サイバーセキュリティの初心者向け用語集です。
専門用語をなるべく避け、身近な例えを交えてまとめています。
あ行
アンチウイルス / ウイルス対策
パソコンやスマホに侵入しようとする「コンピュータウイルス」を見つけ出し、駆除するためのソフトです。
怪しいファイルを監視し、感染を未然に防ぐ役割があります。
家を守る「ガードマン」のような存在で、常に最新の状態（最新の指名手配犯データ）に更新しておくことが大切です。
インシデント / インシデント管理 / アクシデント
サイバー攻撃や機器の故障、情報の紛失など、放置すると大きな被害につながる「困った出来事」のことです。
これが発生した際に、被害を最小限に抑えて素早く復旧させるためのルール作りを「インシデント管理」と呼びます。
日常でいう「ヒヤリハット」や「事故対応」に近い概念です。
エンドポイントセキュリティ / エンドポイント（Endpoint / EPP）
「エンドポイント」とは、ネットワークの末端にあるパソコン、スマホ、サーバーなどの端末のことです。
これら端末自体を守る対策を「エンドポイントセキュリティ（EPP）」と呼びます。
境界線（会社全体）だけでなく、個々の端末を強化して、ウイルス侵入や不正な操作から直接守る考え方です。
アクセシビリティ（Accessibility）
高齢者や障がいのある方を含め、誰もがサービスや情報を支障なく利用できる状態のことです。
セキュリティにおいては、認証（パスワード等）を厳しくしすぎて、正規の利用者が使いにくくなってしまうのを防ぐバランスも重要です。
「安全かつ、誰でも使いやすいこと」を目指す指標の一つです。
アカウント乗っ取り / アカウント情報
IDやパスワードなどの「アカウント情報」が盗まれ、本人になりすましてサービスを利用されることです。
勝手にメールを送られたり、SNSで投稿されたり、勝手に買い物をされたりします。
被害を防ぐには、推測されにくいパスワードを設定し、二段階認証を利用することが非常に有効です。
アドバタイジング / フェイクアラート
ネット閲覧中に「ウイルスに感染しました！」「システムが壊れています」といった嘘の警告（フェイクアラート）を画面に出す手口です。
不安を煽って偽の対策ソフトを買わせたり、遠隔操作をさせたりします。
これらは広告（アドバタイジング）を悪用した詐欺なので、無視してブラウザを閉じれば大丈夫です。
エアギャップ（孤立環境）
インターネットなどの外部ネットワークから完全に切り離された、物理的に孤立した環境のことです。
外部とつながっていないため、ネット経由の攻撃を受けることはありません。
非常に重要な機密情報を扱うサーバーなどで使われますが、USBメモリなどを介してウイルスが持ち込まれないよう注意が必要です。
か行
キーロガー / スキミング
「キーロガー」は、キーボードで入力した文字（IDやパスワード）をすべて記録し、犯人に送信するソフトです。
「スキミング」は、カードリーダー等で磁気カードの情報を直接盗む行為です。
どちらも、利用者が気づかないうちに大切な情報を盗み取る「盗み見」の技術です。
クライアント証明書
「このパソコンは許可された本人のものだ」ということを証明するために、端末内に保存する電子的な身分証明書です。
IDとパスワードに加え、この証明書が入っている端末からしかログインできないようにすることで、第三者による不正アクセスを強力に防げます。
クラウドセキュリティ
インターネット経由で利用するサービス（クラウド）上のデータやシステムを守ることです。
サービス提供側だけでなく、利用者側も「誰にアクセス権を与えるか」「設定にミスはないか」を確認する必要があります。
ネット上にデータを預けるからこそ、鍵（認証）の管理がより重要になります。
コンピュータウイルス
プログラムに寄生して勝手に増殖し、データの破壊や情報の盗み出しなどを行う「悪意のあるプログラム」の総称です。
メールの添付ファイルや、不正なウェブサイトから感染します。
人間が風邪をひくように、コンピュータも感染すると動きが遅くなったり、正常に動かなくなったりします。
改ざん（ホームページ改ざん検知）
ウェブサイトの内容が、管理者以外の第三者によって勝手に書き換えられることです。
見た目を変えるだけでなく、サイトを訪れた人にウイルスを感染させる仕掛けを埋め込む悪質なケースもあります。
「検知」は、サイトが書き換えられていないかを24時間監視し、異常があればすぐに知らせる仕組みです。
