新入社員が「セキュリティとは何か」を今さら考えてみた！情報セキュリティとサイバーセキュリティの違いとは？～新入社員のセキュリティ備忘録 #09～

こんにちは！2年目社員の井上です。

本ブログは、私が学習した情報セキュリティについてのあれこれを備忘録として残していくシリーズ「新入社員のセキュリティ備忘録」第9弾になります。今回も、学習した内容を新入社員目線でまとめていきます。

前回までの備忘録では、EDR(Endpoint Detection and Response)について学んできました。

これまでSASEやEDRなど、サイバーセキュリティを支えるソリューションについて学んできましたが、ふと「そもそもセキュリティとは何なのだろう」という疑問が浮かびました。そこで今回は、一度技術の話から離れて、「セキュリティ」という言葉の意味や、情報セキュリティとサイバーセキュリティの違いについて、今一度振り返ってみたいと思います。

今回もどうぞよろしくお願いします！

目次

1.「セキュリティ」って結局なんだろう？～情報セキュリティの基本を整理してみた～
2.情報セキュリティとサイバーセキュリティ、何が違うの？
3.おわりに

1.「セキュリティ」って結局なんだろう？～情報セキュリティの基本を整理してみた～

まずは、「セキュリティ」という言葉の意味から振り返ってみたいと思います。

「セキュリティ」を辞書で調べてみると、「安全」「安心」「防護」といった意味を持つ言葉であることが分かります。つまり、何かしらの脅威や危険から、対象となるものを守る、という考え方が根っこにあるのですね。

このとき、「対象となるもの」が何なのかによって、セキュリティにもさまざまな種類があります。たとえば、自宅の防犯であれば「ホームセキュリティ(Home Security)」ですし、自動車や自動車のシステムであれば「カーセキュリティ(Car Security)」と言えます。

そして、これまでこのシリーズブログで扱ってきた文脈では、「対象となるもの」は主に「情報（データ）」です。つまり、「情報セキュリティ」とは、個人や組織の「情報」を脅威や危険から守るための考え方や取り組みのことを指しています。

情報セキュリティについて調べていくと、必ずと言っていいほど出てくるのが、機密性・完全性・可用性という3つの要素です。これらは、情報セキュリティの3要素とも呼ばれ、情報セキュリティに関する日本産業規格である JIS Q 27000シリーズでは、情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義しています。
【出典】「JIS Q 27000（情報セキュリティマネジメントシステム－ 用語）」

英語ではそれぞれ機密性を「Confidentiality」、完全性を「Integrity」、可用性を「Availability」と呼び、情報セキュリティの3要素については、その頭文字を取って「CIA」と表現されることもあります。

この3つは、情報セキュリティを考えるうえでの基本的な柱になっているようなので、それぞれ整理してみます。

・機密性：見られたくない情報を守る

機密性は、簡単に言うと「見てはいけない人に情報を見られないようにする」という考え方です。たとえば、社内の人事情報や顧客情報が、関係のない第三者に閲覧されてしまっては困りますよね。パスワードによる認証や、アクセス権限の設定などは、この機密性を守るための仕組みだと言えます。

・完全性：情報が正しい状態であることを守る

完全性は、「情報が勝手に書き換えられたり、壊されたりしていない状態を保つ」という考え方です。たとえば、送金額のデータが途中で改ざんされてしまったら大変なことになります。改ざんがないかを確認する仕組みや、万が一のためのバックアップは、この完全性を守るための取り組みです。

・可用性：必要なときに使える状態を守る

可用性は、「必要なときに、情報やシステムがきちんと使える状態である」という考え方です。どれだけ情報が守られていても、いざ使いたいときにシステムが止まっていては意味がありません。サーバを複数用意しておく冗長化や、障害が起きたときの対策は、可用性を守るための取り組みだと言えます。

一方で、可用性についてはこういった考え方もできます。

たとえば、機密性や完全性を重視するあまり、パスワードやアクセス権限を何重にも設定したり、認証の手続きを非常に厳格にしたりすると、情報やシステムを強固に守ることはできます。しかし、その結果として、本来アクセスできるはずの人が、必要なタイミングで情報やシステムを利用できなくなってしまうことがあります。

どれだけ機密性や完全性を高めてセキュリティを強化しても、必要なときに、必要な人がアクセスできなければ、情報セキュリティとしては本末転倒と言えるかもしれませんよね・・・。

こうして整理してみると、情報セキュリティとは、単に「情報を漏らさないようにする」ことだけでなく、機密性・完全性・可用性という3つの要素をバランスよく守ることなのだと分かりました。

