ホーム ＞ ISC ＞ 脅威と攻撃

情報システムへの脅威と攻撃

Threats and Attacks against Information Systems
ISC脅威と攻撃読む時間 約10分 ／ 2026年試験範囲
この記事のポイント① 攻撃は 脆弱性vulnerability（弱点）を 脅威threat が突くことで起きる
② 人をだます ソーシャル・エンジニアリングsocial engineering が最も多い入り口
③ 攻撃の流れを知り、インシデント対応計画incident response plan を用意する

1主な攻撃

Common attacks
攻撃英語内容
フィッシングPhishing本物そっくりのメールで、パスワードなどを盗む。特定の人を狙うのはスピア・フィッシング
マルウェアMalwareウイルス、ワーム、トロイの木馬など、害のあるソフト
ランサムウェアRansomwareデータを暗号化し、元に戻すための身代金を要求する
サービス妨害攻撃Denial of service (DoS / DDoS)大量の通信を送りつけ、サービスを止める
中間者攻撃Man-in-the-middle attack通信の間に入り込み、盗み見たり書き換えたりする
SQLインジェクションSQL injection入力欄に命令文を入れ、データベースを不正に操作する
ソーシャル・エンジニアリングSocial engineering電話や会話で人をだまして情報を聞き出す

2攻撃の流れと対策

Attack stages and defenses
1
偵察Reconnaissance
標的の情報を集める
2
侵入Initial access
フィッシングや脆弱性を使って入り込む
3
権限の拡大と横への移動Escalation and lateral movement
より強い権限を取り、ほかのシステムへ広がる
4
目的の実行Actions on objectives
データを盗む、暗号化する、壊す
対策内容
セキュリティ教育従業員にフィッシングの見分け方を教える
パッチの管理ソフトの弱点を修正するプログラムを早く当てる
侵入テスト専門家が実際に攻撃してみて、弱点を見つける（penetration test）
脆弱性スキャンツールで既知の弱点を探す

3インシデント対応

Incident response
1
準備Preparation
計画・連絡体制・ツールを用意する
2
検知と分析Detection and analysis
事故を見つけ、影響を調べる
3
封じ込め・根絶・復旧Containment, eradication and recovery
被害を広げず、原因を取り除き、元に戻す
4
事後の振り返りPost-incident activity
教訓を記録し、再発を防ぐ
英語で読む
Ransomware encrypts an organization's data and demands payment for the decryption key; reliable offline backups are a key defense.
ランサムウェアは組織のデータを暗号化し、復号の鍵と引き換えに支払いを求める。ネットから切り離した確かなバックアップが重要な防御になる。

4この記事の英単語

Key terms
threat
脅威
vulnerability
脆弱性
phishing
フィッシング
malware
マルウェア
ransomware
ランサムウェア
denial-of-service attack
サービス妨害攻撃
man-in-the-middle attack
中間者攻撃
SQL injection
SQLインジェクション
social engineering
ソーシャル・エンジニアリング
penetration test
侵入テスト

→ 発音・例文は「USCPA英単語」ページと、単語帳『Before USCPA』で確認できます。

5確認問題

Practice questions — 本試験と同じく英語で解いてみよう
PR
独学でつまずいたら、予備校の無料資料で全体像をつかもう
講義動画で図を見ながら学ぶと、理解が一気に進みます。主要予備校の特徴は比較ページで確認できます。
予備校比較を見る

情報システムと内部統制の一般的な考え方、AICPAのTrust Services Criteria・SOC報告書、NISTなどの公開された枠組みの考え方を、本サイトが日本語でまとめたものです。英文・設例・問題は本サイトが作成したものです。