可搬記憶媒体 / 外部記憶媒体（USB等）
USBメモリやSDカード、外付けハードディスクなど、持ち運びができるデータ保存装置のことです。
手軽で便利ですが、紛失による情報漏えいや、ウイルスを持ち込む「運び屋」になるリスクがあります。
会社によっては、許可されたもの以外の使用を禁止するなどの制限を設けています。
機密 / 機密情報 / 機密性 / 機密と秘密の違い
「機密」とは、許可された人だけがアクセスできる状態（機密性）を守るべき重要な情報です。
一般的に「秘密」は個人的な隠し事も含みますが、セキュリティにおける「機密情報」は、漏えいすると組織に損害を与えるビジネス上の重要なデータを指します。
情報をランク分けして管理することが基本です。
企業秘密 / 企業機密 / 社外秘 / 社内秘
会社にとって価値があり、秘密として管理されている情報です。
「社内秘」は社内の関係者のみ、「社外秘」は取引先等には見せてもよいが一般公開はNG、といった区別があります。
これらが漏れると企業の競争力が失われたり、法的責任を問われたりするため、厳重な管理と社員一人ひとりの意識が求められます。
クレジットマスター
コンピュータを使ってクレジットカード番号の法則性を悪用し、他人のカード番号を次々と生成して、実際に使える番号を割り出す攻撃手法です。
自分のカードが手元にあっても、勝手にネットショッピングなどで不正利用される恐れがあります。
利用明細をこまめにチェックすることが唯一の自衛策です。
クリアスクリーン
離席する際に、パソコンの画面をロックしたり消したりして、第三者に画面を見られないようにすることです。
同様に、机の上に書類やUSBメモリを放置しないことを「クリアデスク」と呼びます。
技術的な対策以前の、物理的・基本的なセキュリティ対策として非常に重要です。
さ行
サイバー攻撃（種類・対策）
インターネットなどのネットワークを通じて、システムを破壊したり、情報を盗んだりする悪意ある行為の総称です。
ウイルス感染、不正アクセス、サイトの停止など多くの種類があります。
対策としては、ソフトの更新、パスワード管理、不審なメールを開かないといった基本的な習慣が不可欠です。
サイバーキルチェーン
攻撃者が標的を攻撃する際の手順を「偵察」「武器化」「配送」「発信」など、一連の流れ（チェーン）として整理した考え方です。
この鎖のどこか一箇所でも断ち切れば攻撃を防げるという発想に基づいています。
攻撃の段階を知ることで、どのタイミングでどんな対策が必要かを検討しやすくなります。
サイバーテロ
国家の重要なインフラ（電気、ガス、水道、通信、交通など）のシステムをサイバー攻撃で麻痺させ、社会を混乱に陥れる行為です。
目的は政治的な主張や社会不安の煽動であることが多く、人命に関わる重大な被害をもたらす危険性があります。
国を挙げた高度な防衛策がとられています。
サイバー犯罪 / ネット犯罪 / ネットワーク利用犯罪
インターネットやコンピュータを悪用した犯罪の総称です。
ネット銀行の不正送金、SNSでの誹謗中傷、不正アクセス、ネット詐欺などが含まれます。
従来の犯罪がネットに移行した側面もあり、警察には専門の捜査班（サイバー犯罪対策課など）が設置され、取り締まりが行われています。
サイバー保険
サイバー攻撃を受けて情報が漏えいしたり、システムが止まったりした際に発生する損害を補償する保険です。
原因調査の費用、被害者への賠償金、復旧費用などをカバーできます。
万が一の際の金銭的なリスクを軽減し、企業の経営破綻を防ぐための「守りの備え」として注目されています。
サイバーレジリエンス
サイバー攻撃を受けることを前提に、「被害を受けても、いかに早く立ち直り、サービスを継続するか」という回復力（レジリエンス）のことです。
完璧に防ぐことが難しい現代では、防御だけでなく、迅速な発見、被害の封じ込め、そして素早い復旧体制を整えておくことが重視されています。
サプライチェーン攻撃 / サプライチェーンリスク
セキュリティが強固な大手企業を直接狙わず、その取引先（サプライヤー）や委託先の小さな会社をまず攻撃し、そこを踏み台にして本命の企業へ侵入する手法です。
一社だけでなく、ビジネスに関わる「供給網（サプライチェーン）」全体で対策レベルを合わせることが求められています。
サンドボックス（Sandbox / サンドボックス環境）
「砂場（サンドボックス）」のように、他の場所に影響を与えない隔離された仮想的な領域のことです。
