セキュリティ 重点教科書

みなさんは「情報セキュリティ」と聞くと、なんだか難しそうな響きに感じるかもしれません。でも、やっていることはとてもシンプルです。大切なものを守る、それだけです。自分の家に鍵をかけたり、大事な日記を人に見せないようにしたりするのと、考え方はまったく同じなんです。ただし守る対象が「家」や「日記」ではなく、会社が持っている情報になる、というだけの違いです。

何を守るのか（情報資産）

会社がインターネットやコンピュータの中で活動していると、いろいろな種類の大切な情報、つまり情報資産が生まれます。代表的なものが4つあります。顧客情報（お客様の名前や連絡先、購入履歴など）、営業情報（どんな商談を進めているか、価格戦略など）、知的財産関連情報（新しい技術のアイデアや設計図など、会社が生み出した独自の知恵）、そして人事情報（社員の給料や評価など）です。この4つは「何を守るのか」を考えるときの基本の分類として覚えておきましょう。

情報セキュリティという言葉が生まれた背景には、私たちの活動の場が現実の世界だけでなく、インターネット上のサイバー空間にも広がったことがあります。サイバー空間は誰でも自由に行き来できる分、悪意を持った人が情報を盗んだり壊したりするサイバー攻撃を仕掛けてくる場所でもあります。この章では、そうした攻撃の手口を「人の心を狙うもの」「システムを狙うもの」「物理的なもの」「Webやネットワークを狙うもの」の4つに分けて見ていきます。

1-1. 人の心理を突く攻撃（人的脅威）

技術的な仕組みではなく、人の油断や親切心につけこむ攻撃があります。これをソーシャルエンジニアリングと呼びます。たとえば「情報システム部です。パスワードを確認させてください」という電話がかかってきて、つい教えてしまう。これもソーシャルエンジニアリングの典型例です。「知らない人からの電話で会社のパスワードを聞かれたら」——そんな場面を想像すると、この攻撃がいかに人間くさい手口かがわかると思います。

情報が外に漏れてしまう原因は一つではありません。誰かが故意に持ち出す漏えい、うっかりUSBメモリを電車に置き忘れる紛失、パソコンが壊れてデータが読めなくなる破損、画面を後ろから覗き見される盗み見、通信の内容を第三者にこっそり読み取られる盗聴——これらはすべて「情報が本人の意図しない形で外に出てしまう」という点で共通しています。また、他人になりすまして情報にアクセスするなりすましや、不正にシステムに侵入するクラッキングも、人の心理的な隙や制度の緩みを突く攻撃の仲間です。

会社の中から起きる脅威もあります。従業員が意図的にルールを破る内部不正（たとえば退職前に顧客リストを持ち出すなど）と、ただのうっかりミスである誤操作（メールの宛先を間違えて送ってしまう、など）は、原因はまったく違いますが、どちらも情報漏えいにつながる点で対策が必要です。

近年増えているのが、経営者や取引先になりすまして偽の請求書メールを送り、振込先を書き換えて入金させるビジネスメール詐欺（BEC）です。海外の取引先を装うケースが多く、金額も大きくなりがちな厄介な手口です。さらに悪質なのが二重脅迫（ダブルエクストーション）で、これはデータを暗号化して「元に戻したければお金を払え」と脅すだけでなく、あらかじめ情報を盗んでおいて「支払わなければ公開する」ともう一段階脅してくる、二段構えの恐喝です。盗まれた情報の多くは、一般の検索エンジンでは見つからないダークウェブと呼ばれる闇市場のような場所で売買されてしまいます。

こうした人的脅威への一番の備えは、実は技術ではなく「ルール」です。情報セキュリティポリシーに基づく情報の管理、つまり「誰が」「どの情報を」「どう扱ってよいか」をあらかじめ決めておき、それを徹底することが最大の防御になります。

1-2. システムを狙う攻撃（技術的脅威・マルウェア）

コンピュータに悪さをする不正なプログラムをまとめてマルウェアと呼びます。マルウェアにはいろいろな種類がいて、それぞれ「感染の仕方」や「目的」が違います。自己増殖して他のファイルに入り込むウイルス、ネットワークを通じて自分自身をコピーしながら広がっていくワーム、便利なソフトのふりをして侵入し内部で悪さをするトロイの木馬は、名前の由来（ギリシャ神話のトロイの木馬）通り「化けて忍び込む」のが特徴です。攻撃者が外部から遠隔操作するためのRAT（遠隔操作型のマルウェア）、Officeファイルなどのマクロ機能を悪用するマクロウイルス、キーボードの入力内容をこっそり記録してパスワードを盗むキーロガー、正規の認証を回避してこっそり侵入できる裏口を仕込むバックドアなども覚えておきましょう。

