【セキュリティ概論】- 情報セキュリティの3要素

前談

これまでネットワークの基礎について学んできましたが、ネットワークを理解する上で避けて通れないのがセキュリティです。

• 「セキュリティって難しそう...」
• 「暗号化とかファイアウォールとか、いろいろあってわからない！」

でも実は、セキュリティの基本はたった3つの考え方に集約されます。
それが機密性・完全性・可用性、通称CIAです。(Confidentiality・Integrity・Availability)

今回は、このセキュリティの三大要素について、わかりやすく説明していきます！

あ、ちょっと待ってください！CIAって...
あの有名なアメリカの諜報機関じゃないですよ！！！ 🕵️
セキュリティの世界では、Confidentiality・Integrity・Availability の頭文字で「CIA」と呼ばれているんです。
(ちなみにアメリカの諜報機関は Central Intelligence Agency の略で、こちらも偶然CIAです)

情報セキュリティの三大要素(CIA)とは

下記が詳細な説明です📕

情報セキュリティの三大要素とは、情報を守るために必要な3つの基本的な考え方のことです。
機密性(Confidentiality)- 許可された人だけが情報にアクセスできる状態を保つこと
完全性(Integrity)- 情報が改ざんされず、正確で完全な状態を保つこと
可用性(Availability)- 必要なときに、必要な人が情報にアクセスできる状態を保つこと
これら3つの頭文字を取って「CIA」または「CIA triad(CIAトライアド)」と呼ばれています。
セキュリティ対策を考えるとき、この3つのバランスを取ることが重要です。

とてもわかり辛い！！！！！！

ですので、わかりやすく説明すると「情報を守るための3つの基本ルール - 見せない・壊させない・使えるようにする」です。

機密性(Confidentiality) - 見せない

機密性とは?

見てはいけない人に情報を見せないことです。

例えば

• 社員の給与データが外部に漏れない
• あなたのパスワードが他人に知られない
• 顧客の個人情報が不正アクセスされない
• 社内の機密文書が競合他社に渡らない

「情報が漏れること」が機密性を脅かす最大の脅威です。

機密性を守る技術

暗号化
データを暗号化して、鍵を持っている人だけが読めるようにします。
HTTPSの「S」は「Secure(安全)」の意味で、通信を暗号化しています。
たとえ通信データを盗聴されても、暗号化されていれば内容を読み取られません。

アクセス制御
ユーザー名とパスワード、多要素認証(MFA)などで、許可された人だけがアクセスできるようにします。
「誰が・何に・どこまでアクセスできるか」を厳密に管理します。

ファイアウォール
不正なアクセスをブロックして、外部からの侵入を防ぎます。
ネットワークの入口で「通してはいけない通信」を遮断する門番のような役割です。

完全性(Integrity) - 壊させない

完全性とは?

情報が勝手に書き換えられたり、壊されたりしないことです。

例えば

• 銀行の口座残高が不正に改ざんされない
• Webサイトの内容が攻撃者によって書き換えられない
• データベースのデータが破損せず正確に保たれる
• 送信したメールの内容が途中で改ざんされない

「情報が改ざんされること」が完全性を脅かす脅威です。

完全性を守る技術

デジタル署名
データに「署名」を付けて、データが改ざんされていないことを証明します。
署名が一致しなければ、データが書き換えられたことがわかります。

ハッシュ値
データから固有の「指紋」のような値を生成します。
データが少しでも変わると、ハッシュ値も変わるため、改ざんを検知できます。

バックアップ
定期的にデータをバックアップすることで、万が一データが壊れても元に戻せます。

アクセス権限の管理
データを変更できる人を制限することで、不正な改ざんを防ぎます。

可用性(Availability) - 使えるようにする

可用性とは?

必要なときに、必要な人が、確実に情報にアクセスできることです。

例えば

• Webサイトがダウンせず、いつでもアクセスできる
• 業務システムが障害で止まらない
• サーバーが攻撃を受けても、サービスが継続できる
• 災害が起きても、データが失われずに復旧できる

「情報やシステムが使えなくなること」が可用性を脅かす脅威です。

可用性を守る技術

冗長化(リダンダンシー)
サーバーやネットワーク機器を複数用意しておき、1台が故障しても別の機器で動き続けるようにします。
「卵を一つのカゴに盛るな」という考え方です。

ロードバランサー
複数のサーバーにアクセスを分散させて、負荷を分散します。
1台のサーバーに負荷が集中してダウンするのを防ぎます。

バックアップとディザスタリカバリ
定期的にデータをバックアップし、障害時に素早く復旧できる体制を整えます。
災害対策(ディザスタリカバリ)計画も重要です。

DDoS攻撃対策
大量のアクセスでサーバーをダウンさせる攻撃(DDoS攻撃)を防ぐため、WAF(Web Application Firewall)などで防御します。

監視とメンテナンス
システムを常時監視し、異常を早期発見して対処します。
定期的なメンテナンスで、障害を未然に防ぎます。

3つの要素のバランスが大切

機密性・完全性・可用性は、それぞれが独立しているわけではなく、バランスを取ることが重要です。

例えば

• 機密性を重視しすぎる → アクセス制限を厳しくしすぎて、必要な人が使えなくなる(可用性が低下)
• 可用性を重視しすぎる → 誰でもアクセスできるようにしたら、情報が漏れる(機密性が低下)
• 完全性を重視しすぎる → 変更手続きを複雑にしすぎて、業務が遅くなる(可用性が低下)

セキュリティ対策を考えるときは、「何を一番守りたいのか」「どのリスクを許容できるのか」を考えながら、この3つのバランスを調整していく必要があります。

まとめ

この記事では、情報セキュリティの三大要素CIAについて説明しました。

覚えておきたいポイント

• セキュリティの基本は機密性・完全性・可用性の3つ
• 機密性(Confidentiality) - 見せない - 許可された人だけがアクセスできる
• 完全性(Integrity) - 壊させない - 情報が改ざんされず正確に保たれる
• 可用性(Availability) - 使えるようにする - 必要なときに確実にアクセスできる
• この3つのバランスを取ることが重要

セキュリティと聞くと難しく感じますが、この3つの考え方を理解していれば、「今やろうとしているセキュリティ対策は、CIAのどれを守るためのものなのか？」が見えてきます！