情報セキュリティの3要素（CIA）・7要素とは？概念や対策をわかりやすく解説

企業の機密情報がコンピュータやネットワーク上で取り扱われている現代において、情報セキュリティの強化は、企業が取り組むべき必須課題の一つです。

しかし、実際どのような脅威が存在するのか、具体的にどのような情報セキュリティ対策が必要なのかについて、十分に理解している方はそれほど多くはないのではないでしょうか。

この記事では、情報セキュリティの基本概念や脅威、効果的な対策方法についてわかりやすく解説します。

情報セキュリティの概念

情報セキュリティとは、企業や組織の保有する情報資産を、さまざまな脅威から守ることを指します。

3要素（CIA）とは

情報セキュリティの3要素は、「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」の3つです。
それぞれの頭文字を取り、情報セキュリティの「CIA」と略されることもあります。

機密性 （Confidentiality）	許可された者だけが情報にアクセスできるようにすること
完全性 （Integrity）	保有する情報が正確であり、完全な状態を保持すること 情報が不正に改ざんされたり、破壊されたりしないこと
可用性 （Availability）	許可された者が必要な時にいつでも情報にアクセスできるようにすること

出典：総務省「組織幹部のための情報セキュリティ対策」

これらは情報セキュリティを守る上で最も基本的な要素であり、全ての情報セキュリティ対策の基盤となっています。

7要素とは

情報セキュリティの7要素は、基本の3要素（CIA）に加えて、「真正性（Authenticity）」「責任追跡性（Accountability）」「否認防止（Non-Repudiation）」「信頼性（Reliability）」の4つが含まれます。

機密性 （Confidentiality）	許可された者だけが情報にアクセスできるようにすること
完全性 （Integrity）	保有する情報が正確であり、完全な状態を保持すること
可用性 （Availability）	許可された者が必要な時にいつでも情報にアクセスできるようにすること
真正性 （Authenticity）	情報システムの利用者が確実に本人であることを確認できること
責任追跡性 （Accountability）	操作の記録（ログ）を保持し、情報の変更履歴などを辿れること
否認防止 （Non-Repudiation）	事象又は処置が発生した後で、否認されないように証 明できること
信頼性 （Reliability）	情報システムの動作や結果が意図どおりであること

出典：国立国会図書館調査及び立法考査局「Ⅱ-1 サイバーセキュリティの基本概念と脅威」

4つの追加要素は、CIAの基本要素を強化し、より高度なセキュリティ管理とリスク対応を可能にします。

企業や組織がこれらの要素に対して適切な対策を講じることは、大事な情報資産をより確実に守ることにつながります。

情報セキュリティの脅威

情報セキュリティを強化するためには、潜在的な脅威について正しく理解する必要があるでしょう。

ここでは、主な情報セキュリティの脅威について説明します。

マルウェア

マルウェアとは、英語で「悪意のあるソフトウェア」を意味する「Malicious Software」の略称です。
主な種類としては、ウイルス、ワーム、トロイの木馬などが挙げられます。

これらのマルウェアは、システムやネットワークに感染し、データの破壊や窃盗、システムの操作権限を乗っ取るなど、さまざまな被害を引き起こします。

フィッシング

フィッシングとは、偽のウェブサイトや電子メールを使用して、ユーザーに偽の情報を提供し、個人情報や機密情報を盗み取る手口です。
パスワードやクレジットカード情報などが盗まれる可能性があるため、注意が必要です。

なかには、マルウェアに感染させるためのサイトやメールもあります。

不正アクセス

不正アクセスとは、悪意のある第三者が許可なくコンピュータやネットワークに侵入する行為を指します。

機密情報の漏洩やシステム障害など、重大なセキュリティリスクを引き起こし、企業の信頼性に深刻な影響を与える可能性があります。

標的型攻撃

標的型攻撃とは、特定の企業や組織を狙った高度なサイバー攻撃です。

内部システムへの侵入を目的とした攻撃であるケースが多く、事前にターゲットに関する情報収集をしたうえで、巧妙に仕組まれたウイルス付きメール（標的型攻撃メール）が送られてきます。

DDoS攻撃

DDoS（分散型サービス拒否）攻撃とは、多数のコンピュータから一斉に大量のトラフィックを送信し、ターゲットのサーバーやネットワークを過負荷にさせる攻撃です。

攻撃によってサービス停止に追い込まれることも多く、大きな損失が発生するリスクもあります。

ゼロデイ攻撃

ゼロデイ攻撃とは、ソフトウェアやシステムの脆弱性が発見されたその日に行われる攻撃です。

ソフトウェアの脆弱性が発見されてから、修正プログラムが作成されるまでの時間に行われるため、防御が難しいと言われています。

情報セキュリティ対策とは

企業や組織が情報セキュリティ対策に取り組むには、以下の4要素に対してバランスよく取り組むことが望ましいとされています。

続いては、各要素におけるセキュリティ対策について詳しく説明します。

組織的セキュリティ

組織的セキュリティ対策とは、情報セキュリティの確保に向けた企業や組織の構造的な取り組みを指します。

具体的には、情報セキュリティポリシーの策定や役割と責任の明確化、ガバナンスの確立や従業員教育などが含まれます。セキュリティインシデントが発生した場合の対応手順を事前に整備しておくことも大切です。

