Information Security Management System
企業や組織が自身の情報セキュリティを確保・維持するために、ルール(セキュリティポリシー)に基づいたセキュリティレベルの設定やリスクアセスメントの実施などを継続的に運用する枠組みのこと。ISMSに求められる範囲は、ISO/IEC15408などが定めるような技術的な情報セキュリティ対策のレベルではなく、組織全体に渡ってセキュリティ管理体制を構築・監査し、リスクマネジメントを実施することである。
あるコンピュータシステムについて、それに対するアクセスの日時や相手先ドメインやIPアドレス、そのほかIDなどについての記録のことをいう。これを取得することによって、不正アクセスがあった際に、アクセス経路の推定や、不正アクセスの方法の確認、不正アクセスの試みの検知などを行うことが可能となる場合がある。
セキュリティ上の問題が発生し、システムの縮退やサービスの停止が起こった場合、アクセス履歴(ログ)の検証は、再度のトラブル防止の観点から非常に重要な事項であるが、ISP(Internet Service Provider)レベルでは、膨大なアクセスログを取得することになるため、ログデータ取得項目を簡略化したり、保存期間を限定して順次削除することがある。よってアクセスログによる不正アクセスの追跡は、プロキシを利用しないためプロパーなIPアドレスが取得されない限り、事実上通信元の特定は困難となる場合が多い。
Advanced Encryption Standard
AESは、米国標準技術局(NIST)によって進められている次世代の政府標準暗号の名称である。これまで米国政府ではDESと呼ばれる暗号を用いてきたが、DESの安全性が年々低下してきたことからDESに代わる標準暗号としてAESのアルゴリズムを公募した。その後アルゴリズムの要件や評価基準などを公表しているが、それによるとAESは、ブロック長として128bit、鍵長として128、192、256bitが利用可能な共通鍵ブロック暗号といった条件のほかに、30年以上の暗号として用いられる強度が見込めるといった条件があるのが興味深い。その後15種類のアルゴリズムがRound形式で評価選考が進められ、最終的にRijndaelが指定された。RijndaelはSPN構造でブロック・鍵ともに可変長となっている。
Falsification
運用・管理・閲覧・改訂などの権限を有さないネットワーク上のデータを当該管理者に無断で、書き換え・変更・消去をする行為を改ざんという。古典的なものでは銀行の預金データの改ざんに始まり、現在ではWebサイトなどが改ざんに遭うことが多い。現在金融機関では、FISC(The Center for Financial Industry Information Systems)に基づいたオンラインシステム安全対策基準が設けられており、複数データの突き合わせによる、改ざん検出と不正防止の対策が取られているため、架空の金額を上乗せするなどの大胆な犯行を実行することは困難である。
Webサイトが改ざんに遭った場合、所有する企業体は大きく社会的信頼を損ない、通販サイトなどの場合、通販用端末の停止によりその事業規模に比例して金銭的損失を被ることがある。原因としては、管理者がセキュリティホールを見逃してしまい、放置した結果であることが多い。現状でのWebサイトの改ざんそのものについては、