この章で学ぶこと

第1〜7章では、脅威・マネジメント・対策・認証暗号という「守るべきもの」と「守り方」を学びました。この章は、2027年シラバスで完全新設された中分類で、それらを実際にどう実装し、どう評価するかという一段実務的な視点を扱います。生成AI・LLMのセキュリティ、セキュアコーディング、クラウド・コンテナ実装、ハードウェア/IoT/OT、デジタルフォレンジック、そして脆弱性管理・評価制度という6つのテーマは、シラバスハックの「生成AI×資格」という軸とも直結する、このコース最大の差別化ポイントです。

ゼロトラストとAI・LLMセキュリティ

第6章で触れたゼロトラストアーキテクチャ(ZTA)を実装レベルで見ると、米国の指針NIST SP 800-207に基づき、アクセスを許可するかを判断するポリシー決定ポイント(PDP)と、実際にその判断を執行するポリシー実施ポイント(PEP)という2つの要素で構成されます。

生成AIの普及に伴い新設されたのがAIを使ったセキュリティ技術(AI for Security)です。第2章で学んだプロンプトインジェクションへの対策として、指示と外部データを分離するプロンプトインジェクション対策(プロンプト分離・エージェントの権限分離)、システムプロンプトを強化し機密情報を分離するLLMの脅威への対策（システムプロンプトの強化・入力プロンプトの検証・外部参照データの検証と分離・RAG用データストアへのアクセス制御）が具体的に明記されています。こうした対策の拠り所となるのがAIのセキュリティ確保のための技術的対策に係るガイドラインです。

扱う用語（精選・5語）

• ゼロトラストアーキテクチャ(ZTA・NIST SP 800-207・PDP・PEP)
• AIを使ったセキュリティ技術(AI for Security)／プロンプトインジェクション対策／LLMの脅威への対策／AIのセキュリティ確保のための技術的対策に係るガイドライン

セキュアコーディングとWebアプリケーション実装対策

第1〜2章で学んだ攻撃手法に対応する実装レベルの防御を学びます。脆弱性を作り込まないセキュアプログラミングの実践と、IPAが公開するセキュアコーディングの指針(安全なウェブサイトの作り方など)が土台です。脆弱性を発見する脆弱性検査技術には、ソースコードを解析するSAST(静的検査)、実際に動かして検査するDAST(動的検査)、Web特有の脆弱性検査、想定外の入力を大量に送り込むファジングがあります。

具体的な対策としては、出力時に特殊文字を無害化する出力時のエスケープ処理(出力エンコーディング)によるクロスサイトスクリプティング対策、命令文と値を分離するSQLインジェクション対策(プレースホルダなど)、リクエストの正当性を確認するCSRFトークン、境界チェックによるバッファオーバーフロー対策、ソルトを加えてハッシュを強化するパスワードクラック対策(ソルト・ストレッチングなど)があります。ブラウザの基本的な防御であるSame Origin Policyと、それを緩和して許可するCORS(オリジン間リソース共有)、cookieの安全な設定であるcookieの属性指定(Secure・HttpOnly・SameSite)、常時HTTPS通信を強制するHSTS(HTTP Strict Transport Security)、実行可能なスクリプトの出所を制限するCSP(Content Security Policy)、外部リソースの改ざんを検知するSRI(Subresource Integrity)も、Webアプリケーションの標準的な防御手段です。

扱う用語（精選・15語）

• セキュアプログラミング／セキュアコーディングの指針／脆弱性検査技術(SAST・DAST・ファジング)
• 出力時のエスケープ処理／クロスサイトスクリプティング対策／SQLインジェクション対策／CSRFトークン／バッファオーバーフロー対策／パスワードクラック対策
• Same Origin Policy／CORS／cookieの属性指定／HSTS／CSP／SRI

ソフトウェアサプライチェーン・クラウド・コンテナのセキュリティ実装

第2章で学んだソフトウェアサプライチェーン攻撃への対策として、機密情報をコードに埋め込まないシークレット管理(シークレットストア・ハードコードの排除)、外部ライブラリを最新に保つ依存ライブラリの更新管理、開発者本人であることを証明する署名付きコミット、ビルド成果物の正当性を確認する成果物の署名検証、サプライチェーン全体の完全性を保証する枠組みSLSAがあります。

クラウド環境では、不要な機能を停止し攻撃対象領域を減らす要塞化(ハードニング)、第3章で学んだ責任共有モデルに基づく役割分担の実践、クラウドのアイデンティティ・アクセス管理、公開範囲や権限の誤りであるクラウドの設定不備、クラウド基盤の内部情報を守るインスタンスメタデータサービスの保護が実装課題になります。コンテナ技術の普及に伴い、コンテナイメージの脆弱性管理、コンテナ群を管理するオーケストレーション基盤でのコンテナオーケストレーションのアクセス制御(RBAC・ネットワークポリシー)、インフラをコードとして定義する際のIaC(Infrastructure as Code)のセキュリティスキャンも、2027年シラバスで具体化された実装課題です。

