オプティマ・ソリューションズ編集部

プライバシーマークとISMSの認証取得／更新のお手伝いをしています。担当者の皆様自身にPマークの知識やコツを見つけていただいて、皆様の会社自体が成長していいただけることを心掛けています。しっかりと皆様のお話をお聞きして、親身に寄り添いながらサポートするのが当社のコンサルティングです。

情報セキュリティの3つの基本要素「CIA」とは、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を指します。これらは情報やシステムを守るための基本的な原則で、外部からの不正アクセスや内部の誤操作からデータを保護することが目的です。近年、これらの3つの要素に加え、新たに4つの要素が加わることも多く、情報セキュリティを7つの要素で捉えるケースが増えています。

この記事では、情報セキュリティの基本要素「CIA」と新たに追加された4つの要素について、具体的な対策方法も交えて詳しく解説していきます。情報セキュリティについて理解を深め、安心して利用できるシステム環境を構築しましょう。

ISMSってなに？

ISMS（情報セキュリティマネジメントシステム）は、企業や組織が情報セキュリティを強化するための取り組みで、外部からの脅威や内部からの情報漏えいを防ぎ、顧客や取引先の信頼を築く基盤です。

「ISMSって何だろう？」と気になる方は、ぜひこちらの記事をご覧ください！

あわせて読みたい

ISMSとは？認証取得のメリットと、取得までの流れをプロが解説 ISMSとは「情報セキュリティマネジメントシステム（Information Security Management System）」の頭文字をとったものです。組織として情報セキュリティを強固にするた...

情報セキュリティの3要素「CIA」とは？

情報セキュリティにおける３つの基本要素は、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の３つです。これらの要素は「CIA」と略称されます。情報セキュリティマネジメントシステム（ISMS）において、これらの要素をバランスよく高めていくことが目指されています。

機密性（Confidentiality）

ここでは、特定の情報が許可された人物以外に漏れないように保護することを目指します。不正なアクセスから情報を守ることを意味します。具体的には、パスワードの管理やアクセス権限の制御、暗号化対策、物理的セキュリティ、社員教育などを通して対策することができます。

完全性（Integrity）

完全性は、情報が正確であり、不正な変更や改ざんから保護されている状態を指します。これは、情報が信頼できる状態に保たれ、その正確さや一貫性が維持されていることを意味します。例えば、データをシステムに入力する際、その正確さや妥当性を検証するプロセスを設けることや、変更履歴の記録、変更後のレビュー、Webサイトの改ざん防止システムなどで対策することができます。

可用性（Availability）

可用性は、情報やシステムがユーザーにとって常にアクセス可能であることを保証し、ビジネスの継続性と効率性を保つための概念です。つまり、情報が常に利用可能であり、システムが信頼性高く稼働している状態を指します。例えば、冗長性を確保することで、システムの一部が故障しても全体の運用に影響が出ないようにしたり、定期的なメンテナンスやバックアップを取ること、サイバー攻撃やマルウェアからシステムを保護するセキュリティ対策を施すことで対策できます。

情報セキュリティをさらに強固にするための「4つの新要素」

従来のCIA（機密性、完全性、可用性）に加え、以下の4つの新要素も情報セキュリティの基本として注目されるようになりました。

それが真正性（Authenticity）、信頼性（Reliability）、責任追跡性（Accountability）、否認防止性（Non-Repudiation）です。

真正性（Authenticity）

真正性とは、情報が発信元のものであり、改ざんされていないことを確認する性質です。たとえば、メールの送信者が本人であることを確かめる仕組みが真正性を守る対策です。

真正性を保つための具体的な対策

電子署名の利用

電子署名を文書やメールに付けると、発信者が間違いなく本人であることを証明できます。例えば、契約書に電子署名を付けると、後から「その契約をした覚えがない」と否定できない状態が保てます。

デジタル証明書の活用

デジタル証明書は、信頼できる第三者機関が発行する証明書で、発信者が正当な人物であることを示します。たとえば、銀行のウェブサイトにアクセスするときに、ブラウザが証明書をチェックして「本物のサイトである」ことを確認します。

ハッシュ関数による改ざん防止

ハッシュ関数を使うと、データの改ざんを防止できます。たとえば、データを一度ハッシュ化して保存し、後でそのデータを確認するときに再度ハッシュ化して一致するか確認すれば、データが変わっていないことが保証できます。

二段階認証や生体認証の導入

二段階認証や生体認証（指紋や顔認証など）を導入することで、ログイン時に本人確認をより強固にします。これにより、なりすましを防ぎ、システムやデータへのアクセスが正当な利用者に限られるようにします。

信頼性（Reliability）

信頼性とは、システムやデータがいつも正しく、意図した通りに動作することを保証することです。たとえば、仕事で使うシステムがエラーを起こしたり、入力ミスでデータが間違って記録されると、信頼性が低いと言えます。

信頼性を保つための具体的な対策

システム設計やテストの徹底

システムを作るときにエラーが出ないような設計を行い、動作テストを何度も行ってバグを見つけて修正します。こうすることで、不具合が発生するリスクを最小限に抑えます。

マニュアルやルールの整備

従業員が操作を間違えないように、分かりやすいマニュアルやルールを作り、みんなが理解して守れるようにします。こうすることで、人的ミスを減らすことができます。

責任追跡性（Accountability）

責任追跡性とは、誰がいつ何をしたのかを記録し、必要に応じて追跡や確認ができるようにする仕組みです。万が一、問題が発生したときに原因を特定して対策を講じやすくなります。

責任追跡性を確保するための具体的な対策

アクセス制御と認証の強化

ユーザー認証（IDやパスワード、二段階認証など）で誰がシステムにアクセスしているのかを確認し、アクセス制御によって権限のないデータやシステムへのアクセスを防ぎ、各ユーザーの行動を明確にします。

セキュリティログの記録と管理

セキュリティログを記録することで、誰がいつシステムにアクセスし、どんな操作を行ったかを確認できます。例えば、特定のユーザーがデータを削除したり変更した場合、その履歴が残るため、問題が起きた際に早期に原因を特定できます。

否認防止性（Non-Repudiation）

否認防止性とは、情報の送信者や行動の実行者が「自分ではない」と後から否定できないようにすることです。つまり、あるメッセージや取引が「確かにその人によって実行された」と証明できる状態を保つことです。

否認防止性を確保するための具体的な対策

電子署名

電子署名は、デジタルデータに「誰が署名したか」を示す仕組みです。たとえば、契約書に電子署名を使うと、署名した人がその契約に同意したことが証明され、後から「署名していない」と否定できなくなります。

デジタル証明書

デジタル証明書は、信頼できる第三者機関によって発行されるもので、発信者が本人であることを証明します。デジタル証明書が付与されたメッセージや文書は、信頼できる内容とされ、後から発信者が否定することができません。

監査ログの記録

監査ログは、システムや取引の履歴を記録しておく仕組みです。たとえば、システムへのログインやデータの送受信の記録を残すことで、誰がどの取引を行ったのか証明できます。何か問題が発生しても、責任の所在を明確にできます。

Pマーク・ISMS認証取得にお困りなら、オプティマ・ソリューションズがサポートいたします！

オプティマ・ソリューションズでは、Pマーク・ISMS認証の取得サポートを数多く行っており、以下のような特長があります。

創業20年、累計3,500件を超える実績を持つ当社は、お客様の声も多数公開しています。ぜひ一度ご覧いただき、お気軽にご相談ください。

お客様の声
www.optima-solutions.co.jp/voice