【SG試験】情報セキュリティの3要素「CIA」とは？守りの基本をマスターする

情報セキュリティマネジメント試験（SG）の学習を始める際、一番最初に登場するのが「情報セキュリティの3要素」です。

「機密性」「完全性」「可用性」という3つの漢字が並ぶと、少し難しく感じるかもしれません。しかし、これらは私たちが日々の業務で情報を扱う際、無意識に守ろうとしている「3つの約束事」そのものです。

今回は、これら3つの要素（CIA）の定義と、具体的な事例を交えた覚え方を詳しく解説します。

情報セキュリティの3要素「CIA」とは？

情報セキュリティとは、単に「漏洩を防ぐ」ことだけではありません。IPA（情報処理推進機構）では、情報セキュリティを以下の3つの要素を維持することと定義しています。

それぞれの英語の頭文字をとって、「CIA」と呼ばれます。

SG試験では、あるトラブルが起きた際に「CIAのどの要素が損なわれたか？」を問う問題が頻出します。一つずつ詳しく見ていきましょう。

機密性とは、一言で言えば「見せてはいけない人に見せない」ということです。

例えば、社外秘のプロジェクト資料を机の上に放置して席を外したとします。通りかかった他部署の人や来客がその資料を盗み見てしまったら、それは「機密性が損なわれた」状態です。

「秘密を守る」というイメージで捉えると分かりやすいでしょう。

完全性とは、「情報が正しい状態で保たれている」ということです。

どれだけ秘密が守られていても、その中身が勝手に書き換えられていたら、情報の価値はなくなってしまいます。例えば、Webサイトの価格表示が「10,000円」から「10円」に改ざんされてしまったら、ビジネスは大混乱に陥ります。

「完璧な状態（最新かつ正確）」を維持することが完全性です。

3つの中で意外と見落とされがちなのが、この可用性です。

可用性とは、「必要な人が、必要な時に、いつでも情報を使える」ということです。どれだけ厳重にパスワードをかけて（機密性）、正しいデータを保存していても（完全性）、システムがダウンしてアクセスできなければ、仕事になりません。

「サービスが止まらないこと」が可用性の肝となります。

近年のSG試験では、CIAの3要素に加えて、さらに「4つの要素」が問われることがあります。あわせて押さえておきましょう。

まずは基本のCIAを完璧にし、余裕があればこの4つを「CIAを補強するもの」として覚えるのが効率的です。

情報セキュリティマネジメントの難しいところは、これら3要素の「バランス」にあります。

例えば、機密性を極限まで高めようとして「アクセスには10段階の認証が必要」「オフィスからしか閲覧不可」とルールを厳しくしすぎると、今度は「使いたい時にすぐ使えない」という可用性が損なわれてしまいます。

SG試験の学習を通じて私たちが目指すのは、それぞれの要素を100点にすることではなく、「守るべき情報の価値に合わせて、CIAのバランスを最適化する（マネジメントする）力」を身につけることです。

次回の記事では、このCIAを脅かす具体的な正体、つまり「脅威」と「脆弱性」の違いについて解説します。