扱う用語（精選・13語）

• シークレット管理／依存ライブラリの更新管理／署名付きコミット／成果物の署名検証／SLSA
• 要塞化(ハードニング)／責任共有モデルに基づく役割分担／クラウドのアイデンティティ・アクセス管理／クラウドの設定不備／インスタンスメタデータサービスの保護
• コンテナイメージの脆弱性管理／コンテナオーケストレーションのアクセス制御／IaCのセキュリティスキャン

ハードウェア・IoT・産業制御システム(OT)のセキュリティ

ソフトウェアだけでなくハードウェアレベルの保護も重要です。改ざん耐性のある専用チップセキュアエレメント、鍵の保管・暗号処理を行うTPM(Trusted Platform Module)、ディスク自体が暗号化機能を持つ自己暗号化ドライブ(SED)、起動プロセスの正当性を検証するセキュアブート(UEFI)、物理的な解析への耐性である耐タンパ性があります。これらはセンサーや家電などIoTのセキュリティを実現する基盤技術でもあります。

工場やプラントを制御する制御システムのセキュリティには、専用の国際規格IEC 62443(産業用オートメーション及び制御システムのセキュリティ)、それに基づく管理体制サイバーセキュリティマネジメントシステム(CSMS)、製品の認証制度ISASecure CSA認証(IEC 62443-4-2)、日本独自のJC-STAR(セキュリティ要件適合評価及びラベリング制度)があります。制御システムを階層的に捉えるPurdueモデルを土台に、情報系(IT)と制御系(OT)を分離するIT／OT境界のDMZ、一方向にしかデータを流さない一方向ゲートウェイ、機器のソフトウェアを安全に更新するファームウェアのセキュアアップデート、調達段階でセキュリティを確認するIT製品の調達におけるセキュリティ要件リストもあわせて押さえておきましょう。

扱う用語（精選・16語）

• セキュアエレメント／TPM／自己暗号化ドライブ(SED)／セキュアブート(UEFI)／耐タンパ性／IoTのセキュリティ
• 制御システムのセキュリティ／IEC 62443／サイバーセキュリティマネジメントシステム(CSMS)／ISASecure CSA認証／JC-STAR／Purdueモデル／IT／OT境界のDMZ／一方向ゲートウェイ／ファームウェアのセキュアアップデート／IT製品の調達におけるセキュリティ要件リスト

デジタルフォレンジックとマルウェア解析

インシデント発生後、証拠として法的に通用する形でデータを保全する証拠保全が第一歩です。メモリのように消えやすい情報から先に集める揮発性データの収集順序、原本を変更しないよう複製するディスクイメージの取得と書込み防止、複製元と同一であることを証明するハッシュ値による同一性の証明、誰がいつ証拠を扱ったかを記録し続けるChain of Custody(証拠保全の連鎖)が、証拠の信頼性を支えます。収集した記録から事象の時系列を再構築するタイムライン分析、メモリの内容を解析するメモリフォレンジックも代表的な手法です。

攻撃者やマルウェアの挙動を安全に観察する環境として、隔離された領域でプログラムを実行するサンドボックス、おとりのシステムで攻撃者を誘い込むハニーポット、それをネットワーク規模に広げたハニーネット、通信内容を記録するパケットキャプチャがあります。マルウェア自体を分析する際は、実行ファイルの構造を調べるバイナリファイルの解析、機械語をプログラミング言語に近い形に戻す逆アセンブル、圧縮・難読化されたコードを元に戻すアンパックが基本手順で、攻撃者側もこれらの解析を妨害する解析やセキュリティ検知を回避する技術(パッカー・難読化・アンチデバッグ・マルウェア対策ソフトの停止など)を使ってくることを念頭に置く必要があります。

扱う用語（精選・15語）

• 証拠保全／揮発性データの収集順序／ディスクイメージの取得と書込み防止／ハッシュ値による同一性の証明／Chain of Custody／タイムライン分析／メモリフォレンジック
• サンドボックス／ハニーポット／ハニーネット／パケットキャプチャ
• バイナリファイルの解析／逆アセンブル／アンパック／解析やセキュリティ検知を回避する技術

