吉岡有隆の情報セキュリティマネジメント試験対策室1　【図解なしで分かる】情報セキュリティの「7つの守る力」──CIAとJIS Q 27000と、その先へ

こんにちは、有隆です。

情報セキュリティマネジメント試験の勉強をしていると、必ず出てくる「CIA」や「JIS Q 27000シリーズ」という言葉。

最初はとっつきにくいですが、これは「情報って何を守ればいいの？」という根本的な問いへの答えでもあります。

今回は、セキュリティの基礎3要素（CIA）に加えて、より実践的な4つの補助概念──真正性・責任追跡性・否認防止性・信頼性まで、まとめて分かりやすく解説します。

■ 情報は「3つの柱」で守られている（CIA）
まず、セキュリティの基本「CIA」とは：

Confidentiality（機密性）見せちゃいけない人に見せない
Integrity（完全性）勝手に書き換えられていない
Availability（可用性）必要な時に使えること

・機密性（Confidentiality）
例えば、社外秘の設計図が外部に流出したら大変ですよね。これは見せるべき相手にだけ情報が届くようにする力です。
→ 暗号化、アクセス制御、パスワード管理などで対策。

・完全性（Integrity）
情報が改ざんされていたら意思決定も崩れます。
→ 電子署名、チェックサム、WORM記録などが有効。

・可用性（Availability）
サーバーがダウンして、業務が止まったら？
→ 冗長化、バックアップ、UPS（無停電装置）などが活躍します。

■ 「どう守るか？」を定めたのがJIS Q 27000シリーズ

「守るべきこと」はCIAで分かりました。ではどうやって管理し、守っていくか？──その指針が「JIS Q 27000シリーズ」です。

JIS Q 27001：ISMS（情報セキュリティマネジメントシステム）の要求事項
→ 認証取得の基準となる。企業が「うちはセキュリティちゃんとしてます」と言いたい時に必須。

JIS Q 27002：具体的な管理策（ノウハウ集）
→ 例えば「ログは定期的に確認しよう」「USBは禁止しよう」等、実務向けの指針が載ってます。

■ セキュリティをさらに深める「4つの補助要素」
情報セキュリティはCIAだけでは完結しません。実務ではもっと細かく「誰が、いつ、何を、どうやったか」まで問われます。

そこで追加で押さえておきたいのがこの4つ：

真正性（Authenticity）本人であることの確認 生体認証、OTPなど
責任追跡性（Accountability）誰が何をしたか追える 操作ログ、監査証跡
否認防止性（Non-repudiation）「やってない」を言わせない 電子署名、タイムスタンプ
信頼性（Reliability） 安定してちゃんと動く力 ソフトの品質、ハード冗長化

・真正性（Authenticity）
→ 「その操作、本当に本人？」を確認。ワンタイムパスワードや生体認証がよく使われます。

・責任追跡性（Accountability）
→ 「誰が、いつ、何をしたか」をあとから辿れること。ログ管理が肝です。

・否認防止性（Non-repudiation）
→ 「そんなことしてませんよ？」を通用させない。電子署名やブロックチェーンなどで、記録の改ざん困難性を高めます。

・信頼性（Reliability）
→ 情報システムがちゃんと動き続ける能力。セキュリティとは少し分野が違いますが、現場ではとても大切です。

■ 最後に：何を守るか × どう守るか
これまでの話をひとことでまとめると──

CIA＋4要素＝情報の守る力（セキュリティ7要素）
JIS Q 27000シリーズ＝守る為の仕組み作りの教科書

試験でも「どの性質の欠如が原因か？」を問われる問題が出ます。「何を守る為に、どんな対策が必要なのか」を意識しながら勉強を進めていくと、理解がぐっと深まります。