利用者に気づかれずインストールされ、個人情報や行動履歴を収集するスパイウェア、データを勝手に暗号化して身代金を要求するランサムウェアは、ニュースでもよく耳にする名前です。近年特に厄介なのがファイルレスマルウェアで、これはパソコンの中にファイルという「証拠」を残さず、メモリ上だけで活動するため、ウイルス対策ソフトによる検知が非常に難しいという特徴があります。ほかにも、著作権を無視したファイル共有に使われるファイル交換ソフトウェアや、大量にばらまかれる迷惑メール（スパム）もセキュリティ上の注意点です。

修正プログラム（パッチ）がまだ提供されていない弱点を突くゼロデイ攻撃、そして特定の組織を狙って時間をかけてじわじわ攻撃を続けるAPT（高度で持続的な標的型攻撃）は、どちらも「守る側が気づく前に攻撃が進んでしまう」という点で危険性が高い攻撃です。

1-3. 物理的な脅威と、弱点・不正の仕組み

情報セキュリティというとパソコンの中の話だと思われがちですが、物理的脅威も忘れてはいけません。地震や火災などの災害、機器をわざと壊す破壊、業務を妨げる妨害行為は、いずれも「情報を扱う環境そのもの」を脅かします。

また、攻撃者につけこまれる隙のことを脆弱性と呼びます。プログラムの間違いであるバグ、それによって生まれる安全上の欠陥であるセキュリティホール、さらに人間の不注意そのものである人的脆弱性、そして会社が把握・許可していない私物のスマホやクラウドサービスをこっそり業務に使ってしまうシャドーITも、立派な脆弱性の一つです。「会社が知らないところに弱点がある」という意味で、シャドーITは近年特に注目されています。

内部不正がどうして起きてしまうのかを説明する考え方に不正のトライアングルがあります。これは「機会（バレずにできる状況がある）」「動機（お金に困っている、不満があるなど）」「正当化（自分は悪くない、と言い訳できる理由がある）」の3つの条件がそろったときに、人は不正に手を染めやすくなる、という理論です。3つのうちどれか一つでも断てば不正は起きにくくなるため、内部不正対策の基本的な考え方としてよく出題されます。

1-4. Webサービス・ネットワークを狙う攻撃

最後に、インターネットやWebアプリを直接狙う攻撃をまとめて見ていきます。数が多いので、狙われる場所ごとにグループ分けして整理しましょう。

Webアプリの弱点を突く攻撃として、入力欄に悪意のある命令文を紛れ込ませてデータベースを不正に操作するSQLインジェクション、悪意のあるスクリプトをWebページに埋め込んで訪問者のブラウザで実行させるクロスサイトスクリプティング、利用者に気づかれないまま別サイトへの不正な操作を実行させてしまうクロスサイトリクエストフォージェリ、本物そっくりのボタンの上に透明な罠を重ねてクリックさせるクリックジャッキング、Webサイトを閲覧しただけで自動的にマルウェアがダウンロードされるドライブバイダウンロード、本来アクセスできないはずのフォルダに不正にたどり着くディレクトリトラバーサル、プログラムが想定する容量を超えるデータを送り込んで誤動作させるバッファオーバーフロー攻撃があります。

サービスを止める攻撃には、大量のアクセスを送りつけてサーバをパンクさせるDoS攻撃と、それを多数の乗っ取ったコンピュータから同時に行うDDoS攻撃があります。似た名前で紛らわしいですが、DoSは「一人」、DDoSは「大勢」からの攻撃、と覚えるとよいでしょう。また、他人のパソコンを勝手に使って仮想通貨を掘り当てる作業（マイニング）をさせてしまうクリプトジャッキングも、気づかれにくい形でパソコンの資源を奪う攻撃です。

