【図解】コレ１枚でわかる情報セキュリティの3要素と7要素

情報セキュリティの3要素

情報は「機密性（confidentiality）」「完全性（integrity）」「可用性（availability）」の3つの要素を「CIA」と呼びます。これら3つの要素は、情報の正確性や信頼性を保ち、安全に情報を取り扱うために意識すべき要素を定義したものです。

「情報セキュリティ」では、「CIAの状態を守るためにどのように情報を扱うのか」を考え、「サイバーセキュリティ」では、「CIAの脅威となる原因や手法にどのように対処するか」という考え方で、対策します。

機密性 (Confidentiality)

情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保することで、具体的な対策は、次のようなことです。

• 情報をデータセンターなど、出入りが厳密に管理された場所に保管する
• IDやパスワードの書かれたメモをPCのディスプレイに貼り付けない
• 正当な権限を持つ者だけが情報にアクセスできる仕組みを作る　など

完全性 (Integrity)

情報が破壊、改ざん又は消去されていない状態を確保することで、具体的な対策は、次のようなことです。

• 情報へのアクセス履歴を残す
• 情報にはデジタル署名をつける
• 情報の変更履歴を残す　など

可用性 (Availability)

情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保することで、具体的な対策は、次のようなことです。

• システムを二重化（または多重化／冗長化）し、業務を停止させない
• BCP（Business Continuity Plan／事業継続計画）を策定し、訓練しておく
• 情報システムの自社所有をやめてクラウドで稼働させる　など　

情報セキュリティの7要素（CIA +4つの新要素）

デジタル化の領域が拡大し、セキュリティの重要性が、さらに高まる中、「CIA」の3つの要素に、新たな4つの要素を付け加えて、対策の有効性を高めようとの考え方があります。

真正性（Authenticity）

情報にアクセスする企業や組織、個人あるいは媒体が「アクセス許可された者」であることを確実にすることで、具体的には、以下のような対策があります。

• デジタル署名
• 二段階認証
• 多要素認証　など

信頼性（Reliability）

データやシステムを利用した動作が、意図した通りの結果を出すことで、具体的には、以下のような対策があります。

• 不具合を起こさないシステムを設計する
• 上記に基づいて構築する
• 操作ミスなどの人為的ミスでも、データが消失しない仕組みにする　など

責任追跡性（Accountability）

企業組織や個人などの動きを追跡することです。これにより、データやシステムへの脅威が何であるのか、あるいは誰のどのような行為が原因なのかを追跡することで、具体的には、以下のような対策があります。

• アクセスログ／システムログを完全に取得・保管する
• デジタル署名を行う
• 操作履歴／ログイン履歴を完全に取得・保管する

否認防止（non-repudiation）

情報が後に否定されないように証明しておくことで、具体的には、「責任追跡性」での対策が、そのまま使えます。

次期・ITソリューション塾・第39期（2022年2月9日 開講）の募集を始めました。