情報セキュリティ（じょうほうセキュリティ、英：Information security、infosec）またはITセキュリティ（アイティーセキュリティー）は、情報リスクの軽減によって情報を保護する実践。の一部である。
概要 情報セキュリティとは、データへの不正または不適切なアクセス、情報の違法な使用・開示（）・妨害・削除・破損・改変・閲覧・記録・価値毀損の発生確率を防止または低減することおよび、そのようなインシデントの悪影響を軽減するための措置などを含んだ包括的な情報保護の実践のことである。
保護対象の情報は、電子的・物理的、有形（書類など）・無形（知識など）を問わず、あらゆる形態を取りうる。情報セキュリティの主要目的は、機密性・完全性・可用性に対する均衡の取れた保護（CIAトライアド。米国政府機関のCIAとは無関係）であり、同時に効率的なセキュリティポリシー実施を維持し、組織の生産性を損なわないことである。これは、おおむね構造化されたリスク管理プロセスによって達成される。
情報セキュリティ分野の標準化に向けて、学術界と実務家は協働し、パスワード、アンチウイルス、ファイアウォール、暗号化ソフトウェア、法的責任、セキュリティ意識向上と訓練等に関する指針・方針・業界標準を提示している。この標準化は、データのアクセス・処理・保存・転送・破棄のあり方に影響を及ぼす多様な法令・規制によってさらに推進されうる 。
紙媒体に依拠する業務は依然として広く見られ、独自の情報セキュリティ実務を要するが、企業のデジタル化の取り組みは一層重視されており、は通常、情報技術のセキュリティ専門家が扱う。
情報セキュリティ専門家は、大規模組織・機関が保有するデータの性質と価値ゆえに、ほぼすべての大規模組織・機関に配置されている。彼らは、機密情報の取得や内部システムの掌握を狙う悪意ある攻撃から、組織内の全技術資産を守る責任を負う。
情報セキュリティには多くの専門領域が存在し、ネットワークおよび関連インフラの保護、アプリケーションとデータベースの保護、、、事業継続計画、電子情報開示、デジタルフォレンジクス等が含まれる。
定義 は、利用者または組織の情報を保護しようとする技法であり、一般に公表資料の形で提示される。この環境には、利用者自身、ネットワーク、デバイス、すべてのソフトウェア、プロセス、保存中または転送中の情報、アプリケーション、サービス、そしてネットワークに直接・間接に接続しうるシステムが含まれる。
情報セキュリティの主たる目的はリスクの低減であり、攻撃の防止・軽減を含む。公表資料は、ツール、ポリシー、セキュリティ概念、安全対策、ガイドライン、リスク管理手法、行動、訓練、ベストプラクティス、情報保証、技術から構成される。
以下に、複数の情報セキュリティの定義例を示す。
「情報の機密性・完全性・可用性の保持。注：加えて、真正性、説明責任、否認不可、信頼性といった他の特性が関与することもある。」（ISO/IEC 27000:2018）ISO/IEC 27000:2018 (E). (2018). Information technology – Security techniques – Information security management systems – Overview and vocabulary. ISO/IEC. 「機密性・完全性・可用性を提供するために、情報および情報システムを、不正なアクセス、使用、開示、妨害、改変、破壊から保護すること。」（CNSS, 2010）Committee on National Security Systems: National Information Assurance (IA) Glossary, CNSS Instruction No. 4009, 26 April 2010. 「権限ある利用者（機密性）が、必要なときに（可用性）、正確で完全な情報（完全性）へアクセスできるようにする。」（ISACA, 2008） 「情報セキュリティとは、組織の知的財産を保護するプロセスである。」（Pipkin, 2000）Pipkin, D. (2000). Information security: Protecting the global enterprise. New York: Hewlett-Packard Company. 「…情報セキュリティはリスク管理の一分野であり、事業における情報リスクのコストを管理することを任務とする。」