問56
頻出度★★★
情報セキュリティに関する用語である可用性, 完全性, 機密性及び脆弱性のうち, ISMSが組織の情報資産に対して維持管理すべき特性としているものだけを全て挙げたものはどれか。
平成27年度 春期 ITパスポート試験 問56
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 56
不正解ア
「可用性, 完全性」だけでは機密性が抜けています。設問は維持管理すべき特性を「だけを全て」挙げよと求めているため、3 要素のうち 1 つでも欠けると不正解です。機密性は許可されていない人に情報を見せない性質で、ISMS の中核をなす特性です。
- イ
正解 ISMS (情報セキュリティマネジメントシステム、JIS Q 27001) では、情報セキュリティを「情報の機密性・完全性・可用性を維持すること」と定義しています。この 3 つは頭文字をとって「情報セキュリティの 3 要素 (CIA)」と呼ばれ、組織の情報資産に対して維持管理すべき特性です。機密性 (Confidentiality) は許可された者だけが情報にアクセスできること、完全性 (Integrity) は情報が改ざんや欠落なく正確・完全であること、可用性 (Availability) は必要なときに情報や情報システムを利用できることを指します。設問の 4 語のうち、この 3 つだけを過不足なく挙げているのは「可用性, 完全性, 機密性」なので、イが正解です。なお脆弱性 (Vulnerability) は情報資産がもつ弱点そのものであり、維持するものではなく、対策によって減らす対象です。
不正解ウ
「完全性, 機密性」だけでは可用性が抜けています。可用性は、認可された利用者が必要なときに情報資産を使える状態を保つ性質で、機器の二重化やバックアップ、災害対策などで確保します。情報を守るあまり使えなくなっては ISMS の要件を満たしません。
不正解エ
「完全性, 機密性, 脆弱性」は、可用性が抜けているうえに、維持管理すべき特性ではない脆弱性を含めている点で二重に誤りです。脆弱性はリスクを生む弱点であり、脆弱性診断やセキュリティパッチ適用によって「維持」ではなく「低減・解消」すべきものです。
ここがポイント
- 情報セキュリティの 3 要素 (CIA): 機密性 (許可された者だけがアクセスできる)・完全性 (改ざんや欠落がなく正確)・可用性 (必要なときに利用できる)。ISMS が維持管理すべき特性はこの 3 つ。
- 脆弱性・脅威・リスクは「守るべき特性」ではなく、リスクマネジメントで評価・低減する対象。脅威が脆弱性を突くとリスクが顕在化する、という関係で整理して覚える。
用語