怪しいプログラムをこの中で実行してみて、悪意ある動きをしないかテストします。
もしウイルスだったとしても、砂場の外（実際のパソコン環境）には被害が及ばないため、安全に調査ができます。
シャドーIT
会社が把握・許可していない個人所有のスマホや、クラウドサービスなどを勝手に業務で使うことです。
便利だからと個人のチャットツールで仕事のデータを送ると、会社が管理できない場所から情報が漏れるリスクがあります。
利便性と安全性のバランスを考え、ルールを守ってITを利用することが大切です。
情報セキュリティ（対策・訓練）
情報の「機密性（漏らさない）」「完全性（正しさを保つ）」「可用性（いつでも使える）」の3つを守ることです。
これらを実現するためのルール作りや技術導入を「対策」、社員が怪しいメールを見分ける練習などを「訓練」と呼びます。
技術・ルール・人の意識の3点セットで守りを固めます。
情報漏えい対策 / 流出 / 情報が漏れること
機密情報や個人情報が外部に漏れ出すことを防ぐ取り組みです。
メールの誤送信、PCの紛失、ウイルス感染、悪意ある持ち出しなど原因は様々です。
対策として、データの暗号化、アクセス制限、操作ログの記録、そして「重要な情報は持ち出さない」というルールの徹底などが行われます。
シングルサインオン
一度のログイン（認証）だけで、複数の異なるシステムやクラウドサービスを利用できるようにする仕組みです。
ユーザーはたくさんのパスワードを覚える必要がなくなり、利便性が向上します。
また、管理者は一つのアカウントを停止するだけで全サービスへのアクセスを遮断できるため、管理も楽になります。
スパイウェア
パソコンやスマホの中にある個人情報や利用状況をこっそり収集し、外部へ送信する悪意あるソフトです。
スパイのように気づかれないよう動くのが特徴です。
無料ソフトに紛れ込んでいることが多く、気づかないうちにキー入力の内容や閲覧履歴、パスワードなどが盗み取られる恐れがあります。
スパムメール / スパムメッセージ / ジャンクメール
受け取りを希望していない人に、一方的に大量に送りつけられる迷惑メールのことです。
宣伝広告だけでなく、ウイルスが添付されていたり、詐欺サイトへ誘導したりする危険なものも多く含まれます。
これらを自動で判別してゴミ箱へ振り分ける機能を「スパムフィルタ」と呼びます。
スピアフィッシング
不特定多数ではなく、特定の個人や組織を狙い撃ちにするフィッシング攻撃です。
「槍（スピア）で突く」ように、標的の仕事内容や人間関係を調べ上げ、本物の取引先や上司を装った巧妙なメールを送ります。
一見して偽物と見分けがつかないため、騙されて機密情報を漏らしてしまう危険が高い攻撃です。
脆弱性（セキュリティホール / 脆弱性診断 / 脆弱化）
OSやソフトにある、プログラムの不具合や設計上のミスのことです。「セキュリティ上の弱点」とも呼ばれます。
放置すると、そこを突かれてウイルスに感染したり、不正アクセスを受けたりします。
診断によって弱点を見つけ出し、アップデート（更新）によって穴を塞ぐことが、基本かつ最大の防御です。
セキュリティバイデザイン
システムやサービスを企画・設計する段階から、あらかじめセキュリティ対策を組み込んでおく考え方です。
完成してから後付けで対策するよりも、効率的で漏れがなく、より強固なシステムを作れます。
「最初から安全に作る」ことが、現代のIT開発では標準的な考え方となっています。
セキュリティ診断 / セキュリティアセスメント
システムやネットワークに弱点（脆弱性）がないか、専門家がチェックすることです。
健康診断のように、定期的に実施して「今の守りのレベル」を客観的に評価（アセスメント）します。
見つかった弱点を事前に修正することで、実際のサイバー攻撃による被害を未然に防ぐことができます。
ゼロデイ攻撃
ソフトの弱点（脆弱性）が発見されてから、対策（修正プログラム）が公開されるまでの「無防備な期間」を狙った攻撃のことです。
対策が「0日（ゼロデイ）」、つまり間に合わない状態で攻撃されるため、防ぐのが非常に困難です。
日頃から最新の情報を確認し、不審な挙動を検知する仕組みが重要です。
ゼロトラスト / ゼロトラストネットワーク
「何も信頼しない（ゼロトラスト）」を前提としたセキュリティの考え方です。
従来は「社内は安全、外は危険」と分けていましたが、今はどこからでも、誰であっても、アクセスする度に厳格に本人確認を行い、安全性を検査します。
