データセキュリティとは
データのプライバシー・機密性・整合性・可用性を確保するための計画・方針・手順の策定と実施。
C
Confidentiality
機密性
権限のある人のみがデータにアクセスできる
I
Integrity
整合性
データが正確で改ざんされていない
A
Availability
可用性
必要な時にデータが利用できる
CIAトライアド — データセキュリティの最重要概念
データ分類（Data Classification）— 機密レベル
🔴 Top Secret / 極秘
国家機密・最高機密情報
🟠 Confidential / 機密
役員の報酬情報・M&A情報
🔵 Internal / 社内限
社内ポリシー・組織図
🟢 Public / 公開
プレスリリース・製品カタログ
ビジネス向け分類: Public → Internal → Confidential → Restricted
アクセス制御モデル（Access Control）比較
| モデル | フルネーム | 制御の主体 | 特徴・用途 |
|---|
| RBAC |
Role-Based Access Control |
役割（Role） |
最も一般的。役割（manager/analyst等）に権限を割り当て |
| ABAC |
Attribute-Based Access Control |
属性（部門・時間等） |
柔軟な条件設定可。「営業部門かつ平日9-18時のみ」等 |
| DAC |
Discretionary Access Control |
データオーナー |
オーナーが自分で権限を設定。Unixのファイル権限等 |
| MAC |
Mandatory Access Control |
システム（強制） |
政府・軍・機密情報向け。システムが権限を強制 |
🎯 試験ポイント：RBAC = 最も一般的なアクセス制御モデル
データ保護技術の比較
| 技術 | 英語名 | 逆変換 | 主な用途 | キーポイント |
|---|
| 暗号化 |
Encryption |
可能（鍵必要） |
保存・転送データの保護 |
AES（対称）、RSA（非対称） |
| データマスキング |
Data Masking |
なし |
テスト・開発環境用 |
本番データを偽データに置換 |
| 匿名化 |
Anonymization |
不可逆 |
統計・公開データ |
個人特定不可能。復元できない |
| 仮名化 |
Pseudonymization |
可逆 |
GDPR準拠 |
識別子を仮名に変換。元に戻せる |
| トークン化 |
Tokenization |
可能（対応表） |
PCI DSS準拠 |
機密データをトークンに置換 |
⚠️ 最頻出：匿名化（不可逆） vs 仮名化（可逆）の違いを必ず覚える！
セキュリティポリシーの階層
📋 ポリシー（Policy）
「何をすべきか」の方針。経営層が承認。例：「機密データは暗号化する」
↓ 具体化
📐 標準（Standard）
「どの技術・レベルで」の基準。例：「AES-256暗号化を使用する」
↓ 詳細化
📝 手順（Procedure）
「どうやって」の具体的な作業手順。例：「AWS KMSを使って鍵管理する手順」
主要プライバシー規制
| 規制 | 地域 | 対象 |
|---|
| GDPR |
EU |
個人データ保護（欧州） |
| CCPA |
カリフォルニア州 |
消費者プライバシー |
| HIPAA |
米国 |
医療情報 |
| PCI DSS |
グローバル |
クレジットカード情報 |
| 個人情報保護法 |
日本 |
個人情報全般 |
GDPR プライバシーの権利
- •アクセス権（Right of Access）
- •削除権（Right to be Forgotten） ← 最頻出
- •訂正権・データポータビリティ権
- •処理の制限権
データセキュリティのガバナンス役割
👔
CISO
Chief Information Security Officer
情報セキュリティ戦略の統括
⚖️
DPO
Data Privacy Officer
GDPRでは必須。プライバシー管理
🔍
Security Analyst
脅威分析・インシデント対応
DAM（データベース活動監視）
Q1.データセキュリティのCIAトライアドにおいて、「権限のある人のみがデータにアクセスできる」ことを保証する要素はどれか？
✅ A) Confidentiality（機密性） — 権限のある人のみがアクセスできること。I = Integrity（整合性）、A = Availability（可用性）。
Q2.本番データを開発・テスト環境で使用するために、実際の値を偽データに置換する技術はどれか？
✅ B) データマスキング — テスト・開発環境向けに本番データを偽データに置換。逆変換はできない。
Q3.匿名化（Anonymization）と仮名化（Pseudonymization）の最大の違いはどれか？
✅ B) 匿名化は不可逆・仮名化は可逆 — GDPRでは仮名化データも「個人データ」として扱われる。匿名化は完全に個人特定不可。
Q4.役割（Role）に基づいてアクセス権限を管理するアクセス制御モデルはどれか？
✅ C) RBAC（Role-Based Access Control） — 最も一般的。役割（manager/analyst等）に権限を割り当て、ユーザーに役割を付与する。
Q5.GDPRにおける「削除権（Right to Erasure）」の別名はどれか？
✅ B) Right to be Forgotten — GDPR Article 17。個人が自分のデータの削除を要求できる権利。
Q6.クレジットカード情報の保護に特化したセキュリティ標準はどれか？
✅ D) PCI DSS — Payment Card Industry Data Security Standard。クレジットカード情報保護の国際標準。