たとえるなら
家の防犯と同じ考え方です。玄関の鍵（パスワード）をかけ、貴重品は金庫（暗号化）に入れ、防犯カメラ（監視の仕組み）で見張る。どれかひとつで完璧ではなく、複数の備えを重ねることで泥棒に狙われにくい家になります。
もう少しくわしく
セキュリティは、システムやデータを攻撃・盗難・破壊から守るための取り組み全般を指します。パスワードによる本人確認、通信の暗号化、怪しいアクセスの検知と遮断、ソフトの弱点（脆弱性＝ぜいじゃくせい、と読みます）の修正など、守る手段は多岐にわたります。
何を守るのかを整理すると、大きく3つになります。他人に見られないこと（顧客情報が漏れない）、勝手に書き換えられないこと（残高や注文内容が改ざんされない）、そして使いたいときに使えること（攻撃を受けてサービスが止まらない）。この3つのどれが欠けても事故になるため、対策はいつもこの3方向から考えます。
大切なのは、ひとつの対策で完璧に守ることはできないという前提です。攻撃側は常に新しい手口を生み出すため、守る側は複数の防御を重ね、破られたときに早く気づいて被害を最小限にする仕組みまで用意します。企業で情報漏えい（ろうえい）事件が大きなニュースになるのは、お金だけでなく信頼を失う問題だからです。
代表的な攻撃には、盗んだIDとパスワードで他人になりすます不正ログイン、パソコンに入り込んで悪さをするウイルスやランサムウェア（データを人質にして金銭を要求するもの）、本物そっくりの偽サイトに誘導してパスワードを入力させるフィッシング詐欺、大量の通信を送りつけてサービスを止める攻撃などがあります。どれも特別に高度な技術が要るとは限らず、ありふれた油断を突いてきます。
実際、セキュリティの弱点は技術だけではありません。偽メールでパスワードを聞き出す詐欺のように、人の油断を突く攻撃が非常に多いのです。推測されにくいパスワードを使い回さない、不審なリンクを開かない、といった一人ひとりの習慣も、立派なセキュリティ対策の一部です。
会社では、通信の暗号化やアクセス権限の管理、ソフトの更新、ログの監視といった技術的な備えに加えて、研修やルール作りが行われます。個人でできることも多く、パスワードを使い回さない・二段階認証を有効にする・OSやアプリを最新に保つ・怪しいリンクを開かない・大事なデータはバックアップを取る——この5つを守るだけでも、被害に遭う確率は大きく下がります。
それでも事故は起こりえます。実際に不正アクセスや情報漏えいが疑われる事態をインシデントと呼び、多くの会社では発生時の連絡経路と対応手順をあらかじめ決めています。ここで最も避けたいのは、担当者が自分で判断して隠したり、様子を見たりすることです。おかしいと思ったらすぐ報告する——これが被害を小さくする一番の近道です。
現場での使われ方
「セキュリティ的にそれは許可できません」
便利かもしれないけれど、データを危険にさらすリスクがあるので認められない、という判断です。現場でよく聞くフレーズです。
「セキュリティ研修の受講をお願いします」
偽メールの見分け方やパスワード管理など、社員全員が知るべき基本を学ぶ研修です。多くの会社で定期的に行われます。
「脆弱性が公表されたので、至急バージョンを上げます」
使っているソフトに弱点が見つかったという知らせ。攻撃者も同じ情報を見ているため、対応の速さがそのまま安全性になります。
「不審なメールを開いてしまいました」
隠さず即座に報告するのが正解です。早く伝えるほど被害を抑えられるため、報告した人が責められない文化を作っている会社も多くあります。
よくある質問
セキュリティエンジニアとはどんな仕事ですか？
システムの弱点を調べて対策を講じたり、攻撃を検知する仕組みを作ったり、事故が起きたときの対応を指揮したりする、守りの専門家です。攻撃の手口を知り尽くしている必要がある、専門性の高い職種です。
脆弱性（ぜいじゃくせい）とは何ですか？
ソフトウェアやシステムに残っている、攻撃に利用されうる弱点のことです。多くは作ったときの考え漏れが原因で、見つかると開発元が修正版を配ります。だからこそ、こまめに更新することが基本の対策になります。
パスワードは定期的に変えたほうがいいですか？
現在は「定期的に変える」より「長くて推測されにくいものを、サービスごとに使い回さない」ほうが重要とされています。定期変更を義務づけると、かえって覚えやすい単純なパスワードになりがちだからです。漏えいの可能性があるときは、もちろんすぐ変更します。
二段階認証は本当に必要ですか？
強くおすすめします。パスワードが万一漏れても、スマホに届く確認コードなどのもう一段があれば、それだけで不正ログインの大半を防げます。手間はわずかで、効果は非常に大きい対策です。
小さい会社や個人のサイトも狙われるのですか？
狙われます。攻撃の多くは、特定の相手を選んで行われるのではなく、弱点のあるサイトを自動で探し回る形で行われるためです。「うちは小さいから大丈夫」という考え方が、いちばん危ない状態と言えます。
