情報セキュリティ用語集【初心者向け】基礎・Web・攻撃・対策キーワード解説

「社内のIT担当・セキュリティ担当になったけれど、専門用語が多すぎて理解できない」

「ニュースや業務でよく聞くセキュリティ用語を、手軽に一覧で確認したい」

IT化やクラウド利用が急速に進む現代ビジネスにおいて、情報セキュリティの基礎知識は全社員、特にIT・総務・情シス担当者にとって必須のスキルとなっています。

しかし、セキュリティ分野は英略語や専門用語が多く、何から覚えればいいのか迷ってしまうことも少なくありません。

本記事では、IT初心者や新任担当者向けに、絶対に押さえておきたい情報セキュリティの基礎用語・最新キーワードをわかりやすく網羅して解説します。

辞書がわりにぜひご活用ください。

1. 【基本・概念】知っておくべき重要セキュリティ用語
2. 【攻撃手法・脅威】サイバー攻撃の種類と用語
3. 【防御・セキュリティ対策】システムと運用の用語
4. 【認証・Web・用語表現】覚えておきたい実務用語
5. 初心者が情報セキュリティ対策で最初にやるべきこと
まとめ：用語を理解し、組織のセキュリティリテラシーを高めよう
1. 情報セキュリティ研修をご検討中の方へ

1. 【基本・概念】知っておくべき重要セキュリティ用語

セキュリティの根幹となる考え方や基本概念に関する用語です。

CIA（情報の3要素）： 機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の頭文字。セキュリティ確保の3大原則。
機密性（Confidentiality）： 許可された人だけが情報にアクセスできる状態を保つこと。
完全性（Integrity）： 情報が改ざんされず、正確かつ完全な状態に保たれていること。
可用性（Availability）： 必要な時に、必要な人がいつでも情報にアクセスできる状態を保つこと。
情報資産： 企業が保有するデータ、顧客情報、システム、ハードウェアなどの価値ある情報全般。
脆弱性（ぜいじゃくせい / Vulnerability）： システムやプログラムに存在するセキュリティ上の欠陥や「抜け穴」。
脅威（Threat）： 情報資産に損害を与える潜在的な要因（マルウェア、不正アクセス、自然災害など）。
リスク（Risk）： 脆弱性と脅威が組み合わさることで、実際に被害が発生する可能性と影響度。
多層防御（Defense in Depth）： 単一の対策に頼らず、ネットワーク、端末、データなど複数の層で重厚に防御する考え方。
ゼロトラスト（Zero Trust）： 「社内ネットワークであっても誰も信用しない」を前提に、すべてのアクセスを検証・認証する最新のセキュリティ概念。

ゼロトラストセキュリティとは？中小企業向けのわかりやすい解説

「社内ネットワークのなかにいるから安全」「強固なファイアウォールを導入しているから、情報漏えいは起きないだろう」これまでの企業セキュリティでは、このような「社内（内側）は安全、社外（外側）は危険」という境界線を前提とした対策が一般的でし…

2. 【攻撃手法・脅威】サイバー攻撃の種類と用語

攻撃者が企業や個人を狙う際に用いる代表的な攻撃・脅威用語です。

マルウェア（Malware）： 悪意のあるソフトウェア全般（ウイルス、ランサムウェア、ボットなどの総称）。
コンピューターウイルス： 他のファイルに寄生・自己増殖し、システム破壊やデータ削除を行うプログラム。
ランサムウェア（Ransomware）： データを暗号化して盾に取り、復元と引き換えに身代金（Ransom）を要求する悪質なマルウェア。
トロイの木馬： 一見役に立つアプリやファイルに偽装し、内部で悪質な処理を行うプログラム。
スパイウェア： ユーザーの同意なく個人情報や操作履歴を収集し、外部へ送信するプログラム。
ボット / ボットネット： 攻撃者によって遠隔操作される感染端末群。多重攻撃の踏み台に利用される。
フィッシング詐欺（Phishing）： 実在の企業や銀行に偽付けたメールやWebサイトで、ログイン情報やクレカ情報を盗み出す手法。
標的型攻撃： 特定の企業や組織を標的に定め、精巧な偽メール等を用いて侵入を試みる攻撃。
水飲み場型攻撃： 標的がよく閲覧するWebサイトを改ざんし、訪問した段階でマルウェアに感染させる手法。
DDoS攻撃（Distributed Denial of Service）： 多数の機器から一斉に大量のデータを送りつけ、サーバーを過負荷にしてダウンさせる攻撃。
SQLインジェクション： Webサイトの入力フォーム等に不当なSQL文を注入し、データベースを不正操作する攻撃。
クロスサイトスクリプティング（XSS）： Webサイトに悪意あるスクリプトを仕込み、訪問者のブラウザ上で実行させてクッキー等を奪う攻撃。
ブルートフォース攻撃（総当たり攻撃）： パスワードの組み合わせを端から順番にすべて試して突破する攻撃手法。
パスワードリスト攻撃： 他社サービスから流出したID・パスワードのリストを使い、別のサービスへ不正ログインを試みる手法。
中間者攻撃（MITM）： 通信を行っている二者の間に割り込み、通信内容の盗聴や改ざんを行う攻撃。
ゼロデイ攻撃： 脆弱性が発見されてから、修正パッチが配布される前（0日目）に行われる攻撃。
ソーシャルエンジニアリング： 人の心理的な隙や日常動作（肩越しに画面を見る、ゴミ箱を漁る等）を利用して機密情報を盗む手法。
ビジネスメール詐欺（BEC）： 経営層や取引先になりすまし、不審な送金指示を出して金銭を騙し取る詐欺。
ルートキット（Rootkit）： 攻撃者がシステムへ侵入後、最高管理者権限を維持し、自身の存在やマルウェアの動向を隠蔽するツール群。
サプライチェーン攻撃： セキュリティが強固な大企業を直接狙わず、関連会社や業務委託先などの弱点を突いて侵入する手法。