…さて、ここまで見てきた「情報セキュリティ」ですが、似ている用語で「サイバーセキュリティ」という言葉もあります。

そして実は、これまでのブログで見てきたようなSASEやEDRは、「サイバーセキュリティソリューション」という文脈で使われることが多いです。

では、この「情報セキュリティ」と、これまで学んできたSASEやEDRが関係する「サイバーセキュリティ」は、どのような関係にあるのでしょうか。

次章では、これらの違いについて整理していきます。

2.情報セキュリティとサイバーセキュリティ、何が違うの？

前章では、情報セキュリティとは何か、そしてその基本となる機密性・完全性・可用性の3要素について整理してきました。

では、似たような場面でよく耳にする「サイバーセキュリティ」は、情報セキュリティとどう違うのでしょうか。
「サイバーセキュリティ」についても、まずは定義を確認してみます。日本では、「サイバーセキュリティ基本法」という法律の中で、以下のようにサイバーセキュリティが定義されています。

===
（第2条）
「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（以下この条において「電磁的方式」という。）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（情報通信ネットワーク又は電磁的方式で作られた記録に係る記録媒体（以下「電磁的記録媒体」という。）を通じた電子計算機に対する不正な活動による被害の防止のために必要な措置を含む。）が講じられ、その状態が適切に維持管理されていることをいう。
【出典】e-GOV法令検索　「サイバーセキュリティ基本法」第2条  -https://laws.e-gov.go.jp/law/426AC1000000104
===

・・・やっぱり定義だと難しいですね。

簡単に言うと、サイバーセキュリティとは、コンピュータやネットワークなど、デジタル空間（サイバー空間）における情報や仕組みを、脅威から守るための取り組みだと言えそうですね。

こうして見てみると、情報セキュリティの説明とかなり似ているように感じますね。実際、機密性・完全性・可用性を守るという考え方は、サイバーセキュリティにおいても土台になっています。

では、具体的にどこが異なるのでしょうか。
情報セキュリティとサイバーセキュリティの違いを整理するうえで、ポイントになるのが「守るべき情報がどこにあるか」という対象範囲です。

前章で見たように、情報セキュリティは「情報」を守る取り組み全般を指します。ここでいう情報には、電子データだけでなく、紙の書類や、口頭でやり取りされる会話なども含まれます。

たとえば、機密資料を鍵付きのキャビネットで保管することや、会議室での会話を第三者に聞かれないようにすることも、情報セキュリティの一部です。

一方でサイバーセキュリティは、コンピュータやネットワーク、いわゆる「サイバー空間」上に存在する情報やシステムを守ることに焦点を当てています。つまり、紙の書類や口頭の会話までは対象にせず、あくまでデジタルな情報・システムが対象範囲になります。

…整理すると、以下のようなイメージになります。

・・・つまり、サイバーセキュリティは、情報セキュリティという大きな概念の中の一部分、「サイバー空間における情報セキュリティ」と捉えると分かりやすそうです。

こうして整理してみると、これまでこのブログで扱ってきたSASEやEDRが、なぜ「サイバーセキュリティソリューション」と呼ばれるのかも見えてきます。

SASEは、ネットワーク上の通信やクラウド利用を安全に制御するための概念であり、EDRは、PCやサーバといった端末（エンドポイント）上の不審な挙動を検知する仕組みでした。どちらも、対象としているのは「サイバー空間上の情報やシステム」であり、まさにサイバーセキュリティの領域に含まれる取り組みだったのですね。

つまり、SASEやEDRは、情報セキュリティ全体を支える取り組みのうち、特にサイバー空間における脅威に対応するための仕組みだったということが、今回改めて整理してみて理解できました。

こうして見ると、情報セキュリティとサイバーセキュリティは、どちらも「機密性・完全性・可用性を守る」という同じ考え方を土台にしつつも、対象とする範囲（サイバー空間に限定されるかどうか）が異なるのだと分かりました。

以上が、「情報セキュリティ」と「サイバーセキュリティ」の大まかな違いでした。普段何気なく使い分けている2つの言葉ですが、こうして整理してみると、それぞれの立ち位置がはっきりしましたね！

3.おわりに

今回の備忘録 #09では、これまで学んできたSASEやEDRから少し離れて、「セキュリティとは何か」という原点に立ち返ってみました。情報セキュリティは、機密性・完全性・可用性という3要素を守る取り組みであり、サイバーセキュリティは、その中でも特にサイバー空間上の情報やシステムを対象とした取り組みだということが分かりました。

普段何気なく使っている「セキュリティ」という言葉も、こうして改めて整理してみると、これまで学んできたSASEやEDRが「サイバーセキュリティソリューション」と呼ばれる理由や、その立ち位置がはっきりと見えてきました。技術そのものだけでなく、その技術が「何を、どこまで守るためのものなのか」という視点を持つことも、セキュリティを学ぶうえで大切なのだと感じました。

引き続き、学習内容をアウトプットしていきますので、次回もお付き合いいただければうれしいです！

ここまで読んでいただきありがとうございました！