通信そのものを狙う攻撃として、通信の途中に割り込んで盗み見・改ざんする中間者攻撃（Man-in-the-middle）、ブラウザの中に入り込んで通信内容を改ざんするMITB攻撃、メールサーバを勝手に中継地点として使われてしまう第三者中継（オープンリレー）、送信元の情報を偽装するIPスプーフィング、正しいドメイン名を偽のIPアドレスに誘導するDNSキャッシュポイズニング、ログイン後のセッション情報を盗んでなりすますセッションハイジャックがあります。

パスワードを破ろうとする攻撃には、辞書に載っている単語を片っ端から試す辞書攻撃、考えられるすべての組み合わせを試す総当たり（ブルートフォース）攻撃、他のサービスから流出したID・パスワードの組み合わせを使い回して試すパスワードリスト攻撃（クレデンシャルスタッフィング）があります。多くの人が複数のサービスで同じパスワードを使い回してしまうことを狙った攻撃です。

特定の相手を狙う攻撃として、事前に相手を調べ上げてじっくり攻撃する標的型攻撃（よく訪れるWebサイトを改ざんして待ち伏せする「水飲み場型攻撃」や、何度もメールをやり取りして信用させる「やり取り型攻撃」を含む）、偽サイトに誘導して情報を盗むフィッシング、SMSを使ったフィッシングであるスミッシング、身に覚えのない料金請求画面を表示するワンクリック詐欺があります。ゼロデイ攻撃（前述）や、正規のサービス・ソフトウェアの機能を悪用するサービス及びソフトウェアの機能の悪用もこのグループです。

そして2026年時点で特に注目したいのが、生成AIを悪用する新しい攻撃です。AIチャットボットに悪意のある指示を紛れ込ませて本来のルールを無視させるプロンプトインジェクション攻撃、AIの画像認識などを意図的に誤認識させるよう細工したデータである敵対的サンプル（Adversarial Examples）は、いずれもIPAシラバスVer.6.5で新しく用語例に加わったばかりの、これからの出題が期待される最新トピックです。

最後に、攻撃者は闇雲に攻めてくるわけではありません。攻撃の前段階として、標的となる組織の情報を集めるフットプリンティングや、どのポート（通信の窓口）が開いているかを調べるポートスキャンといった攻撃の準備が必ず行われます。これを知っておくと、「攻撃には必ず前触れがある」という視点でセキュリティ対策を考えられるようになります。

技術的な対策だけでは、情報セキュリティは守り切れません。「どんなリスクがあるのかを見極め」「組織としてどう向き合うかを決め」「継続的に見直す」という、いわばマネジメント（管理・経営）の視点が欠かせません。この章では、そうした「仕組みづくり」の考え方を学びます。

2-1. リスクマネジメントの流れ

リスクへの向き合い方は、行き当たりばったりではなく決まった手順で進めます。これをリスクアセスメントと呼び、「どんなリスクがあるかを洗い出すリスク特定」→「そのリスクがどれくらい起こりやすく、起きたらどれくらい困るかを調べるリスク分析」→「対策の優先順位をつけるリスク評価」という3ステップで進みます。

そのうえで、実際にリスクへどう対応するかを決めます。IPAの公式な分類では、リスクへの対応は大きく3つに整理されています。ひとつめはリスク回避で、これはリスクの原因となる活動そのものをやめてしまう方法です（たとえば「危険すぎるので、そのサービス自体を提供しない」）。ふたつめはリスク共有で、これはリスクを自分だけで抱え込まず、他者と分け合う方法です。保険をかけて金銭的な負担を移す「リスク移転」と、バックアップを複数の拠点に分けて置くなどリスクを分散させる「リスク分散」の2種類があります。みっつめはリスク保有で、影響が小さいリスクについては「あえて対策せず受け入れる」という判断です。

なお、実務や他の資格試験では「リスク低減（対策をして影響や発生確率を小さくする）」という言葉もよく使われます。IPAシラバスの正式な用語例には含まれていませんが、実際のリスク対応の現場では、リスク共有やリスク保有と組み合わせてよく使われる考え方なので、あわせて覚えておくと理解が深まります。たとえば、「回避」はそのサービスをやめること、「低減」はウイルス対策ソフトを入れて危険性を下げること、「共有（移転）」は保険をかけること、「共有（分散）」はバックアップを別の場所にも置くこと、「保有」は小さなリスクをそのまま受け入れること、というふうにイメージするとわかりやすいでしょう。

