情報セキュリティの3要素CIAとは？7要素まで図解でまとめて解説

「情報セキュリティの3要素ってなんだろう？詳しく知りたい」

このようにお考えの方に向け、本記事では情報セキュリティの3要素について解説します。

また、最近は新たに4つの要素が追加され「情報セキュリティの7要素」と呼ばれることもあります。3要素とあわせて4つの要素も満たす対策を行うことで、社内の情報資産を守るためのより強固な情報セキュリティ体制を築くことも可能です。
ぜひ本記事を参考に、自社内の情報セキュリティ体制を見直してみてください。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

情報セキュリティの3要素 (CIA) とは

まず「情報セキュリティ（情報セキュリティ対策）」とは何かについて説明します。普段、私たちが使っているパソコンやスマートフォンといった端末や、インターネット、データなどを危険から守ることが「情報セキュリティ」です。

不審な文字列のアドレスからメールを受け取ったことはありませんか。このようなメールは「迷惑メール」である可能性が高く、メールを開けたり、本文にあるリンクをクリックしたりしただけで「マルウェア」と呼ばれる悪意をもって作られたソフトウェアに端末が感染してしまうことがあります。

マルウェアに感染すると端末に保存してあるデータを改ざん・盗聴されたり、場合よっては破壊されたりしてしまうことがあります。このようなリスクを避けるために情報セキュリティ対策が必要なのです。

ISO（国際標準化機構）と IEC（国際電気標準会議 ）が共同で策定した ISMS （情報セキュリティマネジメントシステム）に関する国際規格の『 ISO/IEC 27000 シリーズ』では、情報セキュリティは以下3つの要素を維持することであると定義されています。

• 機密性 (Confidentiality)

• 完全性 (Integrity)

• 可用性 (Availability)

これが情報セキュリティの3要素です。それぞれの頭文字を取って、「CIA」とも呼ばれます。

難しい言葉が並んで「理解するのが大変そう」と思った方もいるかもしれません。もう少し分かりやすく解説していきます。

関連記事：ISMSのリスクアセスメント手法48選

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

機密性 (Confidentiality)

まず「機密性」とは、組織・企業内で取り扱っている情報を外部に漏らさないようにすることです。

機密性が低いと、情報漏えいを招く可能性があります。情報が外部に漏れるとと自社の社会的な信頼性を下げるだけでなく、加害者になってしまうかもしれません。

機密性を高めるためには、以下のような対策をするのが効果的です。

• 重要な情報が保管されているフォルダはアクセス権限を設け、関係者以外は閲覧できないようにする

• 端末やフォルダにはロックをかけ、複雑なパスワードを設定する

• 端末のログイン情報を誰でも見れる場所に残さない（付箋でパソコンの画面に貼るなど）

• サーバーなどの機器はデータセンターで管理し、入退室できる人を制限する

• 社内の重要な情報が入った端末を社外に持ち出さない

• 社内の重要な情報を紙などにメモして社外に持ち出さない

完全性 (Integrity)

「完全性」とは、情報が正確であり、改ざんされていない状態になっていることを意味します。完全性が損なわれるとデータなどの利用価値が失われて、組織・企業の信頼性を下げてしまいます。

情報を改ざんされないようにするためには、例えば

• 社外の取引先に情報を渡すときは、編集ができない状態に設定する

• 情報へのアクセス履歴・情報の変更履歴を残す

などの対策があります。

可用性 (Availability)

「可用性」とは、許可された者が、必要なときに情報にアクセス・利用できる状態になっていることを表します。「稼働率（システムが止まることなく稼働し続ける能力）」と言い換えることもできます。

可用性を保持するには、例えば

• 24時間365日アクセスできるオンラインストレージ内のフォルダに情報を格納する

• 災害発生時もすぐに復旧できるよう定期的にデータのバックアップを取り、社外のデータセンター内のサーバに保存しておく

などの方法が考えられます。

関連記事：ISMS、ISO27001（ISO/IEC 27001）、Pマーク（プライバシーマーク）それぞれの違いを紹介

追加された情報セキュリティの4要素（7要素）

ここまで紹介してきた情報セキュリティの3つの要素に加え、新しく追加された4つの要素があります。以下の4要素も意識することで、さらに高度な情報セキュリティ体制を築くことができるでしょう。

