情報セキュリティの7要素
頻出約 40 分7 用語過去問 16 題
この単元の目標
- 機密性・完全性・可用性 の 3 つを、それぞれが守るものの違いで説明できる。
- 出来事や対策の例を見て、基本の 3 要素のどれに関わるかを判定できる。
- 基本の 3 要素に加えて含める場合がある 4 つの特性について、似た性質との違いを説明できる。
用語総表（7 語）
用語
機密性 は、見てよいと許可された人だけが情報の内容を見られ、それ以外の人には漏れない状態を保つ性質である。
情報セキュリティの土台は 機密性・完全性・可用性 の 3 つの要素で、英語の頭文字をとって CIA と呼ぶ。機密性を損なう典型は、外部への漏えいや通信の盗み見である。守る手段の例には、内容を読めない形に変える暗号化や、利用者ごとに見てよい範囲を決める アクセス制御 がある。
たとえ社員証をかざした人だけが入れる資料室のようなもの。中の書類は、入室を許された人以外の目には触れない。
覚え方Confidential は書類に押す「社外秘」の印にも使われる語で、見せる相手を限ることを表す。CIA の C はこの頭文字である。
出題のポイント
- 出題暗号化 と アクセス制御 は、許可のない者に情報の中身を見せないための対策で、機密性を高める。
- 出題情報の 漏えい は機密性が損なわれた状態である。漏れた原因が外部からの侵入でもマルウェアの感染でも、損なわれる要素は変わらない。
- 出題機密性と可用性には、見せる相手を絞るほど使える人や場面が減るという相反する面がある。運用では両方の釣り合いをとる。
この用語の過去問 3 題 機密性 →
完全性 は、情報の中身が正しく、誤りや勝手な書き換え、欠けのない状態に保たれている性質である。
改ざん は、権限のない者が情報の中身を勝手に書き換えることを指す。悪意がなくても、入力の誤りやプログラムの不具合でデータが誤った内容になれば、完全性は損なわれる。デジタル署名 は送信者だけが持つ鍵を使ってデータに付ける印で、作った本人と、中身が書き換えられていないことを確かめられる。
たとえレシピ帳の分量を誰かがこっそり書き換えていれば、手順どおりに作っても料理は失敗する。書いてある中身が正しいこと自体が守る対象になる。
覚え方英語 Integrity は integer (整数) と同じ語源で、「欠けがなく、ひとまとまりである」ことを表す。
出題のポイント
- 出題データが書き換えられたり誤ったり失われたりして中身が正しく揃っていない出来事は、原因が悪意でも操作の誤りでも、完全性が損なわれた例に分類する。
- 出題デジタル署名 の付与や、入力データに誤りがないかの点検は、完全性を高める対策である。
- 混同注意暗号化は中身を読めなくする対策で、機密性の側に入る。書き換えを防いだり見つけたりする対策とは目的が違う。
この用語の過去問 3 題 完全性 →
可用性 は、許可された人が、使いたいときに情報やシステムを支障なく使える状態を保つ性質である。
可用性を損なう典型は、停電や機器の故障、大量の通信を送りつけてサービスを止める DoS 攻撃 である。高める手段の例には、機器や記憶装置を二重にして、片方が止まっても処理を続けられるようにする方法がある。
たとえ終日開いている駅の改札のように、通りたいときに通れることが値打ちになる。改札が閉じていれば、切符を持っていても先へ進めない。
覚え方「可用」は「用いることが可能」と読める。英語 Availability も available (手元にあってすぐ使える) から来ている。
出題のポイント
- 出題停電や機器の故障、外部からの攻撃、人の操作の誤りなど、原因を問わずシステムが止まって使えない状態になれば、可用性が損なわれている。
- 出題ハードウェアの二重化や、同じデータを 2 台のディスクに同時に書き込む ミラーリング は、1 台が故障しても処理を続けるための対策で、可用性を高める。
- 出題予定外に止まった時間や、決めた時間のうち実際に使えた割合は、可用性を評価する尺度になる。
