Ｑ46 用語

項番

Q46-9

Q46-24

Q46-8

Q46-20

Q46-19認知順位

認知数（N=429)

表記

説明(概略）

参考：(2017年11月末時点）

追加コメント「匿名加工情報」とは、個人情報を個人情報の区分に応じて定め 個人情報の保護に関する法律にられた措置を講じて特定の個人を識別することができないように加 ついてのガイドライン（匿名加工
工して得られる個人に関する情報であって、当該個人情報を復元 情報編）平成28年11月（平成29
して特定の個人を再識別することができないようにしたものをい年３月一部改正）個人情報保護う。
委員会

1237 匿名加工情報

2

音声の認識、画像の特定、予測など人間が行うようなタスクを実行できるようにコンピューターに学習させる手法です。
ディープ・ラーニングでは、人間がデータを編成して定義済 https://www.sas.com/ja_jp/insights ディープラーニングは機械学習の中の手法の一つ。従来の機械学
ディープラーニング（深層215
みの数式にかけるのではなく、人間はデータに関する基本的 /analytics/deep習と異なり、ニューラルネットワークを何層も重ね、データ分析、学学習）
習能力を強化したもの。
なパラメータ設定のみを行い、その後は何層もの処理を用い learning.html#deepworld
たパターン認識を通じてコンピューター自体に課題の解決方法を学習させます。

345195 WAF

WAF(Web Application Firewall)
外部ネットワークからの不正アクセスを防ぐためのソフトウェア（あhttp://www.sophiaるいはハードウェア）であるファイアーウォールの中でも、Webアプ
it.com/content/WAF
リケーションのやり取りを把握・管理することによって不正侵入を防御することのできるファイアウォールのことである。

WAFの特徴としては、従来のファイヤーウォールがネットワークレベルで管理していたことに対して、WAFはアプリケーションのレベルで管理を行う、といった点を挙げることができる。SQLインジェクションやクロスサイトスクリプティング、強制ブラウジングといった要求に対して、「攻撃」と見なして拒絶することができる。

194 ブロックチェーン

ブロックチェーン(Blockchain)
仮想通貨のビットコインを支える技術で、取引情報を分散管理する仕組み。
http://itpro.nikkeibp.co.jp/atcl/key
すべての取引情報をネットワーク上のコンピュータで共有している word/14/463081/111600115/
ため、1台のコンピュータで障害が発生しても継続して使用できる。
また、改ざんされにくいという特徴がある。

銀行間取引にブロックチェーンを使用する実証実験が国内で相次いで行われている。みずほフィナンシャルグループ、三井住友銀行、三菱UFJフィナンシャル・グループの3大メガバンクとデロイトトーマツ グループによる実証実験が2016年1月から9月にかけて行われた。

191 CSIRTCSIRTは、Computer Security Incident Response Teamの略で、サイバー攻撃などのセキュリティインシデントに対処するための組織の総称。
http://www.nca.gr.jp/outline/
インシデント関連情報、脆弱性情報、攻撃予兆情報の収集や分析、インシデント対応の方針や手順の策定などを行う。

CSIRTの役割は「消防」にたとえられる。CSIRTがあることでサイバー攻撃やウイルス感染などのセキュリティインシデントへの迅速で適切な対応が可能となり、被害を最小限に抑えることができると期待されている。
CSIRTは組織内や組織外の関係者と連携して巧妙化・複雑化するサイバー攻撃への対応にあたる。

Ｑ46 用語項番

Q46-12

認知順位

認知数（N=429)6表記

説明(概略）

参考：(2017年11月末時点）

追加コメント

世界的に最も普及しているWebサーバ(HTTPサーバ)ソフトウェアのApache。普及しているがゆえに、脆弱性が発見されると大きな問題となる。2017年3月に公表された脆弱性は、ファイルをアップ
https://itpro.nikkeibp.co.jp/atcl/col
187 Apache Struts2の脆弱性 ロードする時に使う機能「Jakarta Multipart parser」にあった。
umn/14/346926/032100893/
第三者がこの脆弱性を突くHTTPリクエストを送信すると、StrutsのWebアプリケーションを実行するサーバー上で任意のコードが動かせてしまう。つまり、悪意のあるプログラムでも実行できてしまう。

