🦉 Episode 9: 城壁と門番 --- 情報セキュリティ管理

火曜の朝、カイロウはオフィスに着くなり先輩から声をかけられた。

💼「カイロウ、昨日はフレームワークと法規制——つまり『何を基準にするか』を学んだ。今日は実践だ。基準に沿って『具体的にどう守るか』を見ていく」

🦉「具体的に、というのは？」

💼「情報セキュリティの3本柱を覚えているか？ CIA——機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）。今日のクライアント訪問では、この3つがどう実装されているかを確認する」

---

認証と認可 --- 「あなたは誰か」と「何ができるか」

クライアント先のTechVault社に到着すると、受付でIDカードをかざして入館した。

🦉「この入館システム、情報セキュリティの仕組みと似ていますか？」

💼「まさにそうだ。まず認証（Authentication） ——『あなたは誰か』を確認する。IDカードを見せて本人確認する段階だ。次に認可（Authorization） ——『あなたは何ができるか』を決める。入館はできるが、サーバールームには入れない、という具合だ」

🦉「認証と認可は別の概念なんですね」

💼「そうだ。認証は『身元確認』、認可は『権限付与』。この順番が重要で、認証なしに認可はあり得ない」

IT部門の責任者が3つの認証方式を説明してくれた。

🧑‍💻「うちでは多要素認証を導入しています。パスワード（知識要素）とスマートフォンのワンタイムコード（所有要素）の組み合わせです」

💼「3つの認証要素——知識（Something you know）、所有（Something you have）、生体（Something you are） ——のうち、異なるカテゴリから2つ以上を組み合わせたものが多要素認証（MFA）だ」

🦉「パスワードを2つ入力するのはMFAですか？」

💼「違う。両方とも『知識要素』だから、カテゴリが同じだ。異なるカテゴリから選ぶのがMFAの要件。パスワード＋指紋、パスワード＋トークンのような組み合わせだ」

---

アクセス制御 --- 「誰に何を許すか」

💼「認証で本人確認ができたら、次はアクセス制御だ。TechVault社のシステムでは、どのモデルを使っていますか？」

🧑‍💻「基本的にRole-Based Access Control（RBAC）です。『経理部長』『一般社員』などの役職にアクセス権を紐づけています」

この章の試験での位置づけ

CPA Exam Blueprint（試験設計図） とは、AICPA（米国公認会計士協会）が公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。

このChapterのポイント: 情報セキュリティ管理は試験で最も実践的な知識が問われる領域。CIAトライアド＋真正性・否認防止の5要素、多要素認証（MFA）の「異なるカテゴリ」要件、RBAC/ABAC/MAC/DAC の使い分けと職務分掌（SoD）、共通鍵 vs 公開鍵暗号の鍵の持ち方、ファイアウォール・IDS・IPS・DMZの構造、多層防御（Defense in Depth）の考え方 が頻出。暗号化の問題は「鍵をどちらが持つか」を基準に整理する。

前提知識 --- この章に入る前に、分かっているとラクなこと

---

1. なぜこの論点が必要か（Why）

ISCの全体像マップ --- 今どこにいるか

【ISCの全体フロー】

情報システム基礎   ITガバナンス    IS部門の役割    内部統制     リスク管理      BCP        DRP
    (Ch1)    →    (Ch2)    →    (Ch3)    →   (Ch4)   →   (Ch5)   →  (Ch6)  →  (Ch7)