マルウェアの種類とは？ランサムウェア・トロイの木馬・ワームなどをわかりやすく解説

「マルウェアと一言で言っても、具体的にどのような種類があるのだろう」「ランサムウェアやトロイの木馬という言葉は聞くが、それぞれの特徴や違いが曖昧になっている」企業のDX推進やクラウド活用、テレワークの導入が日常ルーティンとなる中、サイバー攻…

サイバー攻撃の種類一覧｜代表的な攻撃手法と企業が知っておくべき対策をわかりやすく解説

「サイバー攻撃対策をはじめたいが、攻撃の種類が多すぎて全体像がつかめない」「自社のセキュリティ対策でどこに穴があるのか確認したい」企業のDX推進やリモートワークの定着に伴い、サイバー攻撃の手法は年々多様化・高度化しています。攻撃の狙いは単な…

3. 【防御・セキュリティ対策】システムと運用の用語

攻撃を防ぐため、企業が導入する技術や運用・施策に関する用語です。

ファイアウォール（Firewall）： 外部ネットワークと内部ネットワークの間に立ち、不正な通信を遮断する「防火壁」。
IDS（侵入検知システム）： ネットワークやサーバーへの不審な侵入・不正通信を検知して管理者に通知するシステム。
IPS（侵入防止システム）： 不正な侵入や攻撃通信を検知するだけでなく、自動的に遮断・防御するシステム。
UTM（統合脅威管理）： ファイアウォール、VPN、アンチウイルス、Webフィルタリングなどを1台の機器に集約したセキュリティ装置。
EDR（Endpoint Detection and Response）： パソコンやスマホ（エンドポイント）上の挙動を常時監視し、不審な動きを迅速に検知・対処するツール。
WAF（Web Application Firewall）： Webアプリケーション特有の攻撃（SQLインジェクションやXSSなど）からWebサイトを守る専用のファイアウォール。
VPN（Virtual Private Network）： インターネット上に暗号化された仮想の専用回線を構築し、安全に通信を行う技術。
DLP（Data Loss Prevention）： 機密データそのものを常時監視し、外部への不当な持ち出しや送信を自動ブロックする情報漏えい対策ソリューション。
SOC（Security Operations Center）： 24時間365日体制でネットワークやログを監視し、サイバー攻撃の検出・分析を行う専門組織。
CSIRT（シーサート）： セキュリティインシデント（事故）が発生した際に、迅速に調査・対応・収束を行う社内チーム。
サンドボックス： 外部から受け取った怪しいファイルを、安全に隔離された仮想環境内で実際に動かして挙動をテストする技術。
暗号化： 第三者に解読されないよう、特別なアルゴリズムを用いてデータを読み取れない形式に変換すること。
SSL/TLS： Webサイトとその訪問者間の通信を暗号化し、盗聴や改ざんを防ぐプロトコル（URLが「https://」になる）。
多要素認証（MFA）： 「パスワード（知識）」「スマホ等（所持）」「指紋等（生体）」のうち、2つ以上を組み合わせて認証する仕組み。
バックアップ： システム障害やランサムウェア被害に備え、データを別の場所（クラウドや外付けHDD等）に二重保存しておくこと。