2-2. 情報セキュリティの3要素とその仲間たち（超頻出）

情報セキュリティで最も出題される考え方が、機密性・完全性・可用性という3つの要素、通称CIAです。機密性は「関係ない人に見せない」こと、完全性は「勝手に書き換えられない」こと、可用性は「必要なときにちゃんと使える」ことを指します。判定に迷ったら、「困る状況」から逆算するのがコツです。情報が漏れて困るなら機密性、データが改ざんされて困るなら完全性、システムが止まって困るなら可用性、という具合です。

この3要素に加えて、近年出題が増えている拡張要素もあります。本人が確かに本人であることを保証する真正性、誰が何をしたか後から追跡できる責任追跡性、本人が「やっていない」と後から言い逃れできないようにする否認防止、システムが意図した通りに矛盾なく動作し続ける信頼性です。

これらを組織としてどう扱うかを定めたものが情報セキュリティポリシーであり、そこには組織が向き合うべき情報セキュリティリスクへの考え方が反映されます。何かトラブル（情報セキュリティインシデント）が起きたときには、関係者に正しく情報を伝えるリスクコミュニケーションが欠かせません。そして一度対策を作って終わりではなく、PDCAサイクルなどによる継続的改善を通じて、常にアップデートし続けることが重要です。

2-3. 個人情報保護

会社が扱う情報の中でも、とりわけ慎重な扱いが求められるのが個人情報です。個人情報保護の必要性を踏まえ、多くの会社では自社がどのように個人情報を扱うかを示すプライバシーポリシー（個人情報保護方針）を定めています。個人情報を安全に管理するための具体的な仕組みを安全管理措置と呼び、万が一情報漏えいなどの事故が起きた際の損害賠償リスクに備えるサイバー保険に加入する会社も増えています。

2-4. 組織的な仕組み

ルールを決めるだけでなく、それを実行する組織体制も必要です。多くの会社の情報セキュリティポリシーは、経営方針を示す「基本方針」、具体的なルールを示す「対策基準」、日々の作業手順を示す「実施手順」という3階層構造になっています。

組織全体でセキュリティを管理する仕組みをISMS（情報セキュリティマネジメントシステム）と呼び、これは計画（Plan）→実行（Do）→評価（Check）→改善（Act）というPDCAサイクルを回しながら継続的にレベルアップしていく考え方です。ISMSがきちんと機能しているかを第三者が認証する仕組みがISMS適合性評価制度です。

セキュリティを推進する組織には、経営層を含めて方針を決める情報セキュリティ委員会、実際にインシデントが起きたときに対応する専門チームであるCSIRT、24時間体制でシステムを監視するSOC（Security Operation Center）などがあります。CSIRTとSOCはよく混同されますが、CSIRTは「起きた後の対応」、SOCは「常時の監視」に重点があるとイメージすると整理しやすいです。

被害にあったときや異常を見つけたときに届け出る公的な仕組みとして、コンピュータ不正アクセス届出制度、コンピュータウイルス届出制度、ソフトウェア等の脆弱性関連情報に関する届出制度があります。国のレベルでも、政府情報システムのためのセキュリティ評価制度であるISMAP、サイバー攻撃の情報を官民で共有するJ-CSIP、重要インフラなどを支援するサイバーレスキュー隊（J-CRAT）、中小企業などが自己宣言する形でセキュリティ対策に取り組むSECURITY ACTIONといった仕組みが整えられています。

2-5. 各種の基準・ガイドライン

企業が参考にすべき公的なガイドラインもいくつか押さえておきましょう。経営者向けのサイバーセキュリティ経営ガイドライン、体力の少ない企業向けの中小企業の情報セキュリティ対策ガイドライン、組織のセキュリティ対策の物差しとなる情報セキュリティ管理基準、工場やインフラなど現実世界の設備も絡む対策をまとめたサイバー・フィジカル・セキュリティ対策フレームワーク、IoT機器特有の注意点をまとめたIoTセキュリティガイドライン、クレジットカード情報を扱う事業者向けの国際基準であるPCI DSSがあります。名前だけでもたくさんありますが、「誰向けの、何のためのガイドラインか」をセットで覚えておくと得点源になります。

ここまでで「どんな脅威があるか（1章）」「組織としてどう管理するか（2章）」を学んできました。最後の3章では、実際に手を動かして講じる具体的な対策と技術を見ていきます。

