このユニットでは、情報セキュリティで『何を守るのか』という目標(評価軸)を学ぶ。基本となるのが機密性・完全性・可用性のCIA3要素で、これに真正性・責任追跡性・否認防止・信頼性の付加4特性を加えた7要素として一体で覚えるのが定石である。CIAは特に頻出で、各特性の意味と典型的な対策・脅威を区別できることが合否を分ける重要分野である。
認可された者だけが情報にアクセスでき、他者には漏らさない性質。
機密性(Confidentiality)は、許可された人だけが情報を見られるようにし、権限のない第三者に内容が漏れないようにする性質です。CIA3要素の最初の「C」にあたります。 試験では、機密性を守る代表的な対策として、暗号化・アクセス制御・ID/パスワードによる認証などが問われます。逆に、情報漏えいや盗聴は機密性を損なう脅威です。次の完全性(正しさ)や可用性(使えること)との違いを取り違えないことがポイントで、機密性はあくまで『見せない・漏らさない』に関する性質だと押さえます。
たとえ鍵のかかった金庫のようなもの。中身を見られるのは鍵を持つ人だけで、それ以外の人には決して中を見せません。鍵が暗号やパスワードにあたります。
記憶フック機密性といえば認可された人だけが見られる(漏らさない)性質
情報が破壊・改ざんされず、正確で完全な状態を保つ性質。
完全性(Integrity)は、情報が許可なく書き換えられたり壊されたりせず、正確で最新の正しい状態に保たれる性質です。CIA3要素の「I」にあたります。 試験では、完全性を守る対策としてデジタル署名・ハッシュ値による改ざん検知・アクセス権の適切な設定などが問われます。改ざん・誤入力・データ破損は完全性を損なう脅威です。『内容が正しいか』を扱う点で、『見せない』機密性、『使えるか』を扱う可用性とは目的が異なることを区別しましょう。
たとえ契約書の原本に割り印を押しておくようなもの。後から誰かがこっそり1枚差し替えても、印のずれですぐ気づけ、書類が改ざんされていないと確認できます。
記憶フック完全性といえば改ざんされず正確で完全な状態を保つ性質
認可された者が必要なときに情報やサービスを使える性質。
可用性(Availability)は、許可された利用者が、使いたいときにいつでも情報システムやサービスを利用できる性質です。CIA3要素の「A」にあたります。 試験では、可用性を高める対策として、機器の冗長化・バックアップ・無停電電源装置(UPS)・負荷分散などが問われます。停電・機器故障・DoS攻撃によるサービス停止は可用性を損なう脅威です。『使えること』を扱う点が特徴で、『漏らさない』機密性、『正しさ』を扱う完全性と混同しないよう注意します。
たとえ24時間営業のコンビニのようなもの。行きたいときにいつでも開いていて買い物ができる状態が可用性。停電や閉店で入れないと可用性が損なわれます。
記憶フック可用性といえば必要なときにいつでも使える性質
利用者や情報が本物であり、なりすましでないことを保証する性質。
真正性(Authenticity)は、ある利用者・データ・通信相手が「本物であり、主張するとおりの本人(本物)である」ことを確実にする性質です。CIAに加わる付加4特性の一つです。 試験では、真正性を確保する手段として、本人認証(ID/パスワード・生体認証・多要素認証)やデジタル署名が問われます。他人へのなりすまし(なりすまし攻撃)を防ぐ性質と覚えると区別しやすいです。情報の『正しさ』を扱う完全性と似ていますが、真正性は『本物・本人であること』に重点がある点が違いです。
たとえ受付で身分証を提示して本人確認するようなもの。名乗っている人が本当にその人かを確かめ、別人のなりすましを通さない仕組みが真正性です。
記憶フック真正性といえば本物・本人であること(なりすまし防止)を保証する性質
誰がいつ何をしたかを後から追跡・特定できる性質。
責任追跡性(Accountability)は、ある操作や処理について「誰が、いつ、何を行ったか」を後からたどって特定できる性質です。付加4特性の一つです。 試験では、責任追跡性を支える仕組みとして、アクセスログ・操作ログの記録や、利用者ごとに固有のIDを割り当てることが問われます。ログがあれば不正があったときに行為者を追跡できます。次の否認防止と関係が深く、ログという記録が両方の土台になりますが、責任追跡性は『追跡できる』こと自体を指す点を押さえます。
たとえ防犯カメラと入退室記録のようなもの。誰がいつ部屋に入り何をしたかが記録され、後から映像と記録をたどれば行動を特定できます。
記憶フック責任追跡性といえばログで誰が何をしたか後から追える性質
ある行為を後から『していない』と否定できないようにする性質。
否認防止(Non-repudiation)は、ある人が行った操作や送信について、後になって「自分はやっていない」と否定(否認)できないようにする性質です。付加4特性の一つです。 試験では、否認防止を実現する代表的な手段としてデジタル署名が問われます。署名により『確かに本人が送った・承認した』という証拠が残り、後からの言い逃れを防げます。記録をたどる責任追跡性と関連しますが、否認防止は『否定させない=証拠を残す』ことに重点がある点で区別します。
たとえ宅配便の受領印やサインのようなもの。受け取ったのに『届いていない』と後から言っても、サインという証拠があるため言い逃れできません。
記憶フック否認防止といえばデジタル署名で『やっていない』と言わせない性質
システムが意図したとおりに、欠陥なく安定して動作する性質。
信頼性(Reliability)は、情報システムや処理が、意図したとおりに矛盾なく一貫して正しく動作し続ける性質です。付加4特性の最後にあたり、7要素を締めくくります。 試験では、バグや故障が少なく安定して動くこと、設計どおりの結果が一貫して得られることが信頼性として問われます。『使えること自体』を扱う可用性と似ていますが、信頼性は『動作が意図どおりで一貫している(品質・正確さ)』に重点がある点が違いです。可用性とセットで問われやすいので、目的の違いで整理しておきましょう。
たとえ故障せず時刻どおりに走り続ける電車のようなもの。毎回同じように正確に動くから安心して使えます。たまに違う動きをするようでは信頼できません。
記憶フック信頼性といえば意図したとおり一貫して安定動作する性質
関連の過去問演習は今後のアップデートで追加予定です。