【メモ】セキュリティ基礎シリーズの全体像
はじめに
セキュリティ基礎をシリーズとして整理するときは、まず前提を分けて考える必要があります。
1つは、全員が日常業務で事故を起こさないことです。
もう1つは、技術職や初学者が守る側として設計、実装、運用、対応へ進めることです。12
この2つは似ているようで、求める行動も、到達目標も、研修の作り方も違います。
そのため本シリーズでは、セキュリティ基礎を「共通基礎トラック」と「セキュリティ技術入門トラック」に分けて構成します。3
このシリーズが解こうとしている課題
実務に入りたての人は、業務知識や社内事情を十分に理解する前から、メール、クラウド、チャット、モバイル端末、社内システムなどに触れる立場になります。1
ここで必要なのは、いきなり高度な専門論を広く教えることではありません。
まずは、どんな行動が事故につながるか、異常時にどう動くべきかを揃えることが先です。
一方で技術職は、利用者であるだけでなく、システムの作り手、運用者、守り手になります。
脆弱性、設定不備、権限設計ミス、監視不足のような技術判断が、そのまま組織リスクにつながります。2
つまり、セキュリティ基礎は「全員同じものを受ければよい」ではなく、共通部分と専門部分を意図的に分ける必要があります。
2つのトラックをどう分けるか
| トラック | 対象 | 主な目的 | 中心テーマ | 学習のゴール |
|---|---|---|---|---|
| 共通基礎トラック | 業務で情報を扱う人 | 事故予防、行動定着、初動徹底 | 情報の扱い方、日常行動、報告 | 事故を起こしにくい行動が取れる |
| セキュリティ技術入門トラック | 技術領域 / セキュリティ初学者 | 守りを実装する基礎体力づくり | 脆弱性、防御設計、ログ、対応 | 設計、実装、運用で守る視点を持てる |
共通基礎トラックは、「守られるための教育」ではありません。
すべての社員が、日常業務の中で自分の行動を安全に保つための教育です。
技術専門トラックは、「難しい攻撃手法を知ること」が中心ではありません。
攻撃や失敗の仕組みを理解したうえで、どう防ぐか、どう検知するか、どう初動するかに重心を置きます。
共通基礎トラックで身につけること
共通基礎トラックでは、次のようなテーマを扱います。
- 情報資産、機密性、完全性、可用性の基本
- 認証情報、端末、離席時ロック、持出し時の注意
- メール、Web、チャットで起きやすい事故
- クラウド共有、公開リンク、アクセス権の考え方
- 生成AI、SNS、外出先作業、在宅勤務での注意
- 事故が起きたかもしれないときの初動
狙いは、「これをやると危ない」を判断できることと、異常時に隠さず動けることです。1
セキュリティ技術入門トラックで身につけること
セキュリティ技術入門トラックでは、次のようなテーマを扱います。
- ネットワーク、OS、認証、クラウドの基礎
- Web脆弱性、認可不備、秘密情報管理の失敗
- セキュア設計、セキュア実装、ハードニング
- IAM、最小権限、設定不備の見方
- ログ、監視、検知、インシデント対応の初歩
- 次の学習につながる学習地図
狙いは、事故を起こさない利用者で終わらず、守りを作る技術者としての出発点に立つことです。2
誰がどこから読むべきか
| 読む人 | 推奨する読み方 |
|---|---|
| セキュリティ基礎から学ぶ人 | 本記事を読んだあと、共通基礎トラックへ進む |
| 技術領域 / セキュリティ初学者 | 本記事を読んだあと、共通基礎トラックを先に押さえ、その後でセキュリティ技術入門トラックへ進む |
| 教育担当者、メンター | 本記事で全体構造を把握したうえで、対象トラックを選んで読む |
特に技術職でも、最初から技術入門だけを読む構成にはしません。
日常行動の基礎が揃っていない状態では、専門知識だけ増えても実務でバランスを崩しやすいためです。
このシリーズの使い方
このシリーズは、単発読み切りの記事ではなく、順番に読むことで研修として成立する構成を前提にしています。3
使い方の基本は次のとおりです。
- 入口記事で位置づけを理解する
- 本編記事で論点ごとの考え方を学ぶ
- ケース記事で判断を考える
- 確認記事とセルフチェックで定着を確認する
また、会社ごとにルール差が出やすい論点もあります。
生成AI、USB、私物端末、クラウド共有、ソースコードの持出しなどは、本シリーズだけで結論を固定せず、自社ルールを必ず確認する前提で読んでください。