ITパスポートの情報セキュリティ｜CIAとリスク対応の見分け方

セキュリティの過去問では、情報を「見られた」「書き換えられた」「使えなくなった」のどれかを考えると、機密性・完全性・可用性を区別しやすくなります。

CIAの3要素に加え、責任追跡性などの関連する性質と、リスク対応の4類型を整理します。問題文に書かれた被害や対策から判断しましょう。

1. 情報セキュリティの3大要素（CIA）

要素	英語表記	定義	脅かされる脅威	具体的な対策例
機密性	Confidentiality	許可された正規の利用者だけが情報にアクセスできること	情報漏えい、盗聴、ショルダーハッキング	暗号化、パスワード認証、アクセス権限の最小化
完全性	Integrity	情報の正確さと完全さが保たれ、許可されない変更や欠落がないこと	Webサイト改ざん、データの不当書き換え	ディジタル署名、ハッシュ値検証、アクセスログ監視
可用性	Availability	許可された正規の利用者が、必要な時にいつでも情報にアクセスできること	DoS攻撃、ランサムウェア、サーバーダウン、停電	二重化（冗長化）、無停電電源装置（UPS）、定期バックアップ

【真正性 (Authenticity)】：利用者や情報が「本物（なりすましではない）」であることを確実に証明できること（多要素認証、電子証明書）。
【責任追跡性 (Accountability)】：いつ誰がどのような操作を行ったかを一意に追跡できること（アクセスログ、操作履歴の保全）。
【否認防止 (Non-repudiation)】：あとから「そんな操作や送信はしていない」と主張・否定できないようにすること（ディジタル署名、タイムスタンプ）。
【信頼性 (Reliability)】：情報システムが意図した通りの処理を矛盾なく確実に実行できること。

対応	意味	例と注意点
低減	発生の可能性や影響を小さくする	更新プログラムの適用、教育、アクセス制御など
回避	リスクにつながる活動を始めない、または中止する	安全に提供できないサービスを停止する。別の活動に変えれば、別のリスクは残り得る
移転・共有	損失や責任の一部を、契約などで他者と分担する	サイバー保険。補償対象や限度があり、リスク全体が消えるわけではない
保有・受容	評価したリスクを、責任者が判断して受け入れる	小さい残留リスクを受容し、状況の変化を監視する。単に放置することとは異なる

【問題】情報セキュリティの3要素（機密性、完全性、可用性）のうち、「DoS攻撃を受けてWebサーバーが過負荷状態になり、一般利用者がWebサイトを閲覧できなくなった状態」において、直接損なわれた要素はどれか。

【正解】ウ

【問題】企業が保有するサーバーが不正アクセスを受けた場合の損害に備えて、「サイバーセキュリティ損害賠償責任保険」に加入した。このリスク対応策に該当するものはどれか。

【正解】ウ