（McDermott and Geer, 2001）B., McDermott, E., & Geer, D. (2001). Information security is information risk management. In Proceedings of the 2001 Workshop on New Security Paradigms NSPW '01, (pp. 97 – 104). ACM. 「情報リスクと統制が均衡しているという、十分に情報に基づく安心感。」（Anderson, J., 2003） 「情報セキュリティとは情報を保護し、情報が不正な当事者に曝露されるリスクを最小化することである。」（Venter and Eloff, 2003） 「情報セキュリティは学際的な研究・実務分野であり、組織の境界内外のあらゆる所在にある情報、ひいては情報が生成・処理・保存・伝送・破棄される情報システムを脅威から守るため、（技術的・組織的・人間中心・法的）すべての種類のセキュリティ機構の開発と実装に関与する。」 「電気通信システムや機器を用いた情報・情報資源のセキュリティとは、情報、情報システム、または書籍を、不正アクセス、損傷、盗難、または破壊から保護することを意味する。」（Kurose and Ross, 2010）
脅威
情報セキュリティの脅威は多様な形態をとる。現在よく見られる脅威として、ソフトウェア攻撃、知的財産の窃取、なりすまし、機器または情報の窃取、破壊活動、情報恐喝が挙げられる。ソフトウェア攻撃の例にはコンピュータウイルス、ワーム、フィッシング攻撃、トロイの木馬がある。知的財産の窃取は多くの企業にとって深刻な問題である。なりすましとは、ソーシャルエンジニアリング等を通じて他者の個人情報を取得したり、重要情報へのアクセス権を悪用したりするために、他人になりすます試みを指す。破壊活動は、顧客の信頼を損なう目的で組織のウェブサイトを破壊する行為として現れることが多い。情報恐喝は、ランサムウェアに見られるように、企業の資産や情報を窃取し、返還と引き換えに金銭を要求する行為である。これらの攻撃に対する有効な予防策の一つは、定期的なユーザー教育・意識向上活動の実施である。
政府、軍、企業、金融機関、病院、非営利組織、民間事業者は、従業員・顧客・製品・研究・財務状況に関する多数の機密情報を蓄積する。顧客情報、財務情報、新製品に関する情報といった機密情報が競合他社やクラッカーの手に渡った場合、企業と顧客は広範かつ回復不能な金銭的損失を被り、企業の評判も損なわれうる。事業の観点からは、情報セキュリティはコストとのバランスが求められ、はこの課題に対処する数理経済学的アプローチを提供する。
個人にとって、情報セキュリティはプライバシーに大きな影響を及ぼし、その捉え方は文化によって大きく異なる。
歴史 通信の黎明期以来、外交官や軍司令官は、往復文書の機密性を保護する機構と、改ざんを検知する手段の必要性を理解していた 。ユリウス・カエサルは紀元前50年頃にシーザー暗号を考案した人物として知られており、これは秘密の書簡が誤って敵の手に落ちた場合に内容を読まれることを防ぐために作られた。もっとも、保護の多くは手続的な取扱い統制の適用によって達成されていた。機微情報には保護すべき旨の標示が施され、信頼できる人物によって運搬され、警護の下で安全な環境または金庫に保管された。郵便制度が拡大すると、各国政府は信書を傍受・解読・閲読・再封するための公式組織を設置した。
19世紀半ばには、政府が情報を機微度に応じて管理できるよう、より複雑な分類体系が整備された。たとえば英国政府は、1889年に「」を公布し、これを一定程度成文化した。同法第1条はスパイ活動および違法な情報開示を、第2条は公務上の信託違反を扱った。その後まもなく、国家の利益に資する開示を擁護するための公益目的の抗弁が追加された。（も参照）
これに類する法律はインドでも1889年に制定され、英領期と関連づけられ、ラージの政策に反対する新聞を弾圧するために用いられた。1923年には、統治に関わるすべての機密・秘密情報へ適用範囲を拡大する新法が制定された。第一次世界大戦までには、多段階の機密区分制度が各戦線との情報伝達に用いられ、外交・軍事本部における暗号作成・解読部門の活用が一層進んだ。戦間期には、情報を暗号化・復号するための機械が用いられるにつれ、暗号化は高度化した。
