレベル合意書（SLA）として取り決め、達成状況を定期的に測定・報告して、改善につなげる。
フォローアップ
フォローアップとは、監査の報告で指摘した事項や改善の提言について、監査対象の部門が改善措置を実施したか、その措置が有効に機能しているかを、監査人が後日確認する活動である。 監査そのものは報告で終わるが、報告書に改善提案を書いた場合は、それが適切かつ適時に実施されているかを確かめる必要があるため、監査人は後日フォローアップを行う。なお改善の実施は監査対象部門の責任で、監査人は改善計画の策定や実行に関与しない（独立性を損なうため）。
信頼性
信頼性とは、システムや装置が故障せずに、決められた機能を安定して果たし続けられる度合いのことである。RASISのRに当たり、平均故障間隔（MTBF）が長いほど信頼性が高いと評価する。部品の二重化や品質の高い部品の採用によって高められる。
可用性
可用性とは、許可された利用者が、必要なときに情報やシステムを使える状態にあることである。情報セキュリティの3要素（機密性・完全性・可用性）の一つで、RASISのAにも当たる。 システムでは稼働率で表すことが多く、平均故障間隔（MTBF）を延ばすか、平均修復時間（MTTR）を縮めると稼働率が上がる。冗長化やバックアップ、DoS攻撃への対策は、可用性を守るための代表的な手段である。
改善措置
改善措置とは、監査などで指摘された問題点に対して、対象の部門が原因を取り除き、状況を正すために講じる対応である。監査人は後日、その措置が実施され有効に働いているかを確かめる（フォローアップ）。

ストラテジ関連分野（8語）

BPM
BPM（Business Process Management）とは、業務プロセスを分析・設計・実行・監視・改善するサイクルを継続して回し、業務の効率や品質を高めていく管理手法である。 業務の流れを見える化してモデル化し、ITを使って実行・監視し、その結果を基に改善を繰り返す。業務プロセスを一度に抜本的に作り直すBPR（ビジネスプロセスリエンジニアリング）に対し、継続的な改善を重視する点に特徴がある。
RPA
RPA（Robotic Process Automation）とは、人がパソコンで行っている定型的な操作を、ソフトウェアのロボットに記録・再現させて自動化する仕組みである。 データの転記や集計、システムへの入力など、手順が決まっていて繰り返し発生する事務作業に向く。導入にあたっては、業務全体を見直してから自動化に適した作業を選ぶことや、ロボットに与えるアカウント権限の管理が重要になる。
サプライチェーン
サプライチェーンとは、原材料の調達から製造、物流、販売を経て消費者に届くまでの、複数の企業にまたがる一連の流れのことである。 全体を連携させて在庫や納期を最適化する考え方をサプライチェーンマネジメント（SCM）という。情報セキュリティでは、取引先や委託先の弱いところを足掛かりに本命の組織を攻撃する「サプライチェーン攻撃」への備えも重要になる。
デジタルトランスフォーメーション
デジタルトランスフォーメーション（DX）とは、企業などがデータとデジタル技術を活用して、製品やサービス、ビジネスモデル、業務や組織そのものを変革し、競争上の優位を確立することである。 紙の書類を電子化するといった単なるデータ化や、一つの業務だけの効率化にとどまらず、部門の枠を越えた全社的な業務プロセスの変革や、顧客起点でのビジネスモデルの変革までを指す。
データウェアハウス
データウェアハウスとは、社内の複数の業務システムからデータを集めて、分析しやすい形に整理・統合し、時系列で蓄積するデータベースである。 日々の取引処理を行う業務システムとは分けて構築し、経営判断や傾向の分析に使う。そこから特定の部門や用途に合わせて必要なデータだけを切り出したものをデータマートという。
データマート
データマートとは、データウェアハウスなどに蓄積したデータから、特定の部門や分析の目的に合わせて必要な部分だけを切り出して構築したデータベースである。 対象が絞られているため、利用部門にとって扱いやすく、集計や分析を速く行える。全社のデータを統合する土台がデータウェアハウスで、その利用者向けの小さな倉庫がデータマートという関係にある。
機械学習
機械学習とは、コンピュータに大量のデータを与えて、その中にある規則性やパターンを自動的に見つけ出させ、予測や分類に使えるようにする技術である。人工知能（AI）を実現する代表的な方法の一つ。 正解付きのデータで学ぶ教師あり学習、正解の無いデータから構造を見つける教師なし学習、試行錯誤で報酬を最大化する強化学習などがある。セキュリティ分野では、不正アクセスや迷惑メールの検知などにも使われる。
特性要因図
特性要因図とは、ある問題（特性）と、それに影響を与える原因（要因）の関係を、魚の骨のような形に体系的に整理した図である。QC七つ道具の一つで、フィッシュボーン図とも呼ばれる。 右端に問題を書き、背骨から伸びる大骨に、人・方法・設備・材料などの要因の分類を、そこから伸びる小骨に具体的な原因を書き込む。情報セキュリティのインシデントの原因の分析などにも使われる。