第7章 IoT情報セキュリティの要点
機密性・完全性・可用性、ゼロトラスト、暗号、個人情報を整理

更新日 2026年10月26日読む時間の目安約6分

この記事の要点

第7章は、IoTの情報セキュリティの章で、模擬試験では第3章に次いで多く出題される章です。三大要件、設計の考え方、攻撃、暗号と認証、組織と制度を扱います。
機密性・完全性・可用性の取り違え、フールプルーフとフォールトトレランス、共通鍵暗号と公開鍵暗号のような、似た用語の違いが問われます。
用語は「守る対象」「設計の考え方」「攻撃」「暗号と認証」「機器と開発」「組織と制度」の6つに分けると覚えやすくなります。

この記事の目次

この章で問われること
6つのまとまりと押さえる用語
取り違えやすい組み合わせ
この章の勉強の進め方
第7章の問題を解いてみる
よくある質問

この章で問われること

第7章「IoT情報セキュリティ」は、IoTの機器やシステムを守るための考え方、攻撃の種類、暗号と認証、組織や法制度を扱う章です。第1章で触れた「接続が増えるほど攻撃される危険も増す」という点を、具体的に掘り下げます。

本番の80問のうち、第7章からは18問前後と予想しています。もちこ道場の模擬試験（80問・90分）は、出題範囲の分野の割合に合わせて章ごとの問題数を決めていて、第7章からは18問を出しています。試験全体の約23%にあたり、第3章に次いで多い配分です。

もちこ道場の第7章の問題は50問です。形式ごとの内訳は、次のとおりです。

形式	問題数
穴埋め（1か所）	20問
穴埋め（組み合わせ）	10問
正しい記述を選ぶ	10問
誤った記述を選ぶ	10問

出てくる用語は、次の6つのまとまりに分けると整理しやすくなります。

第7章の用語の6つのまとまり（もちこ道場のまとめ）

6つのまとまりと押さえる用語

1. 守る対象とリスクへの対処

用語	ひとことで
機密性	権限のある者だけが使える状態。暗号化・認証・アクセス制御で実現する
完全性	壊されたり書き換えられたりしない状態。改ざんの検知にハッシュ関数やデジタル署名を使う
可用性	必要なときに止まらず使える状態。機器やネットワークの二重化で高める
CIA と AIC	一般の情報システムは機密性優先の CIA。制御システム（CSMS）は可用性優先の AIC
リスク対処の4つ	回避・保有・移転・低減

2. 設計の考え方

用語	ひとことで
フールプルーフ	経験が少ない人が誤操作しても事故に至らないようにする（ユーザ権限を最小限にするなど）
フォールトトレランス	一部に障害が起きても、全体を止めずに稼働を続ける
セキュリティ・バイ・デザイン	設計・構築・運用に入る前に、セキュリティ対策を検討しておく
ゼロトラスト	ネットワークの境界に頼らず、すべての通信を信頼しない前提で、検査とログ取得をする
エンドツーエンド	IoT ではシステム全体を見渡して対策を考える。デバイスは長く使われるため、継続的な対策も必要

3. 攻撃と脆弱性

用語	ひとことで
トロイの木馬	正常なプログラムを装い、意図しない動作を密かに行うマルウェア
ブルートフォース攻撃	ID かパスワードの一方を固定し、全組合せを順に試す
ゼロデイ攻撃	脆弱性が発見される前や、最新のパターンファイルを適用する前の空白の時間帯を突く
パターンマッチング	マルウェアの特徴をパターンファイルにまとめて照合する。ゼロデイ攻撃には対処できない
BOF（バッファオーバーフロー）	確保したバッファの大きさを超えるデータが入力されて起こる脆弱性
ダークネット	インターネット上で到達可能だが未使用の IP アドレス空間。観測すると、届くパケットの多くがサイバー攻撃に起因する

4. 暗号と認証

用語	ひとことで
共通鍵暗号化方式	標準は AES。以前使われた DES より安全性が高い
公開鍵暗号化方式	暗号化鍵を公開し、復号鍵を手元に保管する。代表的な実装は RSA
生体認証	身体の特徴で本人を確かめる。偽造しにくく、忘れたり紛失したりしない。虹彩は年齢で変化しない
FIDO Alliance	公開鍵暗号化方式と生体認証を組み合わせ、パスワードを使わない認証の標準を策定した
無線 LAN の暗号化	WEP、WPA、WPA2、WPA3。WEP は脆弱性が指摘され、WPA2 と WPA3 が推奨される

5. 機器と開発の守り

用語	ひとことで
セキュアブート	電源投入時にソフトウェアが正規品かを検証し、問題がなければ起動を許可する
ファジング	問題を起こしそうな文字列を大量に機器へ送り、出荷前に脆弱性を探すテスト
MISRA C	自動車分野向けの C 言語のプログラミングガイドライン。安全性や信頼性を重んじる業界でも使われる
ホワイトリスト	あらかじめ許可したものだけを動かす・通す方式。決まった処理だけをする IoT 機器に向く