テレワークやクラウド利用が当たり前の時代に合った、新しい守り方です。
ゼロクリック詐欺
メールやWebサイトを開いただけで、何もクリック（操作）していないのに「登録完了」などの画面を表示し、料金を請求する詐欺です。
実際には契約は成立していないので、驚いて連絡したり、お金を払ったりしてはいけません。
慌てずにブラウザを閉じ、無視するのが一番の対策です。
資産管理 / IT資産管理
会社にあるパソコン、ソフト、ライセンス、USBメモリなどが「どこに、何台あり、誰が、どんな状態で使っているか」を正確に把握することです。
古いOSのまま放置されている端末や、許可のないソフトが入った端末を見つけることで、セキュリティの穴を無くし、組織全体を安全な状態に保ちます。
ステルス化
ウイルスやサイバー攻撃が、セキュリティソフトや利用者に気づかれないよう、自分の存在や痕跡を隠すことです。
ファイルのふりをしたり、実行中だけ姿を現したり、動作を非常に静かにしたりします。
今の攻撃は「派手に暴れる」よりも、この「ステルス化」して長く潜伏し、情報を盗み続けるタイプが増えています。
サポート詐欺 / パソコンサポート終了の影響
パソコンに「故障しています」と偽の警告を出し、画面の連絡先へ電話させて、嘘の修理代やサポート料金を騙し取るのが「サポート詐欺」です。
また、メーカーの「サポート終了」したOSやソフトを使い続けると、新たな弱点が見つかっても修正されないため、非常にウイルスに感染しやすくなり危険です。
た行
ダークウェブ
一般的な検索エンジンでは見つからず、専用のソフトを使わないとアクセスできないネット上の領域です。
匿名性が非常に高いため、盗まれた個人情報やパスワード、違法な薬物などの取引に使われる「闇市」のような場所になっています。
不用意に近づくとウイルス感染や犯罪に巻き込まれるリスクが高い危険な場所です。
多要素認証 / 二段階認証 / 二要素認証
パスワードだけでなく、スマホに届く確認コードや指紋認証など、2つ以上の「要素」を組み合わせて本人確認を行うことです。
「知っていること（パスワード）」「持っているもの（スマホ）」「本人そのもの（指紋）」を混ぜることで、万が一パスワードが盗まれても、他人の不正ログインを強力に防げます。
デジタル証明書
インターネット上で「その人が本人であること」や「そのサイトが本物であること」を証明する電子的なデータです。
信頼できる第三者機関（認証局）が発行します。
ブラウザのURL欄にある鍵マークは、そのサイトがデジタル証明書を持ち、通信が暗号化されているという安心のサインです。
デジタルフォレンジック（フォレンジック調査）
サイバー事件が発生した際に、パソコンやサーバーに残された記録を収集・分析し、原因や犯人を突き止める「デジタル鑑識」のことです。
消されたデータの復元や、いつ・誰が・何をしたかの証拠探しを行います。
裁判の証拠として使われることもある、非常に専門性の高い調査技術です。
デジタル遺品
亡くなった人が遺した、スマホやパソコンの中のデータ、SNSのアカウント、ネット銀行の口座などのことです。
パスワードがわからないと中身を確認できず、有料サービスの課金が続いたり、大切な写真が見られなかったりする問題が起きます。
生前から「もしも」の時のために整理しておくことが推奨されています。
トロイの木馬（Trojan）
一見、便利なソフトや役立つファイルのように見せかけて、ユーザーに自ら実行させることで感染するウイルスの一種です。
ギリシャ神話の「木馬」のように、内部に忍び込んでから悪さを始め、裏口（バックドア）を作ったり情報を盗んだりします。
他のウイルスと違い、勝手に増殖しないのが特徴です。
ターゲット型攻撃（標的型攻撃メール）
特定の企業や組織を狙い、業務に関係のある内容を装って送られる悪質なメールです。
「履歴書の送付」や「見積依頼」など、思わず開いてしまう巧妙な件名や本文が使われます。
添付ファイルやリンクを開くとウイルスに感染し、組織内部の機密情報を盗み取られてしまいます。
地政学リスク
国と国との対立や戦争、テロなどの政治的な情勢が、サイバーセキュリティに与える影響のことです。
特定の国が背景にいる攻撃グループが、敵対する国の企業やインフラを狙うことがあります。
世界情勢の変化によって、特定のソフトの使用が制限されたり、攻撃の標的が変わったりするリスクを指します。
