情報セキュリティと情報モラル｜3要素・脅威と対策・関連する法律
情報を安全に使い続けるための考え方が情報セキュリティ、情報社会で適切に行動するための考え方が情報モラルです。共通テストでは2025年・2026年の本試験とも第1問の知識問題で出題され、「この対策はどの要素を高めるか」「この記述は正しいか」を判断する問題が中心です。用語の意味を正確に押さえておけば、確実に得点できる分野です。
情報セキュリティの3要素
情報セキュリティでは、次の3つの性質を守ることを目指します。英語の頭文字から CIA と呼ばれます（用語「情報セキュリティの3要素」）。
| 要素 | 意味 | 損なわれる例 | 高める対策 |
|---|---|---|---|
| 機密性 | 許可された人だけが情報を利用できる | 顧客名簿が外部に漏れる | パスワード、アクセス権の設定、暗号化 |
| 完全性 | 情報が正確で、改ざんされていない | Webページが書き換えられる | 改ざんの検知、デジタル署名、操作の記録 |
| 可用性 | 必要なときにいつでも利用できる | サーバの故障でサービスが止まる | バックアップ、予備の機器、停電対策 |
どの要素を高める対策かを判断する問題がよく出ます。2026年の本試験 第1問 問1 では、「データをバックアップすると可用性を高められる」が正解でした。
情報セキュリティへの脅威
主な脅威
| 分類 | 例 |
|---|---|
| 技術的な脅威 | マルウェア、不正アクセス、通信の盗聴 |
| 人的な脅威 | ソーシャルエンジニアリング、操作ミス、パスワードの使い回し、内部の人による持ち出し |
| 物理的な脅威 | 災害、停電、機器の故障、パソコンやUSBメモリの盗難・紛失 |
マルウェア
悪意のあるソフトウェアの総称で、ウイルス、ワーム、トロイの木馬、スパイウェア、ランサムウェアなどがあります。
- ランサムウェアは、データを暗号化して使えなくし、元に戻す代わりに金銭（身代金）を要求します。被害に備える一番の対策はバックアップです。
- 感染の経路は、メールの添付ファイル、不正なWebサイト、修正されていないソフトウェアの弱点（脆弱性）など。OSやアプリを最新の状態に更新することが基本の対策です。
フィッシングとソーシャルエンジニアリング
- フィッシング：銀行や通販サイトなどを装ったメールやSMSで偽のWebサイトに誘導し、IDやパスワード、カード番号を入力させる手口。メールのリンクから開かず、公式アプリやブックマークから確認します。
- ソーシャルエンジニアリング：電話でのなりすまし、肩越しののぞき見、ゴミ箱をあさるなど、人の心理や行動のすきを突いて情報を盗む手口。機器の性能を上げても防げません。
認証とパスワード
よいパスワードの条件
- 長く、英大文字・小文字・数字・記号を組み合わせる
- 名前・誕生日・辞書にある単語など、推測されやすいものを避ける
- サービスごとに別のパスワードにする（使い回すと、一つ漏れただけでほかのサービスにも不正ログインされる）
文字の種類が増え、桁数が長くなるほど、総当たりで試すべき組合せの数は急激に増えます。例えば数字4桁なら 104 = 1万通りですが、英大文字・小文字・数字（62種類）の8桁なら 628 ≒ 218兆通りです。
多要素認証
「知識（パスワード）」「所持（スマートフォン、ICカード）」「生体（指紋、顔）」のうち、異なる種類の要素を2つ以上組み合わせて本人確認する方法が**多要素認証**です。パスワードが漏れても、もう一つの要素がなければログインできません。
ネットワークでの対策
| 対策 | 役割 |
|---|---|
| ファイアウォール | 内部ネットワークとインターネットの境界で、許可されていない通信を遮断する |
| 暗号化 | 通信の内容を第三者に読まれないようにする（HTTPS、無線LANのWPA2・WPA3など） |
| アクセス制御 | 利用者ごとに、見られる情報や操作できる範囲を制限する |
| セキュリティ対策ソフト | マルウェアを検出・駆除する |
ファイアウォールは通信を通すかどうかを決める仕組みで、通信内容を暗号化する働きはありません。無線LANの盗聴を防ぐのは暗号化です（2026年の本試験 第1問 問1 の選択肢）。
情報セキュリティに関する法律
| 法律 | 主な内容 |
|---|---|
| 不正アクセス禁止法 | 他人のID・パスワードを無断で使ってログインするなど、アクセス制限を破る行為を禁止 |
| 刑法（不正指令電磁的記録に関する罪） | 正当な理由なく、コンピュータウイルスを作成・提供・保管する行為を処罰 |
| 個人情報保護法 | 事業者に、個人情報の安全管理などを義務づける（「個人情報とプライバシー」） |
不正アクセス禁止法の対象は「アクセス制限を破る」行為です。誰でも見られるWebサイトを閲覧するだけでは違反になりません。一方で、友達同士でも、無断で他人のパスワードを使ってログインすれば違反になります。
情報モラル
情報モラルは、情報社会で他人に迷惑をかけず、自分も被害にあわないための考え方と態度です。
- 発信の責任：ネット上の投稿は匿名に見えても、発信者を特定できることがあります。悪口やデマの投稿・拡散は、名誉毀損などの法的責任を問われることもあります。
- デジタルタトゥー：一度広まった情報は完全には消せません（情報の特性）。
- 炎上：不適切な投稿が批判を集め、学校や家族まで巻き込むことがあります。
- ネット依存：スマートフォンやゲームを使う時間を自分で管理することも大切です。
共通テストでの出題
- 2026年の本試験 第1問 問1 b：情報セキュリティに関する5つの記述から正しいものを選ぶ問題。不正アクセス禁止法の対象、マルウェア対策、ソーシャルエンジニアリング、可用性、ファイアウォールの役割と、この記事の内容がそのまま問われました。
- 2025年の本試験 第1問 問1 a：デジタル署名で確かめられること（改ざんされていないか）。
- 情報システムの設計：2026年の本試験 第2問A では、アクセスコードが漏れるリスクを減らすシステムの改良が問われました。
よくある間違い
- バックアップは機密性の対策：→ 使えなくなったときに復旧するための、可用性の対策です。
- ファイアウォールで盗聴を防げる：→ 盗聴対策は暗号化です。
- 「パスワード＋秘密の質問」は二要素認証：→ どちらも知識の要素なので、多要素認証ではありません。
- 公開Webサイトの閲覧も不正アクセス：→ アクセス制限を破らない限り、不正アクセスではありません。
まとめ
- 3要素は機密性・完全性・可用性。対策がどの要素を高めるかを判断できるようにする
- 脅威は技術的・人的・物理的の3つ。人的な脅威には、人の行動を見直す対策が必要
- パスワードは長く複雑にして使い回さない。多要素認証で安全性を高める
- ファイアウォールは通信の遮断、暗号化は盗聴対策と、役割の違いを押さえる