セクションDへようこそ：サイバーリスク — 脅威を理解する
皆さん、こんにちは！P3の学習において最も重要な章の一つへようこそ。現代のデジタル社会において、サイバーリスクは単なるIT部門の「技術的な問題」ではありません。組織の評判、財務、さらには存続にまで影響を及ぼしうる、極めて重大な戦略的リスクです。この章では、試験で押さえておくべきサイバーセキュリティリスクの種類を分かりやすく紐解いていきましょう。
「自分はITの専門家じゃないから」と不安に思う必要はありません。CIMAの試験でプログラミングの知識が問われることはありません！大切なのは、これらのリスクの本質を理解し、適切に管理できるようになることです。ここでは、「デジタル世界の泥棒」が皆さんの会社の建物に侵入しようとする手口を学ぶのだと考えてください。
クイック復習：サイバーリスクとは？
サイバーリスクとは、情報技術システムの何らかの不具合によって、組織が経済的損失や業務中断、あるいは評判の毀損を被る可能性のことを指します。
1. マルウェア：「デジタル世界の病原菌」
マルウェア（Malware）とは、「悪意のあるソフトウェア（Malicious software）」の略です。コンピュータシステムを混乱させたり、ダメージを与えたり、不正にアクセスしたりすることを目的としたソフトウェア全般を指します。配送業者になりすましてオフィスに忍び込む「スパイ」や「破壊工作員」をイメージしてください。
試験で押さえておくべき代表的なマルウェアは以下の通りです：
- ウイルス（Viruses）： 正規のプログラムに寄生します。そのプログラムを実行するとウイルスが拡散されます。生物のウイルスと同じで、メールの添付ファイルのように、コンピュータ間を移動するための「宿主（ホスト）」を必要とします。
- ワーム（Worms）： ウイルスよりも狡猾です。宿主となるプログラムを必要とせず、自分自身で複製を作成し、ネットワークを通じて勝手に広がります。多くの場合、帯域幅を使い切ることでシステムを「詰まらせ（パンクさせ）」ます。
- トロイの木馬（Trojans）： 歴史上の有名な木馬にちなんで名付けられました。便利なソフトウェアを装って侵入します。インストールしてしまうと、ハッカーがシステムに侵入するための「裏口」を開けてしまいます。
- ランサムウェア（Ransomware）： 今、企業にとって最大の懸念事項の一つです。会社のデータを暗号化（ロック）し、解除の対価として（通常はビットコインで）「身代金（Ransom）」を要求します。書類棚に南京錠をかけられ、金を払うまで鍵を渡さないと言われているような状況を想像してください。
覚え方：V-R-T-W
「Very Rude Tech Wizard（非常に無礼な技術魔法使い）」をイメージしてください。（Viruses：ウイルス、Ransomware：ランサムウェア、Trojans：トロイの木馬、Worms：ワーム）
重要ポイント： マルウェアの目的は、システムの破壊やデータの窃取です。予防策としては、アンチウイルスソフトの導入や、システムのアップデート（パッチ適用）が基本となります。
2. ソーシャル・エンジニアリング：「人間へのハッキング」
サイバー攻撃の多くは、技術的な欠陥ではなく「ヒューマンエラー」によって成功してしまうことを知っていますか？ソーシャル・エンジニアリングとは、パスワードや銀行口座情報などの機密情報を、人為的な操作によって聞き出す手法のことです。
- フィッシング（Phishing）： 最も一般的な手法です。銀行やMicrosoftなど、信頼できる相手になりすましたメールを一斉送信し、リンクをクリックさせたりログインさせたりします。データを「釣り上げる（fishing）」行為です。
- スピアフィッシング（Spear Phishing）： フィッシングの標的型攻撃です。攻撃者が特定の人物（例えば経理部長など）を調査し、非常にパーソナライズされたメールを送ります。本物そっくりに見えるため、非常に危険です。
- ベイティング（Baiting）： 魅力的な特典を提示して被害者を誘い込みます。例えば、「役員給与リスト」と書かれたUSBメモリを駐車場に放置しておきます。好奇心旺盛な誰かがそれを拾ってPCに挿した瞬間、マルウェアがインストールされるという仕組みです。
