機密性・完全性・可用性の全体像
予約システムが動いていれば安全でしょうか。画面が開いても、他人の予約が見えたり、予約人数が勝手に変わったりするなら安心して使えません。逆に、情報が漏れず正しく保存されていても、窓口が必要なときに参照できなければ業務は止まります。ここでは架空の施設予約を例に、守りたい状態を三つの視点で整理します。
この単元で学ぶこと
- 漏えい・誤更新・利用不能をCIAの観点で区別できる
- 同じ情報でも三つの観点が必要な理由を説明できる
- 事故の影響と対策の目的を分けて考えられる
本文解説
三つの問いで予約表を見る 施設の予約表には、予約者の連絡先、日時、部屋、人数が記録されています。「誰に見せてよいか」「記録は正しく欠けていないか」「必要なときに使えるか」は別々の問いです。この三つの視点を機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）といい、英語の頭文字でCIAと表します。ここでのCIAは組織の名称ではありません。
機密性――見せてよい範囲を守る 予約者本人と担当職員だけが連絡先を閲覧する運用なのに、共有リンクを知る人なら誰でも見られるようにした場合、機密性が損なわれます。情報が正しいままでも、許可されていない相手に開示すれば問題です。「誰にも見せない」ではなく、業務上認められた人には使えることが前提です。画面のアクセス制限だけでなく、印刷した予約一覧の置き場所も対象になります。
完全性――内容の正確さと欠けのなさを守る 人数を12人から21人へ入力し間違えると、準備する備品の数も誤ります。この場合は職員本人の操作でも完全性の問題です。不正な改ざんだけが原因とは限りません。予約行の一部が誤って消える場合も考えます。ただし、承認された訂正まで禁止するという意味ではありません。必要な変更を正しい手順で行い、変更後の内容を確かめます。
可用性――必要な場面で使えるようにする 受付開始時に障害で予約表が開けないと、担当者は部屋を案内できません。データが残っていて、内容も正しいとしても、必要なときに使えない点が問題です。可用性は誰にでも常時公開することではなく、利用を認められた人が必要なときに利用できることです。復旧方法だけでなく、停止中に確認する承認済みの代替手段も検討します。
一つの事故を一つのラベルに押し込めない 権限のない第三者が予約データを持ち出し、その後に内容を不正に書き換え、システムも停止させたなら、漏えい・改変・利用不能の三つをそれぞれ確認します。事故名から一つに決めず、実際に何が起きたかを分解します。問題文に漏えいだけが示されているとき、書かれていない改ざんまで発生したと断定してはいけません。可能性と確認済みの影響を分けましょう。
公開情報にも守る価値がある 施設の利用料金表は誰でも読める公開情報です。それでも料金を書き換えられたり、必要なときにページを開けなかったりすると困ります。秘密でない情報にも完全性と可用性が必要です。情報資産とは保護する価値のある情報やそれを扱う仕組みなどを指し、この文脈では現金や建物だけを数える簿記の資産分類とは異なります。
対策は何に効くかを考える 閲覧者を担当職員に限定する対策は、主に不要な開示を防ぎます。更新前の確認や変更記録の点検は、誤変更の防止・発見を助けます。別に保存したバックアップを復元する試験は、障害時に必要なデータへ戻れるかを確かめます。対策名と一要素を機械的に一対一対応させず、具体的な目的を見ます。例えばバックアップにも閲覧制限が必要で、複製を作るだけでは漏えい対策になりません。
ミニケース――対策後に残る問題 予約表の共有権限を限定し、誤った人数も訂正しました。しかし受付端末が故障し、承認された代替閲覧手段がありません。この時点で残る中心的な課題は可用性です。逆に、代替端末で開けるようになっても、共有リンクを無制限に戻してよいわけではありません。安全な業務利用には三つの視点を同時に点検します。次の教材では各性質を一つずつ掘り下げます。
図解
重要ポイント
- 機密性は開示・利用を認める範囲、完全性は正確さと完全さ、可用性は必要時の利用に注目する。
- 誤操作による更新でも完全性は損なわれる。
- 公開情報にも完全性と可用性が必要になる。
- 一つの事故が複数の性質へ影響することがある。
- 対策の効果は名前だけでなく利用目的と条件から判断する。
間違えやすい点
- 情報が残っているだけで可用性が確保されたとはいえない。
- 一つの事故に必ず一つの要素だけを割り当てない。
- 公開済みの情報だから保護不要とは考えない。
用語解説
- 機密性
- 許可されていない相手への情報の開示や利用を防ぐ観点。
- 完全性
- 情報の正確さと完全さを維持する観点。
- 可用性
- 利用を認められた人や仕組みが、必要なときに利用できる観点。
- 情報資産
- 組織にとって価値があり保護の対象となる情報や、それを扱うシステム・媒体など。
- バックアップ
- 障害や誤削除などからの復元に備え、データの複製を別に保持すること。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。