170 フィンテック

2016年5月25日の参議院本会議でフィンテック法案（改正銀行法
フィンテック(Fintech)は、金融を意味する「ファイナンス（Finance）」
http://www.fujitsu.com/jp/group 案関連と改正資金決済法案）が可決された。今後フィンテックの普と、技術を意味する「テクノロジー（Technology）」を組み合わせた/fri/businesstopics/fintech/defi 及が加速すると見られている。
造語。
nition/
改正銀行法には、仮想通貨交換業に係る法制度の整備などが盛金融とITを融合した従来にない新しいサービス。
り込まれている。

122 SOCCSIRTがインシデントの対応に重点を置くのに対して、SOCはインシデントの検知に重点を置いている。
SOC(Security Operation Center)
従来は、情報システム部門等がシステムやネットワークの管理を
http://securityblog.jp/words/soc
ネットワークやサーバのセキュリティアラートを統合的に監視し、サ行いながら監視を行っていたが、高度化するサイバー攻撃への対.html
イバー攻撃の検出、分析、通知、対応策のアドバイスなどを行う。
応に高い専門性が求められることと、頻発するサイバー攻撃に適切に対処する必要があることから専門組織としてSOCが設けられるようになった。

9117 ダークネット

インターネット上で到達可能なIPアドレスのうち、特定のホストコンピュータが割り当てられていないアドレス空間のことである。
https://www.weblio.jp/content/
ダークネットは未使用のIPアドレスであり、通常はダークネットに対 ダークネットしてパケットが送信されることはほとんどない。しかし実際には、ダークネット上で相当数のパケットが観測されるという。

10

情報セキュリティ監査を公正・公平に実施するため、監査人に求め経済産業省が施行した「情報セキュリティ監査制度」に基づき、特公認情報セキュリティ監査
http://www.jasa.jp/qualification/abo られる知識・経験・技術に応じて、「公認情報セキュリティ主任監査104
定非営利活動法人日本セキュリティ監査協会(JASA)が情報セ
ut.html
人資格制度
人」「公認情報セキュリティ監査人」「情報セキュリティ監査人補」キュリティ監査人を認定する制度。
「情報セキュリティ監査アソシエイト」の4つの資格を認定する。

Q46-2

1199 MITB攻撃MITB(Man in the Browser)
正規のオンラインバンキングサイトにユーザが正規の認証プロセPCに感染したウイルスがWebブラウザとサーバの通信を傍受してスでログインした後、ウイルスがブラウザを乗っ取りデータを改ざ
http://securityblog.jp/words/79
乗っ取り、一部を改ざんするサイバー攻撃。
んして不正送金を行う。通信の暗号化や認証の強化で防ぐのは難0.html
オンラインバンキングのログイン後、ユーザに気づかれずに不正しく、銀行側もユーザ側も間のウイルスによって不正が行われてい送金を行う。
ることに気づきにくい。

Q46-231290 SMB v1の脆弱性

SMBv1とはSMB バージョン1.0のことで、Windows 2000のころから
Windows Vista, Windows Server 2008からSMB V2も実装され、使われている古いファイル共有プロトコルである。そしてWannaCry http://www.atmarkit.co.jp/ait/articl
Windows 8.1, Windows Server 2013R2以降では、SMB V1を削除しes/1705/17/news043_3.html
が悪用したMS17-010の他、MS16-114のようにしばしば脆弱性がて機能を無効化することも可能。
見つかっている。

Q46-21

Q46-18

Q46-4

Q46-1078

Ｑ46 用語項番

Q46-17

認知順位

13

認知数
（N=429)表記

説明(概略）

参考：(2017年11月末時点）

89 CISACISAとは情報システムの監査および、セキュリティ、コントロールに関する高度な知識、技能および経験を有するプロフェッショナル
https://cisa.jp.net/とてISACA（The Information SystemsAudit and Control
Association, Inc. 情報システムコントロール協会）が認定する国際資格。日本語では「公認情報システム監査人」と称する。