脆弱性管理・診断とセキュリティ評価制度

ソフトウェアに含まれる部品を洗い出すソフトウェア構成分析(SCA)と、その部品表であるSBOMを利用した脆弱性管理は、第2章のサプライチェーン攻撃対策とも直結します。日本の脆弱性情報ポータルJVN(Japan Vulnerability Notes)、脆弱性の深刻度を数値化する共通脆弱性評価システム(CVSS)、個々の脆弱性を一意に識別する共通脆弱性識別子(CVE)、脆弱性の種類を分類する共通脆弱性タイプ一覧(CWE)、セキュリティ設定を標準化して自動チェックするセキュリティ設定共通化手順(SCAP)が代表的な枠組みです。優先度づけの新しい指標として、実際に悪用が確認された脆弱性を示すKEV(Known Exploited Vulnerability)、悪用される確率を予測するEPSS(Exploit Prediction Scoring System)、組織の状況に応じて対応優先度を判断するSSVC(Stakeholder-Specific Vulnerability Categorization)も2027年シラバスで新設されています。

実際にシステムの弱点を確認する手法として、既知の脆弱性の有無を確認する脆弱性診断、実際に侵入を試みてどこまで到達できるか検証するペネトレーションテスト、外部の研究者に脆弱性発見を報奨金付きで依頼する脆弱性報奨金制度(バグバウンティプログラム)があります。

製品自体の安全性を第三者が評価する国際的な枠組みがISO/IEC 15408で、これに基づく評価基準コモンクライテリア(CC)、製品カテゴリごとの要求事項プロテクションプロファイル(PP)、評価の実施方法を定めるISO/IEC 18045・共通評価方法(CEM)、評価の厳格さの度合いを示す評価保証レベル(EAL)があります。日本国内の認証制度としては、IT製品を評価するJISEC(ITセキュリティ評価及び認証制度)、暗号モジュールを評価するJCMVP(暗号モジュール試験及び認証制度)、米国の暗号モジュール要求事項FIPS 140、政府調達で参照されるCRYPTREC暗号リストがあり、支援士がシステムの安全性を第三者に説明する際の拠り所になります。

扱う用語（精選・23語）

• ソフトウェア構成分析(SCA)／SBOMを利用した脆弱性管理／JVN／CVSS／CVE／CWE／SCAP／KEV／EPSS／SSVC
• 脆弱性診断／ペネトレーションテスト／脆弱性報奨金制度
• ISO/IEC 15408／コモンクライテリア(CC)／プロテクションプロファイル(PP)／ISO/IEC 18045／共通評価方法(CEM)／評価保証レベル(EAL)／JISEC／JCMVP／暗号モジュールのセキュリティ要求事項(FIPS 140)／CRYPTREC暗号リスト

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「セキュリティ実装技術・評価」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、「実装レベルの対策」と「それを評価・証明する仕組み」という2つの軸で理解したほうが記憶に定着しやすいためです）。特にCVE/CVSS/CWEのような似た略語群、ISO/IEC 15408系の評価制度は、比較表で違いを整理してください。

【ゼロトラストとAI・LLMセキュリティ】ゼロトラストアーキテクチャ(ZTA)、PDP、PEP、AI for Security、プロンプトインジェクション対策、LLMの脅威への対策
【セキュアコーディングとWeb実装対策】セキュアプログラミング、SAST、DAST、ファジング、出力エンコーディング、CSRFトークン、Same Origin Policy、CORS、HSTS、CSP、SRI
【サプライチェーン・クラウド・コンテナ】シークレット管理、依存ライブラリの更新管理、SLSA、要塞化、責任共有モデル、クラウドの設定不備、コンテナイメージの脆弱性管理、IaCのセキュリティスキャン
【ハードウェア・IoT・OT】TPM、セキュアブート、耐タンパ性、IEC 62443、Purdueモデル、IT／OT境界のDMZ、一方向ゲートウェイ
【デジタルフォレンジック】証拠保全、Chain of Custody、タイムライン分析、メモリフォレンジック、サンドボックス、ハニーポット、逆アセンブル
【脆弱性管理と評価制度】SBOM、CVE、CVSS、CWE、KEV、EPSS、SSVC、脆弱性診断、ペネトレーションテスト、ISO/IEC 15408、コモンクライテリア(CC)、評価保証レベル(EAL)、JISEC、JCMVP

このプロンプトが「実装レベルの対策」と「評価・証明する仕組み」の2軸整理を指示しているのは、この章が新設分野で固有名詞・略語が特に多いためです。「これは何を作る技術か、それとも何かを評価・認証する制度か」を意識すると、初見の用語でも大まかに位置づけられるようになります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、ゼロトラストとAI・LLMセキュリティ、セキュアコーディング、クラウド・コンテナ実装、ハードウェア/IoT/OTセキュリティ、デジタルフォレンジック、そして脆弱性管理・セキュリティ評価制度という、2027年シラバスで完全新設された実装・評価の視点を学びました。ここまでの第1〜8章で、SCの専門知識（脅威・マネジメント・対策・実装評価）を一通りカバーしたことになります。

次章では、専門知識の最後としてネットワークの構成技術・プロトコル・広域/移動体通信の基礎を学びます。→ 第9章 ネットワークの構成技術とプロトコル・広域/移動体通信