電子署名 / 電子証明書 / 電子署名法
「電子署名」は、デジタル文書に対して「本人が作成したこと」と「改ざんされていないこと」を証明する印鑑のような仕組みです。
それを保証するのが「電子証明書」で、「電子署名法」という法律により、紙の書類への押印と同じ法的効力が認められています。
契約書の電子化には欠かせない技術です。
ドッペルゲンガードメイン
本物のサイトURLと「一文字違い」や「見間違えやすい」綴りで作られた、偽物のドメイン（サイト住所）のことです。
例えば「example.com」に対し「examp1e.com」など。
メールの宛先を打ち間違えた人を待ち構えて情報を盗んだり、偽サイトへ誘導したりします。
URLをよく確認することが大切です。
は行
ハッキング / ハック（Hack）
本来は、コンピュータやシステムの仕組みを深く理解し、高い技術で操ることを指します。
良い目的での活用も含まれますが、一般的には「他人のシステムに不正に侵入し、悪さをすること」という意味で使われることが多いです。
技術をどう使うかによって、善にも悪にもなる言葉です。
ハッカー / ホワイトハッカー / ブラックハッカー
高いIT技術を持つ人を「ハッカー」と呼びます。
その技術をサイバー攻撃や犯罪に使う悪い人が「ブラックハッカー」。
対して、技術をセキュリティ対策や防御のために役立てる正義の味方が「ホワイトハッカー」です。
今の時代、企業や国を守るためにホワイトハッカーの活躍が欠かせません。
バックドア
攻撃者が一度侵入したシステムに、次回から簡単に入れるようこっそり作っておく「裏口」のことです。
正規の入り口（ログイン画面）を通らずに侵入できるため、持ち主が気づかないうちに何度も情報を盗まれたり、遠隔操作されたりします。
ウイルス感染によってこの裏口が作られることが多いです。
ビジネスメール詐欺（BEC）
取引先や経営層になりすまし、巧妙な偽メールで「振込先が変わった」などと騙して、多額の金を送金させる詐欺です。
ウイルスを使わず、人間の心理や業務の流れを突くのが特徴です。
普段と違う指示がメールで届いた際は、電話など別の手段で本人に確認する「アナログな確認」が最大の防御になります。
標的型攻撃（水飲み場型攻撃・やり取り型攻撃）
「水飲み場型」は、標的がよく訪れるWebサイトにウイルスを仕込み、訪れた時を狙う手法です。
「やり取り型」は、普通の問い合わせを装って何度かメールを交わし、相手を油断させてからウイルスを送る手法です。
どちらも標的の行動を分析し、警戒心を解いてから攻撃する非常に狡猾な手口です。
ファイアウォール（FW / PFW / NGFW）
ネットワークの境界線に設置し、怪しい通信を遮断する「防火壁」です。
あらかじめ決めたルールに基づき、通してよい通信とダメな通信を仕分けます。
最近では、アプリの中身まで細かくチェックできる「次世代ファイアウォール（NGFW）」なども登場し、より高度な判断で侵入を防いでいます。
フィッシング詐欺 / フィッシングサイト
銀行や宅配業者などを装った偽のメールやSMSを送り、本物そっくりの偽サイト（フィッシングサイト）に誘導して、ID、パスワード、クレジットカード番号などを入力させて盗む手口です。
魚を釣るように、獲物（情報）を釣り上げることからこう呼ばれます。
届いたメッセージのURLを安易に信じないことが大切です。
フィルタリング
有害なサイトや業務に関係のないサイトへのアクセスを制限する仕組みです。
特に子供向けの不適切なコンテンツ遮断や、会社でのウイルス感染リスクがあるサイトへの閲覧制限に使われます。
情報を「ふるい」にかけることで、危険な場所に近づかないようにし、トラブルを未然に防ぐ役割があります。
不正アクセス / 不正アクセス禁止法
アクセス権限を持たない人が、他人のID・パスワードを盗んだりシステムの穴を突いたりして、コンピュータやネットワークに侵入する行為です。
これを禁止し、罰するために「不正アクセス禁止法」という法律があります。
他人のアカウントを勝手に使うことは、たとえ悪気がなくても犯罪になります。
不正のトライアングル（機会、動機、正当化）
人が不正（横領や情報持ち出しなど）を働く際に揃ってしまう3つの要素です。
「魔が差す環境がある（機会）」「お金に困っている等の事情（動機）」「自分は悪くないと思い込む（正当化）」。
これら3つが重なると不正が起きやすいため、システムやルールで「機会」をなくすことが対策の基本です。