6. 組織と制度

用語	ひとことで
CSIRT	セキュリティインシデントの発生時に、情報の集約、対応の指示、関係者への報告を行う専門組織
ISMS と CSMS	情報システム向けと制御システム向けのセキュリティマネジメントシステム
匿名加工情報	2015年の個人情報保護法の改正で制度が創設された
仮名加工情報	2020年の改正で制度が創設された
IoT 製品のセキュリティ適合性評価制度	経済産業省が進める任意の制度。★1・★2は自己適合宣言、★3以上は第三者認証とする方針

取り違えやすい組み合わせ

組み合わせ	見分け方
機密性・完全性・可用性	見られない（機密性）か、書き換えられない（完全性）か、止まらない（可用性）か
フールプルーフとフォールトトレランス	誤操作を防ぐ設計か、障害が起きても動き続ける設計か
ゼロトラストとセキュリティ・バイ・デザイン	通信を信頼しない前提か、設計の前に対策を検討しておくか
共通鍵暗号と公開鍵暗号	鍵が1つ（AES）か、公開する暗号化鍵と手元の復号鍵のペア（RSA）か
リスクの回避と低減	機能をなくして発生をなくすか、発生しにくくしたり被害を小さくしたりするか
匿名加工情報と仮名加工情報	2015年の改正の制度か、2020年の改正の制度か
パターンマッチングとホワイトリスト	既知の特徴を照合する（ゼロデイに弱い）か、許可したものだけを通すか

この章の勉強の進め方

6つのまとまりの名前を覚え、用語を見たら「どのまとまりの話か」を言えるようにします。
上の表の組み合わせを、何も見ずに一言で説明できるか確かめます。
問題を解いて、迷った用語をその日のうちに見直します。

勉強の全体の計画は「勉強時間の目安と1か月の計画」にまとめています。

第7章の問題を2問、解いてみる

もちこ道場の第7章の問題です。演習画面と同じ解説（図解・選択肢ごとの解説）を付けています。

問1

許可を受けた者が、与えられた権限の範囲内で情報資産にアクセスできることを指す情報セキュリティの三大要件の一つを1という。

答えと解説を見る

正解は 3（機密性）です。

【概要】

機密性は、権限を与えられた者だけがその範囲内で情報資産を利用できる状態を指す。盗聴防止やアクセス拒否が該当し、暗号化・認証・アクセス制御で実現する。

【図解】実験的機能

図解は実験的機能です。内容を簡略化しているため、公式テキストの記載と異なることがあります。

【各選択肢の解説】

1. 完全性あなたの解答完全性は情報資産が破壊・改ざんされず正しい値を保つ要件であり、アクセスできる者を限る要件ではない。
2. 可用性あなたの解答可用性は必要なときに中断なく利用できる要件であり、権限の範囲内に利用を限る要件ではない。
3. 機密性正解あなたの解答機密性はConfidentialityの訳で、許可外の者による閲覧やアクセスを防ぎ、権限内の利用だけを認める要件である。
4. 耐久性あなたの解答耐久性は物が長期間の使用に耐える性質を指す一般的な語であり、情報セキュリティの三大要件には含まれない。

問2

通信を最初から信頼せず、すべてのアクセスを検証し、ログも残すことでセキュリティを保つ考え方を1という。ネットワークの境界を防御線として使わない点が特徴である。

答えと解説を見る

正解は 2（ゼロトラスト）です。

【概要】

ゼロトラストは、ネットワークの境界に頼らず、すべての通信アクセスを信頼しない前提で検証とログ取得を行う考え方である。クラウドサービスやテレワークの増加で内外の境界が曖昧になったことが背景にある。

【図解】実験的機能

図解は実験的機能です。内容を簡略化しているため、公式テキストの記載と異なることがあります。

【各選択肢の解説】

1. 多層防御あなたの解答多層防御は、入口対策や出口対策などを重ねて何重もの対策を築く考え方であり、通信を信頼せずにすべて検証する本問の考え方ではない。
2. ゼロトラスト正解あなたの解答ゼロトラストは、境界を防御線にせずすべてのアクセスを検証してログを残すため、問題文の説明と一致する。
3. セキュリティ・バイ・デザインあなたの解答セキュリティ・バイ・デザインは、設計・構築・運用の際に事前にセキュリティ対策を検討する考え方であり、通信の検証とログ取得を柱とする本問の考え方ではない。
4. フォールトトレランスあなたの解答フォールトトレランスは、システムの一部に障害が起きても全体を停止させず継続して稼働させる設計の考え方であり、通信を信頼しない前提の考え方ではない。