目次

  1. 情報セキュリティ3要素とは
    1. 機密性（Confidentiality）
    2. 完全性（Integrity）
    3. 可用性（Availability）
  2. 情報セキュリティ7要素とは（追加された4つの要素）
    1. 真正性（Authenticity）
    2. 責任追跡性（Accountability）
    3. 信頼性（Reliability）
    4. 否認防止（Non-repudiation）
  3. 情報セキュリティ3要素が重要な理由
    1. 情報漏洩による被害拡大の防止
    2. IT環境や運用管理の多様化
    3. 信用力の確保とイメージ向上
  4. 情報セキュリティ対策の具体例
    1. アクセス管理を徹底する
    2. 外部デバイスへの留意
    3. 許可以外のデバイス、ソフトウェアの利用制限
    4. セキュリティ対策の徹底
    5. 社員への教育と訓練
  5. 情報セキュリティポリシーの策定
    1. 情報セキュリティポリシーに含める内容
    2. 情報セキュリティポリシーを策定する手順
  6. 情報セキュリティの3要素で安全と信頼性を

　情報セキュリティ3要素とは、情報資産をさまざまな脅威から守るための基本的な要件です。「機密性（Confidentiality）」「完全性（Integrity」」「可用性（Availability」）の3つの要素を指しており、頭文字を並べて「CIA」とも呼ばれます。

　これらの要素は、ISO/IEC 27000シリーズをはじめとする情報セキュリティの国際標準でも定義されており、情報セキュリティ管理システム（ISMS）の構築・運用においても重要な概念として位置づけられています（参照：ISMSとは｜情報セキュリティマネジメントシステム認定センター）。

　情報セキュリティの3要素は、互いに密接に関連しています。そのため、それぞれの要素のいずれかを過度に重視すると、他の要素とのバランスが崩れ、全体的なセキュリティレベルが低下する可能性があります。それぞれの要素間で適切なバランスを維持することが、情報セキュリティ3要素には必要です。

　以下では、情報セキュリティ3要素を一つずつ解説します。

　機密性とは、個人や組織、またはシステムやプログラムなどが許可のないアクセスをしないようにすることを言います。情報へのアクセスを制限し、権限のない第三者による不正アクセスや情報漏洩を防ぐことが目的です。

　たとえば、顧客名簿や社員の個人情報、取引先との契約内容などが、誰でも見られる状態では問題です。そのため、情報にアクセス権を設定して、アクセス可能な人物とその範囲を厳格に管理することによって「機密性」を保っておく必要があります。

　完全性とは、データにエラーや破損がなく、情報が常に正確である状態を維持することを言います。情報の信頼性を保証し、意図しない変更や破損が起きることのないようにするのが目的です。

　たとえば、プロジェクトのデータに意図しない変更が行われてしまうと、プロジェクトの進捗や品質に影響が出るだけでなく、場合によっては会社の経営にも大きな影響を及ぼす可能性があります。データが改ざんされないようバックアップやチェックをして「完全性」が保たれるようにしておく必要があります。

　可用性は、必要なとき必要な情報に、常にアクセスできる状態にしておくことを言います。データやシステムをいつでも必要なときに使えるようにすることで、安定したビジネスを実現します。

　たとえば、顧客からの受注システムがダウンしていると、機会損失による売り上げ減少だけでなく、信用毀損といった経営基盤にも影響が及びかねません。サーバーダウンや災害などの障害からシステムを守るためのバックアップや災害対策を講じる必要があります。

　情報セキュリティ3要素への追加要素として、以下の4要素が加えられています。

  • 真正性
  • 責任追跡性
  • 信頼性
  • 否認防止

　それぞれどのような要素なのか解説します。

　真正性とは、情報にアクセスしている人物やシステムが、本来許可されたものであるかということを言います。通信やデータの発信元や受信者は本来の意図した相手で、その者が実際の正当なユーザーでなければなりません。

　たとえば、ログイン時のID、パスワード、デジタル証明書などによって本当にそのシステムの正当な利用者であるかを認証することなどが「真正性」です。

　責任追跡性とは、システムやデータへのアクセスがいつ、誰によって、どのように行われたかを記録し、後で追跡できるようにすることです。責任追跡性は、不正アクセスや情報漏えい発生時の原因究明、責任所在の明確化に役立ちます。