振る舞い検知
プログラムの「中身（ファイル）」ではなく、実行した時の「動き（振る舞い）」を見て、ウイルスかどうかを判断する技術です。
例えば「勝手にファイルを暗号化し始めた」などの怪しい動きを検知してストップさせます。
これにより、まだ正体が判明していない新種のウイルスも防ぐことができます。
ブロックチェーン
データを鎖（チェーン）のようにつなぎ、みんなで分散して管理する技術です。
一度記録したデータは後から書き換えることが非常に困難なため、データの正しさを証明するのに優れています。
暗号資産（仮想通貨）だけでなく、履歴の改ざんを防ぎたい公的な書類や、流通経路の証明などにも活用されています。
ペネトレーションテスト
専門家がハッカーと同じ手法を使って、実際にシステムへ「侵入テスト」を行うことです。
机上の空論ではなく、実際に攻撃を試みることで、今の守りにどこまで耐えられるか、侵入されたらどこまで被害が広がるかを確認します。
システムの「実戦力」を試す、より高度なセキュリティチェックです。
ボット（Bot / ボット対策）
「ロボット」から名付けられた、自動で動くプログラムのことです。
攻撃者に遠隔操作されるウイルスを指すこともあります。これに感染した多数のパソコンが「ボットネット」を構成し、一斉に攻撃を仕掛けます。
対策は、ウイルス感染を防ぐことと、ボット特有の機械的なアクセスを遮断することです。
パスキー（Passkey） / パスワード認証
「パスキー」は、パスワードを使わずに指紋や顔認証だけでログインできる新しい仕組みです。
従来のパスワードのように盗まれる心配がなく、覚え直す手間もありません。
端末内の安全なチップとサーバーが連携して認証するため、セキュリティが非常に高く、パスワードに代わる次世代の標準として普及が進んでいます。
パッチ（プログラム修正）
ソフトの不具合やセキュリティの弱点（脆弱性）を直すために配布される、修正用のプログラムのことです。
服の破れた部分に当てる「あて布（パッチ）」が語源です。
パッチを適用（アップデート）しないままでいると、そこからウイルスに侵入されるため、公開されたらすぐに適用することが重要です。
踏み台 / 踏み台サーバ
攻撃者が自分の正体を隠すために、乗っ取った他人のパソコンやサーバーを経由してターゲットを攻撃することです。
攻撃の「中継地点」にされるため、後から調査すると、あたかも「踏み台」にされた人が犯人のように見えてしまいます。
自分が加害者にならないためにも、端末の管理をしっかり行う必要があります。
ま・ら・わ行
マクロウイルス
ExcelやWordなどのソフトに備わっている、作業を自動化する機能（マクロ）を悪用したウイルスです。
ファイルを開いた瞬間に実行され、データを破壊したりウイルスをダウンロードしたりします。
見知らぬ人から届いた文書ファイルで「コンテンツの有効化」や「マクロの有効化」を安易に押さないよう注意が必要です。
マルウェア / マルウェア対策
「悪意のある（Malicious）」と「ソフトウェア（Software）」を組み合わせた言葉で、ウイルス、ワーム、トロイの木馬、ランサムウェアなど、悪さをするプログラムすべての総称です。
対策としては、不審なファイルを開かないといった個人の注意と、これらを検知・駆除するソフトの導入が基本です。
ミラーポート
ネットワークを流れるデータをそのままコピーして別の場所へ出力する、通信機器の接続口のことです。
ここに監視装置をつなぐことで、通信の流れを止めたり影響を与えたりすることなく、全ての通信の中身をチェックできます。
サイバー攻撃の兆候を見つけるための「通信ののぞき窓」のような役割です。
メール訓練
「標的型攻撃メール」を模した訓練用メールを社員に送り、怪しいメールを見分ける力を養うトレーニングです。
実際に開いてしまった人には、その場で注意点や対処法を学んでもらいます。
単に「引っかからない」だけでなく、怪しいと感じた時に正しく報告できる体制を確認する目的もあります。
ランサムウェア（RaaS / ランサムウェア攻撃）
感染するとパソコン内のデータを勝手に暗号化して使えなくし、元に戻すことと引き換えに金銭（身代金＝ランサム）を要求するウイルスです。
「RaaS」は攻撃ソフトを月額制などで提供するビジネスモデルで、専門知識がなくても攻撃が可能になり被害が急増しています。
バックアップを取っておくことが最大の対策です。