追加コメント

Q46-1314

87 RSA Conference

世界的なセキュリティのイベント。
年1回、アメリカのほかヨーロッパやアジアで開催され、セキュリ
1991年に暗号やインターネットセキュリティに関する情報交換の場
ティに関する講演、企業による展示会、CTF(Q50-5参照)が行われ https://japan.emc.com/microsites/j としてアメリカで開催されたのがはじまり。
apan/techcommunity/learn/foundatる。
2016年のアジアでは、2016年7月20日～22日にシンガポールで開ion/rsa-qa3.htm
幅広い分野のセキュリティの専門家や様々な業種の企業の関係催された。
者が参加している。

Q46-3

15

86 エクスプロイト

エクスプロイト(exploit)とは、スクリプト、あるいはプログラムの1つ https://itエクスプロイトは、英語で偉業・手柄・功績を意味する単語。クラッで、コンピュータ関連においてソフトウェアやハードウェアの脆弱性 words.jp/w/E382A8E382AFE382B9
E38397E383ADE382A4E38388.html カーの間ではそれをスラングとして用いていた。
を利用し、悪意を持った行為のために書かれたものである。

84 セキュリティレジリエンス

セキュリティに対する回復力、耐久性
レジリエンス(resilience)〔病気・不幸・困難・苦境などからの〕回復力、立ち直る力、復活力「脆弱性 (vulnerability) 」の反対の概念

83 Security Intelligence

従来のウイルス対策ソフトやファイアウォールが連携を考慮しない
http://itポイントのセキュリティ対策であったのに対し、様々なデータを一Security Intelligence(セキュリティ・インテリジェンス)
words.jp/w/E382BBE382ADE38
元的に収集し相関関係を分析することで、組織内部に潜む脅威をシステムや機器が出力する大量のデータを収集、分析することで 3A5E383AAE38386E382A3E382
可視化する。
セキュリティを総合的に捉える考え方。
A4E383B3E38386E383AAE382B
標的型攻撃のような個々の対策の隙を突く攻撃のリスクを減らす
8E382A7E383B3E382B9.htmlことが可能になる。

Q46-1

Q46-14

Q46-16

Q46-7

16

1718

1959

Bug Bounty（バグ発見報奨）

56 SIEMhttps://dictionary.goo.ne.jp/ej/70899/meaning/m0u/Resilience/https://eow.alc.co.jp/search?q=v
ulnerability

Bug Bounty Program(バグバウンティプログラム)
自社のソフトウェアに存在する脆弱性を見つけ報告した発見者に http://business.nikkeibp.co.jp/atcl/r 外部のセキュリティ研究者に脆弱性を指摘してもらうことで、セキュeport/15/061700004/040600092/?r リティ問題の早期解決、サービスや品質の向上が可能になる。
報奨金を支払う制度。
Google、Microsoft、Facebook、LINE、サイボウズなどが実施してい t=nocnt
企業側は少ないコストでセキュリティ向上を図ることができる。
る。
従来、不正検知には主にIDS（不正侵入検知システム）が用いられてきた。しかしIDSでは、不正だと思われるパケットを検知したときSIEM (Security Information and Event Management)に、ウイルス対策ソフトやサーバのログを併せて分析することで、さまざまなシステムや機器のログを一元的に管理し、異常や不正不正検知の精度を高める、ということができなかった。
を検知するセキュリティシステム。
http://itpro.nikkeibp.co.jp/atcl/c
SIEMでは、収集したログを一元管理・分析することで、IDSよりも不サーバ、ネットワーク機器、セキュリティ関連機器、アプリケーショ olumn/14/494329/051400097/
正検知の精度を高められる。しかし、「どういう条件のとき不正と見ンなどから収集したログ情報を組み合わせて分析し、異常や不正なすか」の基準は、組織のシステム環境に大きく依存し、なおかつを検知する。
システム環境の変更やサイバー攻撃の変化に合わせて更新する必要があるため、運用の負荷が大きいというデメリットもある。

