情報セキュリティの 3 要素 (機密性、完全性、可用性) 情報セキュリティマネジメント試験の対策と IPA の過去問

情報セキュリティの 3 要素は、機密性 (見てよい人だけが見られる)、完全性 (中身が正しく欠けていない)、可用性 (使いたいときに使える) の 3 つです。英語の頭文字から CIA とも呼びます。情報セキュリティは、この 3 つを保つことだと JIS Q 27000 で定められていて、真正性、責任追跡性、否認防止、信頼性を足して 7 要素と呼ぶこともあります。

3 要素の意味

JIS Q 27000 (2019 年版) は、情報セキュリティを「情報の機密性，完全性及び可用性を維持すること」と定めています。3 つの定義と、損なわれる出来事、守る策を並べました。かぎかっこの中は JIS Q 27000 の定義の文のままです。

機密性 (Confidentiality)

定義は「認可されていない個人，エンティティ又はプロセスに対して，情報を使用させず，また，開示しない特性」。見てよい人だけが見られることです。健康診断の結果や顧客名簿のように、見られて困る情報で特に大事になります。

• 損なわれる出来事の例。盗み見、盗聴、持ち出し、誤送信
• 守る策の例。アクセス権、暗号化、送る前の宛先の確かめ

完全性 (Integrity)

定義は「正確さ及び完全さの特性」。中身が正しく、欠けていないことです。請求の金額や振込先の口座のように、書き換わると困る情報で特に大事になります。

• 損なわれる出来事の例。改ざん、入力の誤り、途中での書き換え
• 守る策の例。変更の記録、電子署名、入力の見直し

可用性 (Availability)

定義は「認可されたエンティティが要求したときに，アクセス及び使用が可能である特性」。使いたいときに使えることです。決済や予約の仕組みのように、止まると困る情報で特に大事になります。

• 損なわれる出来事の例。故障、停電、DoS 攻撃、ランサムウェアでファイルが開けない
• 守る策の例。機器の二重化、予備の電源、バックアップ

定義に出てくるエンティティは、人、機械、仕組みなど、情報を使う主体のことです。

7 要素は、3 要素に 4 つを足したもの

JIS Q 27000 は、情報セキュリティの定義の注記で「さらに，真正性，責任追跡性，否認防止，信頼性などの特性を維持することを含めることもある」としています。この 4 つを足した 7 つを、7 要素と呼びます。

• 真正性。名乗ったとおりの本人や本物であること。定義は「エンティティは，それが主張するとおりのものであるという特性」。例はログインでの本人の確かめ、電子証明書
• 責任追跡性。誰が何をしたかを、あとから追えること。例は利用者ごとの ID、操作の記録
• 否認防止。起きたことと、それを起こした人を証明でき、あとから「やっていない」と言えないこと。例は電子署名、送受信の記録
• 信頼性。定義は「意図する行動と結果とが一貫しているという特性」。決めたとおりに動くこと。例は試験をしてから使う、障害の少ない作り

真正性、否認防止、信頼性は JIS Q 27000 の 3 章に用語として定義がありますが、責任追跡性は注記に名前が出るだけで、用語としての定義はありません。上の箇条書きの責任追跡性の意味は、一般に使われている説明です。

3 つはぶつかり合う

3 要素は、どれか 1 つだけを上げればよいものではありません。機密性を上げようとパスワードを長くし、入れる場所を絞りすぎると、急ぎのときに必要な人まで使えなくなり、可用性が下がります。逆に、誰でもすぐ開けるようにすると、可用性は上がっても機密性が下がります。

ISMS (情報セキュリティマネジメントシステム) は、この 3 つを保つための組織の仕組みで、要求事項は JIS Q 27001 に定められています。だから組織は、情報ごとに「どの要素がどれだけ大事か」を評価してから、守りに掛ける手間を決めます。健康診断の結果のように見られて困る情報は機密性を高く、Web サイトに出している会社の情報のように誰に見られてもよい情報は機密性を低く評価します。この評価を使うのが、下の科目 B の問題です。

過去問で確かめる

情報セキュリティマネジメント試験の午前の 4 問です。問題文と選択肢は IPA の問題冊子のとおりで、手を入れていません。正解は同じ回の解答例で確かめました。解説はゆめさくが書いたものです。選んでから「答え合わせ」を押すと、正誤と解説が出ます。