組織的セキュリティを強化するには、定期的なセキュリティ監査やリスク評価を実施し、問題点の洗い出しや改善策の検討を繰り返すことが重要です。

人的セキュリティ

人的セキュリティ対策は、従業員の行動や意識を通じて情報セキュリティを確保するための施策です。

「標的型攻撃のメールを開いてしまう」など、従業員や関係者のうちの一人の一回のミスで、企業の重要な情報資産が危険に晒されてしまう可能性もゼロではありません。

企業の情報セキュリティを強化するには、従業員への徹底した教育が必要です。
具体的には、フィッシングメールの識別方法や安全なパスワード管理の方法、セキュリティポリシーの遵守などが挙げられます。

また、従業員がセキュリティに関する疑問や不安を持った際に、相談できる窓口を設けることも有効です。

技術的セキュリティ

技術的セキュリティ対策は、技術を用いて情報を保護する手段を指します。

例えば、ファイアウォールの設置やウイルス対策ソフトの導入、暗号化技術の利用などが挙げられます。
ソフトウェアの脆弱性を早期に検知するシステムや、侵入検知・防止システムの導入も有効です。

物理的セキュリティ

物理的セキュリティ対策は、物理的な手段で情報資産を保護する施策を指します。

具体的には、オフィスやサーバールームの入退室管理、監視カメラの設置、機器の盗難防止策などが含まれます。

例えば、重要なサーバールームには厳格なアクセス制限を設け、入退室を記録することで不正アクセスを防止します。
災害対策として、データのバックアップを定期的に行い、異なる場所に保管することも有効です。

情報セキュリティ対策の機能

情報セキュリティ対策には、「抑止」「予防」「検知」「回復」という4つの機能があります。

機能	概要
抑止	情報セキュリティ事故や不正行為等の発生自体を未然に防ぐ
予防	組織、設備、情報システムなどにおける脆弱な部分に対して対策を実施し、情報セキュリティ事故の被害を軽減する
検知	情報セキュリティ事故の発生を迅速に発見し、原因究明や影響範囲の特定に必要な情報を取得・保全する
回復	情報セキュリティインシデントによって影響や損害を受けた情報システムやネットワークを正常な状態に復旧させる

出典：サイバーセキュリティの基本概念と脅威

具体的な情報セキュリティ対策を考えるうえで、4つの機能を意識することは非常に重要です。

例えば、「抑止」と「予防」は情報セキュリティの脅威から情報資産を守るための機能であり、従業員教育を実施し、セキュリティポリシーの遵守を徹底することで効果を発揮します。

また、外部からの不正アクセスなどの脅威により情報の漏洩が発生してしまった場合でも、「検知」と「回復」の機能が正常に働けば、企業の社会的信用を保つことができる可能性があります。

情報セキュリティの具体的な方法

情報セキュリティの基本概念と考え方を理解したら、具体的な対策方法を検討しましょう。

ここでは、主な情報セキュリティの事例いくつか紹介します。

暗号化

暗号化は、データを第三者に読まれないように変換する情報セキュリティ技術です。
重要な情報を暗号化することで、不正アクセスによる情報漏洩を防ぐことができます。

暗号化には、対称鍵暗号方式と公開鍵暗号方式の2種類があり、それぞれ異なる方法でデータの保護を行います。

例えば、コンピュータのログインパスワードや電子メール、無線LANによる通信データなどに暗号化技術を適用することで、情報の安全性を確保します。

認証方式

認証方式は、システムやデータへのアクセスを許可された正当なユーザーであることを確認する手段です。

一般的な方法として、パスワード認証や二要素認証（2FA）があります。
二要素認証は、パスワードに加えて、スマートフォンなどのデバイスを使用して追加の確認を行うため、セキュリティのレベルが高まります。

また、生体認証（指紋や顔認証）も、情報セキュリティ対策として有効な認証手段です。

アクセス制御

アクセス制御は、ユーザーやシステムが特定のデータやリソースにアクセスする権限を管理する方法です。
これにより、機密情報への不正アクセスを防ぎます。

アクセス制御の一例として、役職や担当業務に応じたアクセス権限の設定があります。
社内システムにおいても、許可された者だけがアクセスできる制御機能を適切に付与することは、企業の情報資産を守るために重要な対策です。

監視

監視は、システムやネットワークの活動を常にチェックし、不正なアクセスや異常な活動を早期に発見するための方法です。

監視システムを導入し、リアルタイムでログを収集・分析したり、異常を検知した場合にアラートを発することで迅速な対応を可能にします。

例えば、侵入検知システム（IDS）や侵入防止システム（IPS）は、セキュリティインシデントの早期発見のために、有効な方法と言えるでしょう。

情報セキュリティの基本を理解して脅威に備えよう

情報セキュリティの基本を理解し、適切な対策を講じることは、現代のビジネス環境において企業が取り組むべき重要課題の一つです。

情報セキュリティの3要素と7要素を基盤とし、組織的、人的、技術的、物理的な対策をバランスよく実施することで、セキュリティ対策を強化しましょう。

株式会社野村総合研究所（NRI）のasleadでは、企業の情報セキュリティ強化を目的とした先進的なシステムやITツールの導入をサポートしています。

また、プライバシーガバナンスの構築・運用支援サービスとして、個人情報およびプライバシーの保護を簡便、確実、効率的に運用するためのコンサルティングやソリューションをご提案いたします。

ツールの選定から具体的な運用施策に至るまで、専任の担当者が一貫してサポートいたしますので、ぜひお気軽にご相談ください。