この用語の過去問 3 題 可用性 →
真正性 は、利用者や情報、通信の相手が、名乗っているとおりの本物であることを確かめられる性質である。
本人であることを確かめる 認証 によって、他人が本人のふりをする なりすまし を防ぐ。確かめる相手は人に限らず、通信先の機器や、届いたデータの出どころも含む。
たとえ宅配の受け取りで、配達員の制服や社員証を見て本物の業者だと確かめてから戸を開ける場面に近い。
覚え方「真正」は「真(まこと)で正しい」と書き、本物で正しいことを表す。英語 Authenticity は authentic (本物の) から来ていて、認証を表す authentication と同じ仲間の語である。
出題のポイント
- 出題ISMS の考え方では、情報セキュリティは CIA を維持することを指す。さらに真正性などの特性の維持まで含める場合もある。
- 混同注意完全性は情報の中身が正しいかを扱い、真正性は情報や相手が本物かを扱う。
この用語の過去問 1 題 真正性 →
責任追跡性 は、誰がいつどの操作をしたかを後からたどり、行為者を特定できる性質である。
支える仕組みの例は、操作や通信の記録である ログ と、利用者ごとに分けて割り当てる ID である。1 つの ID を複数人で使い回すと、ログが残っていても誰の操作かを特定できない。
たとえ工事現場の作業日誌に、担当者が名前と時刻を書き込んでいくようなもの。問題が起きたとき、日誌から誰の作業だったかをたどれる。
覚え方英語 Accountability は account (説明・報告) から来た語で、「自分の行為について説明を求められる立場にある」ことを表す。
出題のポイント
- 混同注意ログは起きた操作を後から確かめるための記録で、情報が漏れること自体を防ぐものではない。漏れても中身を読ませない暗号化とは役割が違う。
この用語の過去問 2 題 責任追跡性 →
否認防止 は、ある操作や送信をした人が、後になって「自分はしていない」と否定できないようにする性質である。
代表的な手段は デジタル署名 で、本人にしか作れない署名がデータに残るため、その人が送った証拠になる。署名は受け取った人以外も確かめられるので、本人が送ったことを第三者にも示せる。
たとえ本人が実印を押した契約書のようなもの。印影が残っているので、後から「そんな約束はしていない」とは言い張れない。
覚え方「否認」は「認めることを否(いな)む」と読める字の並びである。
出題のポイント
- 混同注意責任追跡性はログなどで行為者をたどれることを指し、否認防止は行為をした本人に否定させない証拠を残すことを指す。
この用語の過去問 2 題 否認防止 →
信頼性 は、システムが想定どおりに動き、同じ条件なら毎回一貫した結果を出す性質である。
処理の結果に食い違いが出ず、不具合による誤動作が少ないことが信頼性の中身である。十分なテストで不具合を減らしておくことは、信頼性を高める手段の例になる。
たとえ毎朝決まった時刻に鳴る目覚まし時計のようなもの。鳴ったり鳴らなかったりする時計は、手元にあっても頼りにできない。
覚え方英語 Reliability は rely (頼る) から来ている。
出題のポイント
- 出題ISMS の情報セキュリティの定義が、CIA に加えて含める場合がある特性として名前を挙げるのは信頼性などで、保守性は挙げていない。
- 混同注意可用性は使いたいときに使えるかを扱い、信頼性は動いている間の動作や結果が想定どおりかを扱う。
この用語の過去問 2 題 信頼性 →
要点
- 情報セキュリティの中心は CIA で、機密性は見せる相手を、完全性は中身の正しさを、可用性は使える状態を守る。
- 出来事を分類するときは、何が損なわれたかを見る。漏れたなら機密性、書き換えや誤り、消失で中身が正しく揃っていないなら完全性、止まって使えないなら可用性である。
- 真正性・責任追跡性・否認防止・信頼性 の 4 つは、CIA に加えて情報セキュリティに含める場合がある特性である。
この分野の過去問をすべて見る →