セキュリティ初心者が最初に知るべき5つの基本

「セキュリティが大事」とはよく言われますが、何から学べばいいかわからない方も多いのではないでしょうか。難しい専門知識は後回しにして、まず「これだけは知っておきたい」という5つの基本を整理します。

この記事でわかること

情報セキュリティが重要なのは、「ルールだから」ではなく、実際に被害が発生しているからです。

個人情報の漏えい、不正アクセス、ランサムウェアによるシステム停止。こうした被害は大企業から中小企業まで、また個人でも発生しています。「自分には関係ない」と思っていると、気づかないうちに被害を受けていることがあります。

最も基本的かつ最も見落とされやすい対策です。

どこかのサービスでID・パスワードが漏えいした場合、同じ組み合わせを他のサービスでも使っていると、芋づる式に不正ログインされます（リスト型攻撃）。

実践方法：サービスごとに異なるパスワードを設定する。手間を減らすためにパスワードマネージャー（1Password、Bitwarden など）を活用しましょう。

パスワードが漏えいしても、スマートフォンへのSMSコードや認証アプリがなければログインできない仕組みです。

多くの業務サービスでMFAが使えるようになっています。「面倒だから使わない」という選択は、大きなリスクを招きます。

実践方法：Google Authenticator、Microsoft Authenticatorなどの認証アプリを設定する。設定できるサービスにはMFAを有効にする。

フィッシングとは、本物そっくりの偽のメールやWebサイトに誘導して、IDやパスワード、クレジットカード情報を盗む攻撃です。

「Amazonアカウントが停止されました」「至急ログインして確認してください」というメールが届いたとき、リンクをクリックする前にURLを確認しましょう。

実践方法：

OS（WindowsやmacOS）やアプリのアップデートを後回しにしていませんか？アップデートには脆弱性（セキュリティの弱点）の修正が含まれていることが多いです。

古いバージョンのソフトウェアを使い続けると、既知の弱点を突かれやすくなります。

実践方法：

「管理者権限を全員に与えておけば便利」という発想は危険です。必要以上の権限を持つアカウントが乗っ取られたり、内部不正が起きたりすると、被害範囲が広がります。

「誰に何のアクセス権限が必要か」を最初から整理することが、セキュリティの基本です。

実践方法：

「うちは大丈夫」という過信 小さな会社・少人数チームでも被害は起きます。むしろセキュリティ対策が手薄な組織を狙った攻撃も存在します。

セキュリティ対策＝専門家の仕事という誤解 ITエンジニアではない一般社員も、フィッシングに引っかからない・パスワードを使い回さないといった基本的な行動でセキュリティに貢献できます。

一度設定したら終わりではない 新しい脅威は常に生まれています。定期的なパスワード見直し、権限の棚卸し、セキュリティ研修の継続が重要です。

セキュリティの基本を体系的に学びたい方には、FEX-105「セキュリティ入門」がおすすめです。ビルの入退室管理というわかりやすいたとえを使って、パスワード・暗号・認証の仕組みを非エンジニアでも理解できる形で解説しています。