情報セキュリティ教本 の商品レビュー

土居範久【監修】,情報処理推進機構【著】

2021/08/08

　情報セキュリティのお勉強。IPAの書籍だから間違いない。

・SYN　Flood攻撃
　TCPコネクションを確立する３ウェイハンドシェイクという手順があります。その手順を悪用して、攻撃目標のホストに対し、TCPの接続要求パケットであるSYNを大量に送りつける攻撃。
・Smarf攻撃
　ICMPの応答パケットを故意に大量発生させる攻撃手法。

・ファイアウォールとIDSの違いは、門番と監視カメラにたとえられます。ファイアウォールはゲートウェイを守る門番として、身分証明書を見て通過させるか否かを決定します。一方、IDSはネットワークの動きを監視し、カメラに収めます。

・インシデントは、「セキュリティ事件・事故」と訳されます。情報セキュリティにおけるインシデントとは、不正アクセス、Dos攻撃、踏み台を使った攻撃などの悪意のある攻撃、ウイルスへの感染、パソコンの盗難などのことをいいます。
　一方、不注意による「パソコンの紛失」などはアクシデントであり、インシデントではありません。インシデントとアクシデントを分けてとらえる必要があるのは、インシデントとアクシデントでは、事前の対応と事後の対応に違いがあるからです。

・適合性評価のための要求仕様の例
ISO/IEC 27001 JIS Q 27001 情報技術―セキュリティ技術―情報セキュリティマネジメントシステム―要求事項
ISO/IEC 15408 JIS Q 5070 情報技術―セキュリティ技法―ITセキュリティの評価基準
ISO/IEC 19790 JIS Q 19790 情報技術―セキュリティ技術―暗号モジュールのセキュリティ要求事項
ISO 9001 JIS Q 9001 品質マネジメントシステム―要求事項
ISO 14001 JIS Q 14001 環境マネジメントシステム―要求事項及び利用の手引

・適合性評価を支える標準類
ISO/IEC 17000 JIS Q 17000 適合性評価―用語及び一般原則
ISO/IEC 17011 JIS Q 17011 適合性評価―適合性評価機関の認定を行う認定機関に対する一般要求事項
ISO/IEC 17021 JIS Q 17021 適合性評価―マネジメントシステムの審査及び認証を提供する機関に対する要求事項
ISO/IEC 17024 JIS Q 17024 適合性評価―要員の認証を実施する機関に対する一般要求事項
ISO/IEC 17025 JIS Q 17025 試験所及び構成機関の能力に関する一般要求事項
ISO/IEC 17050 JIS Q 17050 適合性評価―供給者適合宣言
ISO/IEC Guide65 JIS Q 0065 製品認証機関に関する一般要求事項

2016/10/19

情報セキュリティのうち、マネジメント系の全体像が把握できる良書
ただ、あくまで入り口に過ぎないので、技術系も含め他の書籍や規格にあたる必要がある。

2012/07/11

IPAの公式本ということで、読んで面白いとか、新しい発見があるわけではないが、改訂を重ねてきていることもあり、ガイドラインとしての完成度は高いと思う。

とりあえずどの章に何が書いてあるか抑えておいて、必要に応じてリファレンスとして使用するのであれば、これ一冊で十分なのではないか。

典型的な「1社に1冊」的な本だなと思いました。

2011/03/06

技術的対策と言うより、組織的対策寄りな本。法人で言うと、システム部門より総務部門または役員クラスの人が読むべき本。記述は決して平易ではありませんが、かといって基礎知識が求められるほど、難解でもありません。管理者とユーザーの双方をまたぐ私にとっては、良い頭の整理になりました。特に最後の年表はまとまっていて結構面白かった。