　ログ管理やアクセス制御などにより、セキュリティインシデントが発生した場合、迅速に原因を特定し適切な対策を講じることが可能となります。

　信頼性とは、システムが正常に機能し、意図した動作や結果を正しく継続的に得られることを指します。信頼性は、システムの安定稼働、データの正確性を維持するために重要です。

　システム構築時の設計ミスチェックや、ヒューマンエラー防止のためのマニュアル設置などにより、システムやデバイス、プログラムなどのインフラが安定して稼働し、意図した通りの結果を常に取得できるようになります。

　否認防止とは、情報へのアクセスやシステムの操作で行った行為を、後から否認できないようにすることです。行為の証拠を残すことで責任所在を明確化し、不正行為の抑止と迅速な対応を可能にします。

　例えば電子署名や暗号化などにより、行為の証明を行うことで否認されないようにします。

　情報セキュリティの3要素（機密性、完全性、可用性）は、情報の漏洩や改ざん、システム障害による業務停止などのリスクを最小限に抑えるため、企業のIT運用や事業活動において不可欠です。

　個人情報や機密情報などの情報漏洩が起きると、プライバシーの侵害や権利の侵害、またそれによる経済的な損失が発生することがあります。

　セキュリティ3要素によって情報漏洩を未然に防いだり、追跡や適切な対応ができたりして、情報漏洩のリスクを低減できます。

　リモートワークやサプライチェーンの発達などによって、IT環境は多様化しています。また、進化するモバイルデバイスやクラウドなどの運用システムによって、運用管理面でも適切な操作や管理が求められるようになっています。

　複雑化するIT環境に伴い、リスク要因が増加する昨今でも、情報セキュリティ3要素によって安全かつ適切なITの運用・管理が可能になります。

　情報セキュリティ3要素によって安全性が実質的に高まるだけでなく、関係者や顧客に対して情報のやり取りや取引に対する安心感を持ってもらうことができます。また、企業の信用やイメージ向上にもなり、ブランド力の強化にもつながります。

　情報セキュリティ対策の具体例についていくつか挙げてみたいと思います。

　情報セキュリティ対策の基本は、アクセス権限によって付与された範囲内の情報のみにアクセスできるよう管理を徹底することにあります。ユーザーごとの権限設定や、システムへのアクセスログの記録は必須です。また、定期的なパスワードの変更や、二要素認証を導入することで、未許可のアクセスを防止できます。

具体的な対策法
パスワードの強化 強固なパスワードを設定し、使い回しが行われないようにします
多要素認証の導入 2段階認証やワンタイムパスワード、生体認証などを組み合わせセキュリティを強化します
アクセス権限の最小化 アクセス権は必要な範囲のみ付与し、定期的にチェックを行って不要になったアクセス権はただちに削除します
アクセスログの監視 定期的にアクセスログをチェックします。不審なアクセスを早期に検知し、不正行為を防ぎます

　USBメモリや外付けハードディスクなどの外部デバイスは、データ漏洩のリスクが高くなる可能性があります。利用する場合は、デバイスに対して暗号化を施すなどのセキュリティ対策を導入することが重要です。また、外部デバイスからマルウェア感染が起きないための利用手順の遵守も必要です。

具体的な対策法
USBメモリなどの利用制限 許可なく私物のUSBメモリなどを接続しないようにします
外部ストレージの接続制限 外部ストレージを接続する際には、ウイルスチェックを実施し、許可されたデバイスのみ接続できるようにします
クラウドサービスの利用制限 業務で利用するクラウドサービスは許可されたものを使用し、個人のアカウントやサービスを利用しないようにします

　事業所内では、業務に必要なデバイスやソフトウェアだけを使用するよう制限が必要です。個人のスマートフォンや未承認のソフトウェアを業務で使用すると、情報漏洩やウイルス感染のリスクが増加します。システム管理者の許可がないものは、利用されないようにすることが重要です。