出来事から、損なわれた要素を見分ける

次の 8 つの出来事で、損なわれたのは機密性、完全性、可用性のどれかを押してください。押すとすぐに正誤と理由が出ます。出来事はゆめさくが作った例で、実際の事件ではありません。

科目 B で、評価値からリスク値を出す

科目 B では、3 要素の評価値を使ってリスクの大きさを計算する問題が出ます。令和5年度の公開問題 問13 は、分析機器メーカーの A 社が、次の手順で情報資産のリスクを評価する設定です (手順は問題冊子の図 1 から抜き出しました)。

• 機密性、完全性、可用性の評価値は、それぞれ 0 から 2 の 3 段階。その最大値を、情報資産の重要度とする
• 脅威と脆弱性の評価値も、それぞれ 0 から 2 の 3 段階
• 情報資産ごとに、いろいろな脅威に対するリスク値を出し、その最大値をその情報資産のリスク値とする
• 脅威ごとのリスク値 ＝ 情報資産の重要度 × 脅威の評価値 × 脆弱性の評価値
• しきい値は 5。リスク値がしきい値以下なら受容できるリスク、超えたら保有以外のリスク対応を行う

設問は「表 1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。」です。解答群は (一) から (四) の組み合わせ 10 通りで、ア から コ の記号が付いています。

下の 4 枚は、問題冊子の表 1 の値をそのまま入れた台帳です。まず自分で計算してから、各枚の下の式と、いちばん下の答えで確かめてください。値の数字を押して変えると、計算もその場でやり直されます。

解答例の正解はエ ((一) と (三)) です (問題冊子の PDF、解答例の PDF)。間違えやすいのは次の 2 つです。

• (三) の Web サイトの会社情報。誰に見られてもよいので機密性は 0 ですが、完全性と可用性が 2 なので、重要度は最大値の 2 になります。機密性が低いからといって、重要度が低いとは限りません。書き換えられたり止まったりすると困る情報です
• (四) の開発した技術。重要度は 2 ですが、脆弱性が 1 なので、リスク値は 2 × 2 × 1 ＝ 4 で、しきい値の 5 以下です。重要な情報でも、弱みが小さければ受け入れられることがあります

仕事でリスクを評価するときも、同じ考え方を使います。表の値を変えて、どの値が結果を動かすかを試しておくと、科目 B の長い問題文でも、どこを読めばよいかが分かるようになります。リスクを評価して守りを決める仕事が自分に合うかは、転職診断で確かめられます。

試験での問われ方

午前 (科目 A) では、次の 3 つの形がくり返し出ます。

• 出来事からどの要素か。改ざんは完全性、盗聴や不正コピーは機密性、DoS 攻撃は可用性 (過去問 1)
• 策からどの要素か。二重化やバックアップは可用性、暗号化やアクセス権は機密性、電子署名は完全性と否認防止 (過去問 2)
• 定義からどの用語か。JIS Q 27000 の定義の文から、真正性、否認防止、信頼性などを選ぶ (過去問 3 と 4)

同じ「可用性」という言葉は、システムの信頼性を測る RASIS (信頼性、可用性、保守性、保全性 (完全性とも書く)、安全性) にも出てきます。RASIS の問題では、稼働率のように数で表す話になるので、問われている文脈で見分けます。

JIS Q 27000 の定義の文は、2026 年 10 月 29 日に 2019 年版の本文で確かめました。

受かったあとの道

試験に受かったあと、ここで覚えたことを仕事の手に移していくための頁です。気になったものから開いてください。

• 情報セキュリティマネジメント試験の過去問と解説。ほかの回と分野の問題を、同じ形で解けます
• ソーシャルエンジニアリングの手口と対策。人をだまして機密性を破る手口を、場面で見分ける対策の頁です
• アカウントのロックとパスワードの決まり。機密性を守るログインの決まりを、演習で手に移す対策の頁です
• Web セキュリティ入門。HTTP、Cookie とセッションから、攻撃の入り口の探し方までを学ぶコースです
• 情報処理安全確保支援士試験。セキュリティの専門家の国家試験で、次に受ける試験の候補です

資格を仕事につなげるなら、転職ロードマップで目指す仕事と順番を確かめられます。セキュリティの仕事が自分に合うかは、転職診断で確かめられます。