情報セキュリティ用語の定義(2)

先日紹介した他にも情報セキュリティの分野でよく使用される用語がありますので，以下に定義しておきます．いずれもJIS規格からの引用です．

脅威，脆弱性，リスク，攻撃

脅威(threat)： JIS X 0008:2001 08.05.04
セキュリティの潜在的な違反．

ぜい(脆)弱性(vulnerability)： JIS X 0008:2001 08.05.08
データ処理システムの弱点または欠陥．

危機(risk)： JIS X 0008:2001 08.05.09
特定の脅威がデータ処理システムの特性のぜい弱性を利用する可能性．

攻撃(attack)： JIS X 0008:2001 08.05.19
セキュリティに違反しようとする試み．例 悪意ある論理，盗聴．

車の例に置き換えると，「車上荒らし」「盗難」などが脅威になります．脆弱性は鍵をかけても車の中の物が盗まれてしまうような弱点を指します．車の鍵をロックしてしまい，JAFを呼んで開けてもらうことがありますが，道具があって方法さえ知っていれば鍵を無効化出来てしまうような状態は，実は脆弱性があることになります．

危機とは，例えば泥棒が前述のような方法で鍵を開けて中の物を盗む可能性を指します．最近はむしろ，「リスク」という言葉の方が一般的です．実際の被害額などの「損失」とは区別します．

攻撃は文字通り鍵をこじ開けたり，窓ガラスを割ったりするような行為です．

セキュリティ方針，資源

セキュリティ方針(security policy)： JIS X 0008:2001 08.01.06
セキュリティを提供するために採用した，計画又は一連の行動．

資源，計算機資源(resource, computer resource)： JIS X 0001:1994 01.01.23
要求された操作を遂行するのに必要なデータ処理システムの要素．例 記憶装置，入出力装置，処理装置，データ，ファイル，プログラム．

セキュリティ方針とは，情報セキュリティをどのように実施するかを決めたものです．車の例では，子供を車に乗せるときの「しつけ」と考えるとわかりやすいと思います．例えば，窓から首を出さない，シートベルトをつけるというような，車に乗る上で必要な事柄を「乗せた子供の安全を守る」という「方針」で表します．

資源や計算機資源というのは，利用できるものすべてを指します．車は移動手段ですから，それを実現するために必要なものすべてを指します．自動車ではハンドルやブレーキ，アクセル，座席などの表面に見えるものもありますし，エンジンやバッテリーなど普段は見えないけれども車を動かすために必要なものもあります．これらのものを「資源」とよび，コンピュータに対しては「計算機資源」と呼んでいます．