はじめに
情報セキュリティについて調べると、「機密性・完全性・可用性」や「CIA」という言葉が出てきます。しかし、言葉を覚えただけでは、情報漏えい、データ改ざん、サービス停止がそれぞれ何の問題なのかを整理しにくいことがあります。
情報セキュリティの3要素（CIA）は、情報やシステムをどのような状態に保つべきかを示す基本的な考え方です。3要素を使うと、発生した被害や必要な対策を「何を守るためのものか」という観点から整理できます。
この記事では、機密性・完全性・可用性の意味と違いを、身近な例と対策から解説します。読み終えると、情報セキュリティ上の問題を3要素に分け、対象に応じて何を重視すべきか説明できるようになります。
情報セキュリティの3要素（CIA）とは
情報セキュリティの3要素とは、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）のことです。英語の頭文字からCIAと呼ばれます。
情報セキュリティでは、情報やシステムを次の状態に保つことを目指します。
| 要素 | 守る状態 | 損なわれた例 | 主な対策 |
|---|---|---|---|
| 機密性 | 許可された人だけが情報を利用できる | 個人情報やパスワードが漏えいする | 認証、アクセス権限、暗号化 |
| 完全性 | 情報が正確で完全に保たれる | 注文内容やWebページが改ざんされる | 変更権限、ログ、ハッシュ、バックアップ |
| 可用性 | 必要なときに情報やシステムを利用できる | 障害や攻撃でサービスが停止する | 冗長化、監視、バックアップと復元 |
3要素は別々に見えますが、一つの事故や攻撃によって同時に損なわれることがあります。サイバーセキュリティが守る対象や基本対策の全体像は、サイバーセキュリティとは？守る対象・脅威・基本対策を解説で確認できます。
機密性とは
機密性とは、許可された人だけが情報へアクセスし、利用できる状態を保つことです。許可されていない人に情報を見られたり、持ち出されたりすると、機密性が損なわれます。
例えば、会社の給与データを人事担当者以外が閲覧できる状態や、オンラインサービスのパスワードが外部へ流出した状態は、機密性の問題です。紙の書類を机に放置することも、第三者が内容を見られるため機密性を損なう原因になります。
主な対策は、本人確認を行う認証、利用者ごとに操作範囲を決めるアクセス権限、データを読めない形へ変換する暗号化です。ただし、認証に成功した人へ必要以上の権限を与えると、機密性を十分に守れません。認証と権限の考え方は、アクセス制御とは？認証・認可との違いと最小権限の基本を解説で解説しています。
保存中や通信中のデータを暗号化すると、端末の紛失や通信経路での取得が起きても、鍵を利用できない第三者が内容を読み取りにくくなります。平文・暗号文・鍵の役割と、暗号化が守れる範囲は「暗号化と復号とは？鍵を使ってデータを守る仕組みを解説」で解説しています。
完全性とは
完全性とは、情報や処理が正確で完全な状態に保たれ、不正な変更や破壊が行われていないことです。攻撃者による改ざんだけでなく、誤操作、システム障害、プログラムの不具合による意図しない変更も完全性の問題です。
例えば、商品の注文数が勝手に書き換えられる、口座残高が誤った値になる、Webページの内容を改ざんされるといった状態が該当します。元のデータへ戻せても、誤った情報を使って処理を続けていれば、完全性は維持できていません。
対策には、変更できる人を制限すること、操作履歴を残すこと、承認手続きを設けること、正しいバックアップから復元できるようにすることなどがあります。ハッシュ値を比較するとデータの変化を検出できますが、ハッシュだけで改ざんを防止したり、配布元の正当性を証明したりはできません。信頼できる方法で入手した期待値と比較する必要があります。詳しい仕組みは、ハッシュ関数とは？データ改ざん検出の仕組みを解説で確認できます。
可用性とは
可用性とは、許可された利用者が必要なときに、情報やシステムを利用できる状態を保つことです。サーバー障害、停電、通信障害、サイバー攻撃などでサービスが使えなくなると、可用性が損なわれます。
例えば、営業時間中に受注システムへ接続できない、災害で医療システムを利用できない、ランサムウェアによって業務ファイルを開けない状態が該当します。データが漏えいも改ざんもされていなくても、必要なときに使えなければ業務を続けられません。
主な対策は、機器や回線を複数用意する冗長化、障害を早く見つける監視、予備電源、バックアップと復元手順です。バックアップは保存するだけでなく、実際に復元できることを確認する必要があります。
身近なサービスでCIAを整理する
ネットバンキングを例にすると、3要素の違いを整理しやすくなります。
ログイン情報や取引履歴を第三者に見られない状態は機密性です。振込先や金額が正しく記録され、勝手に変更されない状態は完全性です。利用者が必要なときに残高確認や振込を行える状態は可用性です。
このサービスがマルウェアの被害を受けると、認証情報の窃取で機密性が、取引データの改ざんで完全性が、端末やシステムの利用妨害で可用性が損なわれる可能性があります。マルウェアによる具体的な被害は、マルウェアとは？主な感染経路・被害・基本対策を解説で解説しています。
CIAの優先度は対象によって異なる
機密性・完全性・可用性は、常に同じ割合で高めればよいものではありません。情報やシステムの用途と、各要素が損なわれた場合の影響を考えて優先度を決めます。
顧客の個人情報では、漏えいを防ぐ機密性が特に重要です。会計や決済のデータでは、金額や記録が正しい完全性が欠かせません。救急医療や社会インフラのシステムでは、必要なときに利用できる可用性が大きな意味を持ちます。ただし、どの例でも残りの要素が不要になるわけではありません。
また、一つの対策が複数の要素を支えることがあります。アクセス権限は機密性だけでなく、不正な変更を防ぐ完全性にも関係します。バックアップは障害後の可用性を回復させるとともに、正しいデータへ戻す完全性にも役立ちます。対策名を一つの要素へ機械的に当てはめず、何をどのような被害から守るのかを考えることが大切です。
まとめ
情報セキュリティの3要素（CIA）は、機密性・完全性・可用性の三つです。機密性は許可された人だけが情報を利用できる状態、完全性は情報や処理が正確で完全な状態、可用性は必要なときに情報やシステムを利用できる状態を表します。
情報漏えいは主に機密性、改ざんや誤った変更は完全性、障害や攻撃による利用停止は可用性の問題として整理できます。ただし、一つの事故が複数の要素へ影響することも、一つの対策が複数の要素を支えることもあります。
対象ごとに損失の影響を考え、必要な対策を組み合わせることが、CIAを実際の情報セキュリティへ生かす基本です。
関連記事
- サイバーセキュリティとは？守る対象・脅威・基本対策を解説
- アクセス制御とは？認証・認可との違いと最小権限の基本を解説
- 暗号化と復号とは？鍵を使ってデータを守る仕組みを解説
- ハッシュ関数とは？データ改ざん検出の仕組みを解説
- マルウェアとは？主な感染経路・被害・基本対策を解説
