ITパスポート 完全攻略④|情報セキュリティ・生成AI最新技術【暗号化・サイバー攻撃・機械学習】
ITパスポート対策の第4回です。テクノロジ系の中でも「セキュリティだけで15問前後」出題される最重要分野と、シラバス6.x対応の生成AI・機械学習の最新技術を扱います。
情報セキュリティの3大要素(CIA)
- 機密性(Confidentiality):許可された人だけが情報にアクセスできること(暗号化、アクセス権設定)
- 完全性(Integrity):情報が改ざんされず正確で最新の状態であること(ハッシュ値、デジタル署名)
- 可用性(Availability):許可された人が必要なときに情報へアクセスできること(二重化、UPS、バックアップ)
※近年追加された4要素:真正性、責任追跡性、否認防止、信頼性。
暗号化技術とデジタル署名(仕組みの完全整理)
共通鍵暗号方式:暗号化と復号に同じ鍵を使用。高速だが鍵の配送・共有が困難(AESが代表例)。
公開鍵暗号方式:公開鍵で暗号化し、受信者本人の秘密鍵でのみ復号。鍵管理は楽だが処理が遅い(RSAが代表例)。
秘密通信(盗聴防止):送信者は「受信者の公開鍵」で暗号化→受信者は「受信者の秘密鍵」で復号。
デジタル署名(改ざん検知・なりすまし防止):送信者は「送信者の秘密鍵」でハッシュ値を署名→受信者は「送信者の公開鍵」で検証。
鉄則:暗号化通信は相手の公開鍵で暗号化・相手の秘密鍵で復号。デジタル署名は本人の秘密鍵で署名・本人の公開鍵で検証。
認証技術
多要素認証(MFA):①知識情報(パスワード、暗証番号)②所持情報(スマホSMS認証、ICカード)③生体情報(指紋、顔、虹彩)のうち異なる2つ以上を組み合わせる。「パスワード」と「暗証番号」はどちらも知識情報のため多要素認証にはならない(単なる多段階認証)。
サイバー攻撃手法一覧
| 攻撃名 | 手口と特徴 |
|---|---|
| フィッシング | 偽のメールや偽サイトでID・パスワードやカード番号を盗む |
| 標的型攻撃 | 特定の企業・組織を明確にターゲットにし業務連絡を装いマルウェア感染させる |
| APT攻撃 | 執拗に多様な手段で長期間潜伏し機密情報を盗み出す高度な標的型攻撃 |
| ランサムウェア | ファイルを暗号化し使えなくし、復号と引き換えに金銭を要求 |
| サプライチェーン攻撃 | 対策が手薄な下請け・取引先を踏み台にして本丸へ侵入 |
| ゼロデイ攻撃 | 脆弱性発見から修正パッチ提供までの無防備な期間を突く攻撃 |
| 水飲み場攻撃 | 標的がよく閲覧するサイトを改ざんしマルウェア感染させる |
| DNSキャッシュポイズニング | DNSサーバに偽情報を注入し偽サイトへ誘導 |
| SQLインジェクション | 入力欄に不正なSQL文を注入しDBを不正操作 |
| XSS | 入力欄に悪意あるスクリプトを仕込み別ユーザーのブラウザで実行させる |
WEPは危険:無線LANの暗号化規格WEPは重大な脆弱性があり専用ツールで数分で解読される。WPA3(またはWPA2-AES)を使用すべき。
最新テクノロジー:生成AI
- LLM(大規模言語モデル):大量のテキストデータから統計的パターンを学習した自然言語処理AIモデル
- ハルシネーション:AIがもっともらしい嘘や事実と異なる情報を生成する現象
- RAG(検索拡張生成):生成AIが外部信頼情報をリアルタイムで検索・取得し内容を踏まえて回答を生成。AIモデル自体は再学習させず、ハルシネーションを抑制できる
- ファインチューニング:事前学習済みモデルに特定業務の追加データを与えて再学習させる
- プロンプトインジェクション:悪意ある指示文でAIの安全フィルターを無効化・突破する攻撃
- Few-shotプロンプティング:指示の中に入力例と期待される出力例を提示して精度を高める手法(例を与えないのはZero-shot)
- CoT(思考の連鎖):「ステップバイステップで考えて」と指示し複雑な推論の正答率を向上させる手法
AIと著作権:学習段階は著作権法第30条の4に基づき、著作権者の許諾なく著作物を学習データとして利用できるのが原則(情報解析目的)。ただし生成・利用段階で既存著作物との「類似性」「依拠性」が認められる場合は生成物の利用・公開が著作権侵害になる。
機械学習とデータサイエンス
- 教師あり学習:入力データと正解ラベルをセットで学習。回帰(数値予測)と分類(カテゴリ分け)
- 教師なし学習:答えを与えずデータの構造を見つける。クラスタリング(似た特徴でグループ分け)
- 強化学習:試行錯誤し報酬が最大になる行動ルールを自律学習(囲碁AI、自動運転)
- 過学習:訓練データに適合しすぎて未知データへの予測精度が落ちる状態
先端技術辞典
- エッジコンピューティング/エッジAI:端末に近い場所でデータ処理・AI推論を行い通信遅延を削減
- ゼロトラスト:社内ネットワーク内外を区別せず全通信を検証・認証するセキュリティ概念
- ブロックチェーン:暗号技術とP2Pネットワークによる分散型台帳技術。改ざんが極めて困難
- MLOps:機械学習モデルの開発と運用を統合し再学習・デプロイを自動化する手法
- ダークパターン:ユーザーを欺いて意図しない定期購読等を結ばせる悪質なUI/UX設計
- 量子コンピュータ/耐量子暗号(PQC):量子力学を利用した次世代計算機と、それでも破られない新暗号方式
- Web3:ブロックチェーン等でデータを分散管理し、ユーザー自身がデータ主権を取り戻す概念
実践演習:公開鍵暗号とデジタル署名
問題:AさんはBさんに暗号化したメールを送信し、改ざんされていないこと・Aさんからの送信であることをBさんが確認できるようデジタル署名を付与したい。暗号化とデジタル署名作成に使用する鍵の組み合わせは?
正解:暗号化には「Bさんの公開鍵」、デジタル署名には「Aさんの秘密鍵」。暗号化はBさんしか復号できないようBさんの公開鍵を使用。署名はAさん本人しか持たない秘密鍵で作成し、Bさんは「Aさんの公開鍵」で検証する。
次回は最終回「厳選演習問題10問+直前チェックリスト」編で、財務分析・EVMS・ネットワーク計算などの総合演習を扱います。
コメント
コメントを投稿