身近な例： もし「緊急：P3試験の結果が出ました。ここからログインしてください」というメールが届き、リンク先が怪しいウェブサイトだったとしたら…それこそがフィッシングの試みです！
よくある間違い： 「フィッシング」と「ハッキング」を混同しないようにしましょう。フィッシングは人を騙すこと、ハッキングは技術的なスキルを駆使してシステムを突破することです。
3. サービス拒否（DoS）攻撃
サービス拒否（Denial of Service：DoS）攻撃は、必ずしもデータを盗むことが目的ではありません。その目的は、マシンやネットワークをダウンさせ、正当なユーザーが利用できないようにすることです。
- 仕組み： 攻撃者がサーバーに大量の「偽の」トラフィックを送り込み、サーバーをクラッシュさせるか、動作を極端に遅くして正当な顧客が利用できない状態にします。
- 分散型サービス拒否（DDoS）攻撃： DoS攻撃の「強化版」です。感染したコンピュータ（「ボット」や「ボットネット」と呼ばれます）のネットワークを悪用し、一斉に一つの標的を攻撃します。まるで1万人が一度に一つの回転扉を通ろうとして、全く動かなくなってしまうような状態です！
重要ポイント： これらの攻撃は可用性（Availability）をターゲットにしています。オンラインストアにアクセスできなくなれば、会社は収益を失い、信用も失墜してしまいます。
4. ハッキングと不正アクセス
ハッキングとは、コンピュータシステムやネットワークの弱点を見つけ出し、悪用することで、データへの不正なアクセスを得る行為を指します。
- 中間者攻撃（Man-in-the-Middle：MitM）： 攻撃者が二者間の通信を「盗聴」する手法です。例えば、カフェの暗号化されていない公共Wi-Fiを使用していると、ハッカーがその「中間に」入り込み、あなたが銀行のウェブサイトに送信する内容を全て覗き見ることができてしまいます。
難しく感じるかもしれませんが、大丈夫です： MitMは要するにデジタルの「盗聴」だと覚えておけばOKです。これを防ぐために、企業はデータを「暗号化（第三者が読めないようにスクランブルをかけること）」しています。
5. 内部者脅威
ハッカーというと、暗い部屋にいる謎の人物を思い浮かべがちですが、脅威は組織の内側から発生することもあります。内部者脅威は大きく二つに分類されます：
1. 悪意のある内部者： 不満を抱いた従業員が、意図的にデータを盗んだりシステムを妨害したりするケース（例：競合他社へ転職する前に顧客リストを盗む営業担当者など）。
2. 過失のある内部者： 悪気はないもののミスをしてしまう従業員。機密データが入ったスプレッドシートを誤送信してしまったり、パスワードで保護されていない会社のノートPCを紛失してしまったりするケースです。
知っていましたか？ 多くの研究によれば、「過失のある内部者」による情報漏洩の方が、実際のハッカーによるものよりも多いと言われています！
まとめとクイック復習
サイバーリスクの種類を整理するために、P3の古典的な概念であるCIAの3要素（CIA Triad）と、それらがどのように攻撃されるかを見てみましょう：
- 機密性（Confidentiality：秘密を保つ）： フィッシング、ハッキング、マルウェア（スパイウェア）によって攻撃されます。
- 完全性（Integrity：データを正確に保つ）： 中間者攻撃や、データが改ざんされる不正なハッキングによって攻撃されます。
- 可用性（Availability：システムを稼働し続ける）： DoS攻撃、DDoS攻撃、ランサムウェアによって攻撃されます。
試験のための重要ポイント：
- サイバーリスクはITリスクではなく、ビジネスリスクである。
- マルウェア、ソーシャル・エンジニアリング、DoS攻撃が「外部脅威の3大要素」。
- 人（内部者）はセキュリティチェーンにおいて最も弱い環（リンク）になりやすい。
- 組織は「セキュリティ」と「利便性」のバランスを取らなければならない（セキュリティを厳しくしすぎると、従業員はそれを回避する方法を探してしまうため！）。
ここまでよく頑張りました！これらのリスクを理解することは、会社がそれらにどう対応すべきかを評価するための第一歩です。この調子で進んでいきましょう！