3-1. 人的セキュリティ対策

技術だけに頼らず、人を対象にした対策も重要です。社員全体のセキュリティ意識を高める情報セキュリティ啓発や、実際に不審なメールを模擬的に送って対応力を試す情報セキュリティ訓練（標的型メールに関する訓練など）は、「知らなかった」を防ぐための基本です。日頃からの監視、内部不正を防ぐための組織における内部不正防止ガイドラインの整備、そして「誰が」「どの情報に」触れられるかを制限するアクセス権の設定も、人的対策の重要な柱です。具体的には、情報セキュリティに関する教育・訓練を定期的に行うこと、情報セキュリティポリシーや各種社内規程・マニュアルを守ってもらうこと、そしてアクセス権を適切に設定・管理することが、日常的な活用例として挙げられます。

3-2. 技術的セキュリティ対策（ネットワークを守る）

会社のネットワークを外部の攻撃から守るための技術はたくさんあります。まず、決められたルールに基づいて通信を通すか止めるかを判断するファイアウォールが第一の壁です。それに加えて、Webアプリケーションの弱点を狙った攻撃を専門に防ぐWAF（Web Application Firewall）、不審な通信を検知して知らせるIDS（侵入検知システム）、検知するだけでなく自動的にブロックまでするIPS（侵入防止システム）があります。IDSは「気づいて教える」、IPSは「気づいて止める」と覚えると違いがはっきりします。

パソコンやスマホなど末端の機器（エンドポイント）を守り、異常があればすぐ検知・対応するEDR（Endpoint Detection and Response）、機密情報が外部に漏れ出るのを防ぐDLP（Data Loss Prevention）、様々な機器のログを集めて分析し異常を見つけ出すSIEM（Security Information and Event Management）、感染の疑いがある機器を一時的に隔離して被害を広げない検疫ネットワーク、そして外部に公開するサーバを社内ネットワークから切り離して置く緩衝地帯であるDMZも重要な仕組みです。

通信を安全に暗号化する技術として、Webサイトの通信を守るSSL/TLS、公衆回線の上に仮想的な専用線を作るVPN、スマートフォンなどのモバイル端末を一元管理するMDM（Mobile Device Management）があります。また、画像や音声に目に見えない情報を埋め込む電子透かし、事件が起きたときにデータを解析して証拠を残すデジタルフォレンジックス、実際に攻撃を仕掛けて弱点を洗い出すペネトレーションテスト、記録を分散して改ざんしにくくするブロックチェーン、外部から機器を分解・解析されても情報が読み取られにくい耐タンパ性、起動時に不正なプログラムが入り込んでいないか確認するセキュアブート、それを支えるセキュリティ専用の半導体チップであるTPM（Trusted Platform Module）もあわせて押さえておきましょう。

これらの技術は、具体的にはどう活用されるのでしょうか。マルウェア対策ソフトを導入し定義ファイルを最新に保つマルウェア対策、データのバックアップを取ることに加えて「3つのコピーを、2種類の媒体に、1つは離れた場所に保管する」という3-2-1ルール、一度書き込んだら変更・削除できないWORM機能、バックアップ自体を改ざん・削除から守るイミュータブルバックアップを組み合わせたランサムウェア対策は特に重要です。ほかにも、スパム対策・URLフィルタリング・コンテンツフィルタリング・MACアドレスフィルタリング（許可した機器だけをネットワークに接続させる）・ペアレンタルコントロールといったインターネット利用環境のセキュリティ設定、クラウドサービスのセキュリティ対策、OSアップデートやセキュリティパッチの適用による脆弱性管理も、日々の運用で欠かせない対策です。

3-3. 認証技術

「本人であることをどう確認するか」も情報セキュリティの大きなテーマです。認証の方法は、パスワードのような「知識」、ICカードのような「所持」、指紋のような「生体」という3つの認証要素に分けられ、このうち異なる種類を2つ以上組み合わせるものを多要素認証と呼びます。ここでよくあるひっかけ問題が「パスワードを2回入力させれば多要素認証か」という問いです。答えはNOで、同じ「知識」という要素を2回使っているだけなので多要素認証にはなりません。

改ざんされていないことと本人が作成したことを証明するデジタル署名（署名する側の「署名鍵」と、確認する側の「検証鍵」を使います）、「いつ」その情報が存在したかを証明するタイムスタンプ（時刻認証）、状況（普段と違う場所からのアクセスなど）に応じて認証の厳しさを変えるリスクベース認証もよく出題されます。