具体的な対策法
私用端末の持ち込み制限 私用端末を持ち込んで業務を行うことは、セキュリティリスクを高めるため、原則禁止とします
未承認ソフトウェアのインストール禁止 管理者が承認していないソフトウェアのダウンロード・インストールは、ウイルス感染のリスクを高めるため禁止します

　常に最新の脅威に対応するためにウイルス対策ソフトやファイアウォールの導入・更新は不可欠です。また、定期的なセキュリティ更新の適用や、脆弱性を検出するためのシステム診断も実施する必要があります。ネットワーク全体で統一されたセキュリティポリシーを策定し、組織全体のセキュリティレベルを向上させます。

具体的な対策法
ウイルス対策ソフトの導入 最新のウイルス定義ファイルに更新し、定期的なスキャンを実施します
ファイアウォールの設定 不正なアクセスを遮断するために、ファイアウォールを設定します
脆弱性対策 OSやソフトウェア、デバイスのファームウェアに脆弱性が発見された場合は、速やかに更新します

　どんなに高度な技術的対策を講じても、リスクの最小化は最終的に社員や関係する人員一人ひとりのセキュリティ意識に依るところが大きくなります。定期的なセキュリティトレーニングや啓蒙活動を行い、フィッシング詐欺やSNSなどの巧妙な手口に対する防御力を養うことが大切です。また、セキュリティインシデントが発生した場合の対応方法を全員が理解し、迅速に行動できるように訓練することも重要です。

具体的な対策法
定期的なセキュリティ研修 最新の情報セキュリティに関する知識や動向などを取得し、意識を高めるための定期的な研修を実施します
フィッシング対策 フィッシングメールの見分け方や、不審なリンクをクリックしないよう周知徹底します
情報漏洩防止に関する規定の周知 情報漏洩防止に関する規定を周知し、関係者全員が遵守するようにします

　情報セキュリティ対策の効果を最大化するには、明確なガイドラインを示す必要があります。場当たり的な対策や対応では、情報セキュリティの有効な効果は期待できません。

　わかりやすい例が、交通事情です。道路交通法のような統一されたルールがあってこそ、道路の交通が混乱なく安全でスムーズに利用可能になります。このように、情報セキュリティについてもポリシーの策定は必要です。

　情報セキュリティポリシーは、一般的に「基本方針」「対策基準」「実施手順」の3つの枠組みで構成されます。

基本方針 組織の情報セキュリティに対する基本的な考え方や方針を明示します。経営層の宣言なども含まれ、組織全体の意識統一を図ります
対策基準 基本方針に基づき、具体的なセキュリティ対策の規定を定めます
実施手順 対策基準で定めた対策を実行するための手順やマニュアル、担当者などを具体的に示します

　実施手順では、まず目的と適用範囲を明確に定義します。次に、関係者の責任と役割を決定し、それぞれのセキュリティレベルを定めます。アクセス制御においては、データ保護のための暗号化やバックアップポリシーを明記し、モバイルデバイスや外部ストレージの使用に関するガイドラインも設けるべきです。

　ネットワークセキュリティでは、ファイアウォールやVPNの使用規定に加え、無線LANセキュリティの強化も重要です。さらに、セキュリティインシデント発生時の対応手順や報告フローを確立し、インシデント対応チームの役割も明確に定義します。最後に、全社員へのセキュリティ教育とトレーニングを実施し、意識向上を図ることも不可欠です。

　情報セキュリティポリシーの策定では、まず目的を明確化します。次に現状分析とリスク評価を行い、草案を作成します。関係者に草案を照会し、修正や追加などを行います。最終案を策定した後、社内への周知と教育を行い、定期的な見直しを実施します。

　情報セキュリティポリシーの運用ポイントは、定期的な監視とチェック、インシデント対応シミュレーション、使用者からのフィードバック収集です。ポリシーの改善や見直しを行い、実効性を高めましょう。

　機密性、完全性、可用性の情報セキュリティの3要素、そして追加の4要素をバランスよく適用することで、個人情報漏洩やシステム障害といったリスクを最小限に抑え、安全で信頼性の高い情報システムを構築、維持することが可能になります。

　日々の業務のなかで、これらの要素を常に意識し、適切な対策と運用管理を行っていくことが今のIT社会では求められています。