はじめに
前回の記事では、情報セキュリティの基本となる**3要素（CIA）**について解説しました。
- 機密性（Confidentiality）
- 完全性（Integrity）
- 可用性（Availability）
現在では、より実践的な情報セキュリティを考えるために、これら3要素へ4つの要素を加えた**「情報セキュリティ7要素」**という考え方も用いられています。
今回は、追加された4つの要素について見ていきましょう。
情報セキュリティ7要素
情報セキュリティ7要素は次のとおりです。
- 機密性（Confidentiality）
- 完全性（Integrity）
- 可用性（Availability）
- 真正性（Authenticity）
- 責任追跡性（Accountability）
- 否認防止（Non-repudiation）
- 信頼性（Reliability）
今回は、後半の4要素を解説します。
真正性（Authenticity）とは
真正性とは、
「本人であること、または正当なものであることを確認できること」
を意味します。
例えば、インターネットバンキングでは、ログインした人が本当に本人かを確認する必要があります。
真正性を確保する対策
- ID・パスワード
- 多要素認証（MFA）
- 生体認証（指紋認証・顔認証）
具体例
社員証とパスワードを使って会社のシステムへログインする。
→ 本人確認を行うため、真正性を確保しています。
責任追跡性（Accountability）とは
責任追跡性とは、
「誰が、いつ、何をしたのかを後から確認できること」
です。
問題が発生したとき、原因や担当者を特定できるようにすることが目的です。
責任追跡性を確保する対策
- 操作ログの保存
- アクセスログ
- 監査ログ
具体例
「○月○日○時○分に、Aさんがファイルを削除した」という履歴を残す。
→ 後から確認できるため、責任追跡性が保たれています。
否認防止（Non-repudiation）とは
否認防止とは、
「あとから『自分はやっていない』と言えないようにすること」
です。
責任追跡性と似ていますが、否認防止は本人が行った事実を証明することに重点があります。
否認防止を確保する対策
- 電子署名
- 電子証明書
- タイムスタンプ
具体例
電子契約に電子署名を付与し、「契約していない」と主張できないようにする。
→ 否認防止の代表例です。
信頼性（Reliability）とは
信頼性とは、
「システムやサービスが安定して正しく動作し続けること」
です。
利用者が安心してシステムを利用できる状態を維持することが重要です。
信頼性を高める対策
- システムの品質管理
- 定期的な保守・点検
- 障害の予防
具体例
Webサービスが長期間にわたって安定して稼働し、大きな障害が発生しない。
→ 信頼性が高いシステムといえます。
試験で押さえたいポイント
7要素の中でも、情報セキュリティマネジメント試験では次のようなキーワードが頻繁に登場します。
| 要素 | 覚え方 |
|---|---|
| 真正性 | 本人確認 |
| 責任追跡性 | 誰がやったか分かる |
| 否認防止 | やっていないと言えない |
| 信頼性 | 安定して動く |
意味だけでなく、具体例とセットで覚えると問題が解きやすくなります。
確認問題
問題1
指紋認証や顔認証を利用して本人確認を行う目的はどれでしょうか。
A. 真正性
B. 責任追跡性
C. 否認防止
答え
A.真正性 本人であることを確認するためです。
問題2
システムの操作履歴を保存し、後から誰が操作したか確認できるようにする目的はどれでしょうか。
A. 信頼性
B. 責任追跡性
C. 可用性
答え
B. 責任追求性 誰が、いつ、何をしたのかを後から確認できるようにするためです。
問題3
電子契約に電子署名を付け、「契約していない」と主張できないようにする目的はどれでしょうか。
A. 真正性
B. 否認防止
C. 完全性
答え
B. 否認防止 後から「自分は行っていない」と否定できないようにするためです。
問題4
システムが長期間安定して稼働し続けることを重視する要素はどれでしょうか。
A. 可用性
B. 信頼性
C. 機密性
答え
B. 信頼性 安定して正しくサービスを提供し続けることが目的です。
まとめ
情報セキュリティ7要素は、従来のCIAに4つの要素を加えた考え方です。
覚え方は次のように整理すると理解しやすくなります。
- 機密性：見られない
- 完全性：書き換えられない
- 可用性：使える
- 真正性：本人である
- 責任追跡性：誰がやったか分かる
- 否認防止：やっていないと言えない
- 信頼性：安定して動く
まずは一つひとつの意味を理解し、具体例と結び付けて覚えることが、情報セキュリティマネジメント試験合格への近道です。
コメント