日常的な利用者認証としては、ID・パスワードによるログインとその後のアクセス管理、物理的なカードを使うICカード、使い捨ての一回限りのパスワードであるワンタイムパスワード、パスワードそのものを使わないパスワードレス認証、クレジットカード決済時の本人確認であるEMV 3-Dセキュア（3Dセキュア2.0）、携帯電話番号に送るコードで確認するSMS認証、一度のログインで複数のサービスを利用できるシングルサインオンがあります。

体の特徴を使う生体認証（バイオメトリクス認証）には、指の血管の模様を使う静脈パターン認証、目の模様を使う虹彩認証、声の特徴を使う声紋認証、顔の形を使う顔認証、目の奥の血管を使う網膜認証などがあります。生体認証の精度を表す指標として、本人なのに拒否してしまう確率を示すFRR（本人拒否率）と、他人なのに誤って受け入れてしまう確率を示すFAR（他人受入率）があり、この2つの意味の違い（拒否か、受け入れか）は頻出のひっかけポイントです。

3-4. 暗号技術とPKI

情報を第三者に読まれないようにする技術が暗号です。読める状態から読めない状態に変える暗号化と、その逆の復号が基本の考え方です。暗号の方式には、同じ鍵で暗号化・復号を行う共通鍵暗号方式（高速だが鍵を安全に届けるのが難しい）、暗号化用と復号用で異なる鍵を使う公開鍵暗号方式（鍵を届けやすいが処理が遅い）、そして両方のいいとこ取りをしたハイブリッド暗号方式があります。また、データが改ざんされていないかを短い符号で確認するハッシュ関数、パソコンの中身をまるごと暗号化するディスク暗号化、特定のファイルだけを暗号化するファイル暗号化も重要です。無線LANの通信を暗号化する規格であるWPA2を使うことも、身近な暗号活用例のひとつです。

公開鍵暗号方式を安全に使うための社会的な仕組みがPKI（公開鍵基盤）です。「この公開鍵は確かにこの人（組織）のものです」と証明するデジタル証明書、それを発行する信頼の起点となるルート証明書（証明の連鎖のおおもと、という意味でトラストアンカーとも呼ばれます）、Webサーバの身元を証明するサーバ証明書、利用者側の身元を証明するクライアント証明書、そしてこれらの証明書を発行する組織であるCA（認証局）があります。証明書が有効期限前に無効になった場合、それを一覧にしたCRL（証明書失効リスト）で確認できる仕組みも用意されています。

3-5. IoT・アプリケーションソフトウェアのセキュリティ

家電や工場の機械なども含めたIoT（モノのインターネット）が広がるにつれ、後から安全対策を付け足すのではなく、企画・設計の段階からセキュリティを組み込んでおくセキュリティバイデザイン、同様に個人情報保護の仕組みを最初から組み込むプライバシーバイデザインという考え方が重視されるようになっています。IoT機器は一度設置すると細かく更新されにくいことが多いため、「後で直す」より「最初から安全に作る」ことが大切なのです。

Webアプリの対策としては、1章で紹介した攻撃に対応する形で、悪意のあるスクリプトを無害な文字列に変換するクロスサイトスクリプティング対策（サニタイジング等）や、データベースへの命令文をうまく分離して不正な操作を防ぐSQLインジェクション対策があります。「攻撃を知ったら、必ずセットで対策も覚える」という復習の仕方がおすすめです。

3-6. 物理的セキュリティ対策

最後は、パソコンの中だけでなく、建物や設備そのものを守る対策です。不審な行動を記録する監視カメラ、鍵を管理する施錠管理、誰がいつ出入りしたかを管理する入退室管理の3つが基本です。さらに細かく見ると、入室記録のない人がそのまま退室できないようにする仕組みであるアンチパスバック、二重扉になっていて片方が開いている間はもう片方が開かないインターロック、離席時に机の上の書類やパソコン画面に情報を残さないクリアデスク・クリアスクリーン、ノートパソコンを物理的に固定するセキュリティケーブル、災害などに備えてデータを離れた場所にも保存しておく遠隔バックアップがあります。ICカードを使った入退室管理は、身近で分かりやすい活用例といえるでしょう。