コンピュータセキュリティの確立は、情報セキュリティの歴史の幕開けである。その必要性は第二次世界大戦中に顕在化した。大戦期に連合国間で共有された情報量は、分類体系と手続統制の正式な整合化を必要とした。誰が文書を扱えるか（通常は下士官兵ではなく将校）や、どこに保管すべきかを示す多様な秘密標示が発達し、より複雑な金庫や保管施設が整備された。ドイツ国防軍が戦時情報の暗号化に使用したエニグマ暗号機は、アラン・チューリングによって解読に成功した例として著名である。文書を適切に破棄するための手順も整えられたが、これら手順の不遵守は、U-570の拿捕に見られるように、戦争中の大きな情報上の戦果の一因となった。
冷戦期には、複数のメインフレームコンピュータがオンラインで接続され、コンピュータセンター間で磁気テープを郵送するより容易な通信手段によって、より高度な作業が遂行された。こうした背景の下、米国国防総省の国防高等研究計画局（現DARPA）は、米軍内で情報をやり取りするためのネットワーク型通信システムの実現可能性を研究し、1968年にはローレンス・ロバーツによりARPANET計画が立案され、後にインターネットへと発展した。
1973年、インターネットの先駆者ロバート・メトカーフは、ARPANETのセキュリティに関する重要要素に多数の欠陥があることを指摘した。すなわち、「パスワード構造および形式の脆弱性、ダイヤルアップ接続の安全手順の欠如、ユーザー識別と認可の不在」であり、さらに不正アクセスからデータを守るための統制と安全策が欠けていたのである。当時は電話番号が公知であったため、クラッカーはARPANETへ容易にアクセスできた。このような問題、コンピュータセキュリティ侵害の頻発、ホスト数と利用者数の爆発的増加が相まって、「ネットワークセキュリティ」はしばしば「ネットワークインセキュリティ」と揶揄された。
20世紀末から21世紀初頭にかけて、通信、計算機ハードウェア・ソフトウェア、およびデータ暗号化は急速に進歩した。より小型で高性能かつ低価格の計算機機器の普及により、中小企業や家庭の利用者も電子データ処理を利用可能になった。1980年代初頭に確立したTCP/IPは、異なる種類のコンピュータ間の通信を可能にした。これらの計算機はインターネットを介して急速に相互接続された。
インターネットを通じた電子データ処理および電子商取引の急速な拡大と広範な利用、ならびに国際テロの多発は、計算機とそれが保存・処理・送信する情報を保護するためのより良い方法の必要性を高めた。この流れの中で、コンピュータセキュリティおよびの学術分野が形成され、多数の専門組織が生まれ、情報システムの安全性と信頼性の確保という共通の目標を掲げるに至った。
目標 CIAトライアド 機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）から成る「CIAトライアド」は、情報セキュリティの核心に位置づけられる。この概念は1972年のアンダーソン報告で提示され、その後『』で繰り返し論じられた。略称「CIA」は1986年頃にスティーブ・リプナーによって造語された 。
この三要素が、急速に変化する技術やビジネス要件また、電子的役割に十分に対処しうるかについては議論が続いており、可用性と機密性の交差領域、ならびにセキュリティとプライバシーの関係を拡張的に考慮するべきだとする提言もある。また、「説明責任」などの原則が提案されることがある一方、否認不可といった論点は三要素には収まりにくいと指摘されている。
機密性 情報セキュリティにおいて、機密性とは「情報が、無権限の個人・主体・プロセスに利用・開示されないという性質」である。これは「プライバシー」と類似するが同義ではなく、むしろ機密性はプライバシーを構成する要素であり、無権限の閲覧者からデータを守る実装的側面を指す。電子データの機密性が侵害される例として、ノートPCの盗難、パスワードの窃取、機微な電子メールが誤受信者に送信される事例などが挙げられる。
完全性 情報セキュリティにおけるデータ完全性は、データのライフサイクル全体にわたる正確性と完全性の維持・保証を意味する。すなわち、データが無権限あるいは検知不能な形で改変されないことを指す。これはデータベースにおける参照整合性と同一ではないが、古典的なトランザクション処理のACIDモデルにおける「一貫性」の特殊例とみなすことができる。情報セキュリティシステムは通常、自身の完全性を確保する統制（とりわけカーネルまたは中核機能を、意図的・偶発的脅威から保護する統制）を組み込む。多目的・多ユーザの計算機システムは、ある利用者やプロセスが他の利用者・プロセスに悪影響を与えないよう、データと処理を区画化することを目指すが、マルウェア感染、ハッキング、データ窃取、詐欺、プライバシー侵害といった事案に見るとおり、統制が常に成功するとは限らない。