リスクベース認証
ログインしようとしている人の「場所（国）」「時間帯」「使っている端末」などを分析し、いつもと違う「リスクが高い」と判断された時だけ、追加の本人確認（秘密の質問やコード入力など）を求める仕組みです。
普段通りならスムーズに、怪しい時だけ厳しくチェックすることで、利便性と安全性を両立させます。
ワーム
ウイルスの一種ですが、他のファイルに寄生せず「自分自身だけで増殖できる」のが特徴です。
ミミズ（ワーム）のようにネットワークを伝って次々と隣のパソコンへ入り込み、あっという間に被害を広げます。
USBメモリを介して広がるタイプもあり、感染力が非常に強いのが恐ろしい点です。
ワンタイムパスワード
一度きりしか使えない、使い捨てのパスワードです。
専用の機械やスマホアプリに、数十秒ごとに新しい数字が表示されます。
万が一、この数字を犯人に盗み見られても、すぐに使えなくなるため、不正ログインを防ぐのに非常に効果的です。
ネットバンキングなどで広く使われています。
A-Z
APT（持続的標的型攻撃）
特定のターゲットを狙い、長期間にわたって執拗に、複数の手法を組み合わせて行われる攻撃です。
一度侵入したら、見つからないように潜伏しながら組織の奥深くまで入り込み、重要な機密情報をじわじわと盗み出します。
国家ぐるみのスパイ活動など、非常に高度で組織的な攻撃を指すことが多いです。
BCP（IT BCP）
「事業継続計画」のことです。
災害やサイバー攻撃でシステムが止まっても、重要な業務を止めず、あるいは一刻も早く復旧させるための計画を指します。
「IT BCP」は特にITシステムに特化した復旧計画で、データのバックアップ場所の確保や、代替手段の準備などが含まれます。
CA（認証局） / PKI（公開鍵基盤）
「CA（認証局）」は、デジタル証明書を発行する信頼できる第三者機関です。
この証明書を使って、データの暗号化や本人確認を安全に行う仕組み全体を「PKI（公開鍵基盤）」と呼びます。
インターネット上で相手が本物だと信じて、安全に通信をするための「信頼の土台」となる技術です。
CIA（機密性・完全性・可用性）
情報セキュリティの基本となる3つの要素の頭文字です。
・機密性（Confidentiality）：許可された人だけが見れる
・完全性（Integrity）：情報が書き換えられず正しい
・可用性（Availability）：必要な時にいつでも使える
これら3つのバランスを保つことが、セキュリティの目的です。
CIO / CISO（最高情報セキュリティ責任者）
「CIO」はIT全般（活用）の責任者、「CISO」は情報セキュリティ（守り）の責任者です。
どちらも経営の立場からITを管理します。
特にCISOは、サイバー攻撃から会社を守るための戦略を立て、予算を確保し、万が一の際の指揮を執る、守りの最高司令官です。
CSIRT / SIRT / SOC（シーサート・ソック）
「CSIRT」は社内でインシデントが起きた時に対応するチーム。
「SOC」は24時間体制でネットワークを監視し、攻撃を見つけるチームです。
SOCが攻撃を見つけ、CSIRTが火を消し止める、という連携で会社を守ります。
組織の安全を守るための専門部隊です。
CVE / CVSS
「CVE」は、発見された脆弱性に付けられる世界共通の「識別番号」です。
「CVSS」は、その脆弱性がどれくらい危険かを数値化した「スコア」です。
これらを確認することで、「どのソフトに、どんな危険な穴があるか」を世界中の専門家が共通の基準で把握し、対策の優先順位を決められます。
DDoS攻撃 / DoS攻撃
「DoS攻撃」は、1台のPCから大量のデータを送りつけ、相手のサイトをパンクさせる嫌がらせです。
「DDoS攻撃」は、ウイルスで操った大量のPCから一斉に攻撃する、より強力な進化版です。
人気歌手のチケット予約でサイトが繋がらなくなる状態を、人為的に引き起こすようなものです。
DLP / DMARC
「DLP」は、機密情報の持ち出しを自動で検知・遮断するシステムです。
「DMARC」は、届いたメールが本物の送信元から来たかを確認し、なりすましを防ぐ仕組みです。
どちらも「情報が外に漏れるのを防ぐ」または「偽物による侵入を防ぐ」ための、高度な防御技術です。
DMZ
インターネットと社内ネットワークの間に設けられた「非武装地帯（隔離区域）」です。
外部に公開するウェブサーバーなどをここに配置します。