• 真正性 (Authenticity)

• 信頼性 (Reliability)

• 責任追跡性 (Accountability)

• 否認防止性 (Non-repudiation)

これらを全て含めて、情報セキュリティの7要素と呼びます（否認防止性を除いて6要素とされることもあります）。

新しい4つの要素について、それぞれ解説していきます。

真正性 (Authenticity)

「真正性」とは、情報にアクセスする人や端末が「本当に許可された者かどうか」を確実にすることを意味します。

例えば情報が格納されているフォルダへアクセスするために ID / パスワードが必要だったとしても、その ID / パスワードが予想しやすいものだったり、 ID / パスワードそのものが盗まれたりしていた場合、第三者による不正なアクセスを許してしまう可能性があります。

このようなリスクを避けるためには、アクセスした人が本当に許可された者かどうかを確認する（真正性を確認する）ステップを設けることが重要です。

具体的な対策としては、

• 二段階認証

• デジタル署名

• 生体認証など多要素認証

などが挙げられます。

信頼性 (Reliability)

データやシステムを利用しようとしても、プログラムのエラーや人的なミスがあると意図した動作・結果にならないことがあります。このようなリスクを避け、意図したとおりの動作・結果を得られるようにすることが「信頼性」に当たります。

具体的な対策としては、

• システム構築の際に不正なデータが発生するバグがないよう設計やテストを徹底する

• 人的なミスが起きないようマニュアルやルールを設けて従業員全員に把握させる

などが考えられます。

責任追跡性 (Accountability)

「責任追跡性」とは「社内の情報に誰がどのような手順でアクセスしたのか」などを記録し、追跡できるようにしておくことです。

データやシステムに問題が発生した際に、何が原因だったのか、誰の操作が問題につながったのかを追記できるようにする目的があります。

具体的な対策としては、

• アクセスログ

• システムログ

• デジタル署名

• 操作履歴

などが挙げられます。

否認防止性 (Non-repudiation)

「否認防止性」とは、社内のデータやシステムに問題が発生した際、その原因となった人物が否定できないよう証拠を残しておくことです。

証拠が残っていないと原因となった人物が否認した場合、その責任を認めさせることが難しくなってしまいます。このようなリスクを防止するためには、先ほどの責任追跡性で紹介したような「アクセスログ」や「操作履歴」などを保存しておくことや、「入退室日時の履歴」と「勤怠情報」とを照合できるように情報を設計するこも大切です。

社外サービスの利用時や新規取引先との契約時もチェックを欠かさずに

ここまでに解説してきた情報セキュリティの3要素（+4要素）は、自社で徹底することはもちろん、社外サービスを利用するときや、新しい取引先と契約するときもチェックを徹底しましょう。

その企業のコーポレートサイトを調べたり、契約書とあわせて情報セキュリティ体制のチェックシートなどを作って先方に記入を求めたりするなどの方法が考えられます。

社外サービスの提供会社や新しい取引先が情報セキュリティ対策を行っていないと、そこがサイバー攻撃の対象になる可能性があり、その攻撃の影響が自社に及ぶこと（供給網リスク）も考えられます。

自社の情報資産を守るには、関わりのある外部企業でも情報セキュリティ対策をしっかり行っている状態にしてもらうことが重要です。

関連記事：セキュリティ認証 (ISMS認証・Pマーク) 取得や運用の費用対効果をデータをもとに紹介

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、情報セキュリティの3要素について紹介しました。たった一人の従業員が引き起こしたリスク（情報セキュリティインシデント）が原因で、会社全体の情報資産が危険にさらされてしまう可能性もゼロではありません。セキュリティインシデントを防ぐためにも、ISMS認証を取得するなど、会社のセキュリティレベルを上げる活動を行うことをおすすめします。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。