より広義には、完全性はデータに限られず、人間・社会的、プロセス上、商業上の完全性も含む情報セキュリティ原則であり、信頼性、整合性、真実性、完全性、正確性、適時性、保証といった側面に関わる。
可用性 いかなる情報システムも、その目的に資するためには、必要なときに情報が利用可能でなければならない。これは、情報の保存・処理に用いる計算機システム、情報を保護するセキュリティ統制、アクセスに用いる通信経路が適切に機能していることを意味する。高可用性システムは、停電、ハードウェア故障、システム更新によるサービス停止を防ぎ、常時稼働を目指す。可用性の確保には、標的システムへの大量メッセージ送信によって事実上機能停止を狙うサービス拒否攻撃（DoS攻撃）の防止も含まれる。
最終的にはエンドユーザが業務機能を遂行できる必要があり、可用性の確保によって組織は利害関係者の期待する水準で業務を実施し得る。これには、プロキシ設定、外部Webアクセス、共有ドライブへのアクセス、電子メール送受信の可否などの論点が含まれる。経営層はしばしば技術的側面を理解せず、可用性を容易に解決可能な課題とみなすことがあるが、実際にはネットワーク運用、開発運用、インシデント対応、ポリシー・変更管理といった多数の部門横断的な協働を要する。有効な情報セキュリティ体制の実現には、CIAトライアドを効果的に提供すべく多様な関係者の連携・整合が必要である。
追加的な目標 古典的なCIA三要素に加え、真正性、説明責任、否認不可、信頼性といった目標を含める組織もある。
否認不可 法学上、否認不可は取引当事者の一方が取引後に取引の受領を否認できず、他方も取引の送信を否認できないことを意味する。暗号方式などの技術は否認不可を支援しうるが、その核心は技術領域を超える法的概念である点に留意すべきである。
たとえば、メッセージが送信者の秘密鍵で署名されたデジタル署名と一致すること（したがって送信者のみが送信し、転送中に誰も改ざんしていない＝データ完全性）を示すだけでは否認不可には十分でない。なぜなら、送信したに違いないと主張され、それを否定しようとする者は、デジタル署名アルゴリズムの脆弱性や欠陥を示したり、自身の署名鍵が漏えい・侵害されたと主張または立証したりできるからである。これら事象の責任は送信者と主張される者にある場合とない場合があり、かかる主張が送信者と主張される者の責任を免責するか否かも様々であるが、いずれにせよ「署名が必ず真正性と完全性を証明する」との主張は無効化されうる。そのため、送信者はメッセージの送信を否認し得る（つまり、真正性と完全性は否認不可の前提条件にすぎない）。
その他のモデル 1992年に策定され2002年に改訂された経済協力開発機構の『情報システムおよびネットワークのセキュリティのためのガイドライン』は、一般に受け入れられた9原則、すなわち「認識、責任、対応、倫理、民主性、リスク評価、セキュリティ設計と実装、セキュリティ管理、再評価」を提示した。これを踏まえ、2004年にアメリカ国立標準技術研究所は『情報技術セキュリティのための工学原則』の33原則を提案した。
1998年、は古典的CIAトライアドに代わるモデルとして「（情報の6つの原子的要素）」を提案した。機密性、占有、完全性、真正性、可用性、有用性から成る。この六要素の妥当性はセキュリティ専門家の間で議論の的となっている。
2011年、The Open Groupは情報セキュリティ管理標準を公表した。この標準は、セキュリティの主要概念を運用的に定義し、「セキュリティ目標」と呼ばれる要素を、アクセス制御（9項目）、可用性（3項目）、データ品質（1項目）、コンプライアンス、技術（4項目）に関連づけて示した。
ゼロトラスト
「決して信用せず、常に検証せよ」という考えに基づいた「場所に依存せず、厳密なアクセス制御と継続的な検証を行うセキュリティモデル」
関連項目 情報セキュリティマネジメントシステム 情報セキュリティポリシー 保安 コンピュータセキュリティ サイバーセキュリティ ネットワーク・セキュリティ 機密 （機密性） 完全（データ完全性） 可用性 ISO/IEC JTC 1/SC 27 最小権限の原則 情報セキュリティスペシャリスト試験 情報セキュリティマネジメント試験 情報処理安全確保支援士（RISS） 暗号と情報セキュリティシンポジウム (SCIS) リスクマネジメント
脚注
外部リンク
情報セキュリティ - 情報処理推進機構 ここからセキュリティ！ 情報セキュリティ・ポータルサイト - 情報処理推進機構 サイバーセキュリティ政策 - 経済産業省