もしサーバーが攻撃されても、ここが防波堤となり、社内の重要なデータがあるネットワークに直接被害が及ばないようにするための仕組みです。
EDR / EPP
「EPP」はウイルス感染を未然に防ぐ「予防」のソフト（アンチウイルス等）。
「EDR」は、侵入されることを前提に、端末内の動きを監視して、異常を素早く見つけて「対応・復旧」を支援するソフトです。
最近は、予防（EPP）と侵入後対策（EDR）をセットで導入するのが主流です。
Have I Been Pwned (HIBP)
自分のメールアドレスやパスワードが、過去のデータ漏えい事件で流出していないかをチェックできる有名なウェブサイトです。
メールアドレスを入力するだけで、どのサイトから漏れた可能性があるかを教えてくれます。
ここで流出が確認された場合は、すぐにパスワードを変更する必要があります。
IDS / IPS / NIDS
ネットワークへの侵入を検知・防御するシステムです。
「IDS」は異常を見つけて「通知（検知）」し、「IPS」はさらにその通信を「遮断（防御）」まで行います。
道路に設置された「監視カメラ」と「自動ゲート」のような関係で、ファイアウォールだけでは防げない高度な攻撃を見つけ出します。
IoT / OT
「IoT」は家電やセンサーなど「モノ」がネットに繋がること。「OT」は工場の製造ラインや発電所を制御する技術のことです。
これらがサイバー攻撃を受けると、物理的な事故や社会インフラの停止に繋がるため、従来のパソコンとは異なる、特殊な環境に合わせたセキュリティ対策が求められています。
MITRE ATT&CK（マイターアタック）
サイバー攻撃者が使う「戦術」や「手法」を網羅的にまとめた世界的な知識ベースです。
攻撃の流れを「初期侵入」「実行」「権限昇格」などの段階に分け、具体的にどんな手口が使われるかをカタログ化しています。
これを見ることで、攻撃者の出方を予測し、自社の対策に漏れがないかを確認できます。
NISC（内閣サイバーセキュリティセンター）
日本の政府機関で、国全体のサイバーセキュリティ戦略を立て、重要なインフラを守るための司令塔です。
サイバー攻撃の情報を集めて注意喚起をしたり、官民の連携を強めたりする役割を担っています。
日本のネット社会の安全を、国全体として守るための組織です。
OWASP
ウェブサイトなどのソフト（アプリケーション）を安全にするために活動している、世界的な非営利団体です。
特に「OWASP Top 10」という、Webサイトで注意すべき脆弱性のランキングが有名です。
開発者がこれに沿って対策することで、サイバー攻撃に強いサイトを作ることができます。
SIEM / SOAR
「SIEM」は、様々な機器から出る膨大な記録（ログ）を一つに集め、異常を自動で分析・発見するシステム。
「SOAR」は、発見した後の対応（通信遮断や報告）を自動化する仕組みです。
大量の情報をAIなどで賢く処理し、セキュリティ担当者の負担を減らしながら、素早い対応を実現します。
SMS認証
携帯電話のショートメッセージ（SMS）に届く一度きりの数字（コード）を使って、本人確認をする仕組みです。
スマホ本体を手にしている人しかコードが見られないため、パスワードが盗まれても不正ログインを防止できます。
身近で手軽な「二段階認証」の一つとして、多くのサービスで使われています。
UTM
「統合脅威管理」のことです。
ファイアウォール、ウイルス対策、迷惑メール遮断など、複数のセキュリティ機能を一つの箱（機器）に詰め込んだものです。
バラバラに対策する手間が省け、まとめて管理できるため、専門の担当者がいない中小企業などで、効率的に守りを固めるためによく使われます。
VPN / VPN接続 / VPN機能
インターネット上に自分たち専用の「仮想的なトンネル」を作り、データを暗号化してやり取りする技術です。
公衆Wi-Fiなどを使っても、中身を盗み見られる心配がなく、安全に社内ネットワークへアクセスできます。
テレワークで自宅から会社のシステムに繋ぐ際によく使われる「安全な専用通路」です。
WAF（ワフ）
「ウェブ・アプリケーション・ファイアウォール」の略です。
Webサイトへの通信を専門にチェックし、サイトの弱点を突いた攻撃をブロックします。
一般的なファイアウォールが「家全体の門」なら、WAFは「キッチンの勝手口（ウェブサイト）」を狙う不審者を防ぐ、より細かい専門の警備員のような存在です。