Ｑ46 用語項番

Q46-15

Q46-11

Q46-5

認知順位

202122

認知数（N=429)表記

説明(概略）EDR（Endpoint Detection and Response）
端末の挙動（システムアクティビティ）を記録し、その調査・解析によって脅威侵入の原因や経路、影響範囲を割り出す仕組みのこEDR（Endpoint Detection
46と。
and Response）
標的型サイバー攻撃が高度化するる中で、早期解決のため注目されている。

参考：(2017年11月末時点）

追加コメントhttps://www.infosec.co.jp/colum 近年は、標的型サイバー攻撃などによって、標的組織用に個別化
n/EDR%EF%BC%88Endpoint%20D された攻撃が仕掛けられ、攻撃によって端末に「未知の脅威」が侵
etection%20and%20Response%EF 入するリスクが常に存在する。これらの潜在脅威や侵入原因など%BC%89%E3%81%A8%E3%81%AF% を調べ上げる能力が弱ければ、被害拡大のおそれが強まることがEF%BC%9F.html
背景となって、近年はEDR製品に注目が集まっている。

40 OWASP

代表的なプロジェクトとしてはOWASP Top 10がある。これは、3年OWASP（Open Web Application Security Project）に1度公開される、ウェブアプリケーションにおける重要な脆弱性
ウェブアプリやウェブサービスのセキュリティの促進を目的とした
https://www.owasp.org/index.ph やその脆弱性を作りこまないようにする方法などを示したドキュメ
共同研究や関連活動を行う非営利団体。
p/Japanントであり、組織のウェブアプリケーションのセキュリティ要件としフリーでオープンな形でのツール・ドキュメントの提供や、定期的なて、「OWASP Top 10に掲載されている脆弱性に対応できているこ国際的会議等による研究・啓蒙活動を実施している。と」を定めているところも多い。

37 CTF

CTF(Capture The Flag)
セキュリティ技術の競技。パケット分析、プロトコル解析、システム管理、プログラミング、暗号解読などの知識や技能を競い合う。
問題を解くと「Flag」が得られるクイズ形式と相手のサーバに「Flag」 http://www.jnsa.org/seccon/を立てる攻防戦形式のCTFがある。
CTFを通して防御、解析、攻撃技術を実践的に学ぶことができ、セキュリティ人材を発掘・育成する場として活用する動きがある。

Q46-6

23

33 eディスカバリ

Q46-2224

29 FIDO

毎年ラスベガスで開催される世界最大規模のセキュリティの会議
DEFCONでのCTFが有名。日本でも経済産業省、警察、IPA等が後援するSECCONが毎年開催されている。

eディスカバリでは、企業に存在するすべての電子データから訴訟に関係する電子データを収集し提出する必要がある。しかし、企業内に存在する電子データ量は膨大であり、訴訟関連の情報だけをeディスカバリ(Electronic discovery、e-discovery）
漏れなく把握することは簡単ではない。また、電子データは容易に
http://www.sbbit.jp/article/cont
アメリカにの電子証拠開示制度で、民事訴訟における電子的に保情報を更新できるため、誤った扱いをすると証拠として認められ1/28807
存されている情報の証拠開示手続きのこと。
ず、削除・隠蔽の疑いによりペナルティを課されて訴訟に不利に働くこともある。
昨今の民事訴訟では、弁護士や証拠保管者（Custodian）に対応する時間に加え、eディスカバリ対応に費やすコストも大きくなって
現状では、インターネットを通してパスワードで認証を行っているが、FIDOによる認証では、デバイスによる個人の認証と、オンライFIDO（Fast IDentity Online）
http://kンサーバによるデバイスの認証を分離して行う。
生体認証やジェスチャー認証などを利用した多要素認証のこと。 tai.watch.impress.co.jp/docs/col このようにFIDOの特徴として、ユーザー視点では「パスワードを憶パスワードに代わる新しい認証技術の一つとして期待されている。 umn/keyword/759872.html
えなくて済む」こととと、「個人認証に用いる認証情報そのものはネットワーク上に流れず、サーバ上から漏れることもない」ということがある。