セキュリティコントロールの世界へようこそ！
CIMA受験生の皆さん、こんにちは！現在、P3（リスク管理）シラバスのセクションD：サイバーリスクを学習中です。この「セキュリティコントロール」という章は、いわば防御の要（かなめ）です。サイバー脅威がどのようなものかを理解した今、それらをどのように防ぐべきかを学んでいきましょう。
セキュリティコントロールは、銀行の金庫を守るさまざまな防護層のようなものだと考えてください。侵入者を威嚇するもの、侵入そのものを阻むもの、そして侵入されたことを知らせるものなどがあります。少し専門的に聞こえるかもしれませんが、身近な例を挙げながら分かりやすく解説していくので安心してくださいね！
1. セキュリティコントロールとは？
簡単に言うと、セキュリティコントロールとはサイバー脅威のリスクを低減するために講じられるあらゆる対策のことです。その目的は、データの機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）、いわゆるCIAを守ることです。
これらのコントロールは、一般的に次の3つの「バケツ（カテゴリ）」に分類されます。
1. 物理的コントロール： 手で触れることのできるもの。物理的な環境を保護します。
例：ドアの鍵、監視カメラ（CCTV）、警備員など。
2. 論理的（技術的）コントロール： システム内部のデータを保護するためのソフトウェアやハードウェアの設定です。
例：パスワード、ファイアウォール、暗号化など。
3. 管理的（手続き的）コントロール： 経営層によって定められた「ルール」や方針です。
例：従業員研修、身元調査、セキュリティポリシーなど。
クイックレビュー
質問：「クリアデスク・ポリシー（離席時に机の上を片付けるルール）」は、物理的コントロールでしょうか、それとも管理的コントロールでしょうか？
答え：管理的コントロールです。なぜなら、それは従業員が守るべきルールや手順だからです。
2. 機能によるコントロールの分類
ここは試験で頻出のトピックです！コントロールは「何であるか」だけでなく、「何をするか」によっても分類されます。以下の分類を覚えるときは、犯罪が発生するタイムラインをイメージしてみましょう。
A. 抑止的コントロール（Deterrent）
攻撃を未然に思いとどまらせるためのものです。攻撃者の心理に働きかけます。
例え：「猛犬注意」という看板。実際に犬がいるかどうかは分かりませんが、泥棒は二の足を踏みますよね！
B. 予防的コントロール（Preventive）
攻撃の成功を物理的に阻む「壁」です。不正アクセスをブロックします。
例え：玄関ドアの高性能なデッドボルト（錠）。
C. 発見的コントロール（Detective）
攻撃が発生している、または既に発生したことを特定します。攻撃そのものは止められませんが、アラームを鳴らします。
例え：火災報知器や人感センサー付きアラーム。
D. 修正的コントロール（Corrective）
インシデント発生後に被害を修復し、システムを通常の状態に戻すのを助けます。
例え：火災が発生した際に自動的に消火するスプリンクラーシステム。
E. 回復的コントロール（Recovery）
修正的コントロールよりもさらに一歩踏み込み、バックアップなどを使ってシステムを元の状態に完全に復元します。
例え：火災後の保険金を使って家を再建すること。
暗記のコツ：「D-P-D-C-R」
Dogs Protect Doors, Cats Run. と覚えましょう。
(Deterrent：抑止的、Preventive：予防的、Detective：発見的、Corrective：修正的、Recovery：回復的)
3. 主要な論理的（技術的）コントロール
サイバーリスクのセクションですので、ハッカーを寄せ付けないための技術的なツールに注目しましょう。専門用語に怖じ気づかないでくださいね！
暗号化（Encryption）
暗号化とは、読み取り可能なデータ（平文）を、鍵がないと読み取れないめちゃくちゃな状態（暗号文）に変換することです。
- 共通鍵暗号方式： 送信者と受信者が同じ鍵を使ってデータをロック・解除します。高速ですが、鍵を安全に共有する方法を考える必要があります。
- 公開鍵暗号方式： 誰でもデータをロックできる「公開鍵」と、所有者だけが解除できる「秘密鍵」を使います。郵便受けのようなもので、誰でも手紙（データ）を投函できますが、中身を開けられるのは鍵を持つ持ち主だけです。
ファイアウォール（Firewalls）
ファイアウォールは、内部ネットワークとインターネットの間の「用心棒」として機能します。入ってくる通信と出ていく通信を検査し、ルールに基づいて許可するかどうかを判断します。
アクセス制御：識別と認証
混同しやすいポイントですが、整理しましょう。
- 識別（Identification）： 自分が誰であるかを名乗ること（例：ユーザー名の入力）。
- 認証（Authentication）： 自分が本人であることを証明すること（例：パスワードの入力や指紋スキャン）。
多要素認証（MFA）： 2つ以上の方法で本人確認を行うことです。通常、以下の組み合わせで行われます。
1. 知識要素： 知っていること（パスワード）。
2. 所有要素： 持っているもの（スマホに届くコード）。
3. 生体要素： 本人そのもの（指紋や顔認証）。
4. 全般的コントロールとアプリケーションコントロール
CIMAの試験では、この両者の違いも頻出です。ITシステムがどのように監査されるかを理解する上で非常に重要です。
全般的ITコントロール（GITCs）
IT環境全体に適用されるものです。「建物全体」の安全を確保します。
例：サーバー室の物理的なセキュリティ、全従業員に対するパスワードポリシー、災害復旧計画（ディザスタリカバリ）など。
アプリケーションコントロール
特定のソフトウェアアプリケーション（給与システムや会計ソフトなど）に特化したものです。そのプログラムによって処理されるデータの正確性と完全性を保証します。
例：
- 入力コントロール： データが妥当かチェックする（例：給与欄にマイナスの数字が入力されないようにする）。
- 処理コントロール： 計算が正しいかチェックする（例：借方合計と貸方合計が一致しているか）。
- 出力コントロール： レポートが正しい宛先に送られるかチェックする。
まとめ：ここが重要！
全般的コントロール＝インフラに関すること（建物全体）。
アプリケーションコントロール＝特定のタスク内のデータに関すること（部屋の中にあるファイルキャビネット）。
5. よくある間違いを避けよう
- 技術さえあれば大丈夫という思い込み： 多くのサイバー侵害はヒューマンエラーが原因です。だからこそ、管理的コントロール（研修）は、論理的コントロール（ファイアウォール）と同じくらい重要です。
- 発見的と予防的の混同： イベントの発生を止めるのが予防的、発生していることを教えてくれるのが発見的です。
- 「最小権限の原則」を軽視する： 従業員には、業務に絶対に必要なデータにのみアクセス権を与えるべきです。全員に「管理者」権限を与えるのは大きなリスクです！
知っていますか？
ほとんどのセキュリティシステムにおいて、「最も弱いリンク」はコンピューターのバグではなく、ソーシャルエンジニアリングです。これは、ハッカーが人を騙してパスワードを教えさせたり、リンクをクリックさせたりする手法です。そのため、P3シラバスでは「サイバーセキュリティ文化」と定期的なスタッフ研修が重要なセキュリティコントロールであると考えられています！
P3受験生への最後のアドバイス
サイバーリスクの技術的な側面が最初は圧倒的に感じるかもしれませんが、心配はいりません。常に自分自身にこう問いかけてみてください：「このコントロールは何を達成しようとしているのか？脅威を止めるものか、見つけるものか、それとも発生後のトラブルを修正するものか？」 これを答えられるようになれば、この章の核心をマスターしたも同然です！