問80
頻出度★★★
情報セキュリティにおける“可用性”の説明として, 適切なものはどれか。
平成23年度 秋期 ITパスポート試験 問80
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 80
不正解ア
「システムの動作と出力結果が意図したものであること」は、可用性ではなく「信頼性 (Reliability)」の説明。信頼性は、意図した動作と結果が一貫して得られる特性を指し、JIS Q 27000 では機密性・完全性・可用性を補完する追加の特性 (真正性・責任追跡性・否認防止・信頼性) の一つに位置付けられる。利用したいときに使えるかどうかという「時間的な利用可能性」を問う可用性とは観点が異なる。
不正解イ
「情報が正確であり, 改ざんされたり破壊されたりしていないこと」は「完全性 (Integrity)」の説明。完全性は情報の正確さと網羅性を維持する特性で、デジタル署名やハッシュ値による改ざん検知、アクセス権限による更新制御などで確保する。情報が正しいかどうかを問うものであり、必要なときに使えるかどうかを問う可用性とは別の要素である。
- ウ
正解 正解はウ。情報セキュリティの三大要素 (CIA) のうち「可用性 (Availability)」は、認可された利用者が必要とするときに、情報や情報システムを中断なく利用できる状態を保つ特性を指す。JIS Q 27000 では「認可されたエンティティが要求したときに、アクセス及び使用が可能である特性」と定義されている。ウの「認められた利用者が, 必要なときに情報にアクセスできること」は、この定義を平易に言い換えたものであり、可用性の説明として適切である。実務上は、サーバの二重化 (冗長構成)、UPS (無停電電源装置) の設置、定期バックアップ、負荷分散、DoS 攻撃対策などが可用性を高める代表的な施策となる。
不正解エ
「認められていないプロセスに対して, 情報を非公開にすること」は「機密性 (Confidentiality)」の説明。機密性は認可されていない個人・エンティティ・プロセスに情報を使用させず、開示しない特性であり、アクセス制御や暗号化で確保する。情報を「見せない」ことが目的であり、認可された利用者に「使わせる」ことを保証する可用性とは方向性が逆の要素である。
ここがポイント
- 情報セキュリティの三大要素 (CIA): 機密性=認可されていない者に見せない、完全性=情報が正確で改ざんされていない、可用性=認可された利用者が必要なときに利用できる。定義文をそのまま識別できるようにしておく。
- JIS Q 27000 では CIA に加えて真正性・責任追跡性・否認防止・信頼性という追加の特性が定義される。特に「意図した動作と結果の一貫性」を指す信頼性は、可用性・完全性と混同しやすいので区別して覚える。
用語