ガイドIP
情報セキュリティの3要素（CIA）とリスクマネジメント完全攻略｜機密性・完全性・可用性徹底解説
公開: 2026-08-25更新: 2026-08-26
ITパスポートで最頻出の情報セキュリティ3大要素（機密性・完全性・可用性）と付加的要素、リスクマネジメントの4つの対応（低減・回避・移転・保有）を徹底解説。
情報セキュリティの根幹をなす「情報セキュリティの3要素（CIA）」と「リスク対応の4分類」は、すべてのセキュリティ問題の基礎となります。
1. 情報セキュリティの3大要素（CIA）
要素 | 定義 | 脅かされる脅威の例 | 対策例 |
|---|---|---|---|
C (Confidentiality: 機密性) | 許可された者だけが情報にアクセスできること | 情報漏洩、盗聴、ショルダーハッキング | 暗号化、アクセス制御、パスワード認証 |
I (Integrity: 完全性) | 情報が正確で改ざんされていないこと | Web改ざん、データの意図しない書き換え | ディジタル署名、ハッシュ値検証、WAF |
A (Availability: 可用性) | 必要なときにいつでも情報やシステムを利用できること | DDoS攻撃、ランサムウェア、ハード故障、停電 | 二重化（冗長化）、無停電電源装置（UPS）、バックアップ |
2. 付加的な真正性・責任追跡性・否認防止
- 真正性（Authenticity）: 利用者が主張する本人に間違いがないこと（生体認証、多要素認証）。
- 責任追跡性（Accountability）: 誰がいつ何をしたのかを後から追跡・証明できること（アクセスログ、操作ログ）。
- 否認防止（Non-repudiation）: 「後からそんな操作はしていない」と否定されないこと（ディジタル署名、タイムスタンプ）。
3. リスク対応の4つの手法
手法 | 定義 | 具体例 |
|---|---|---|
リスク低減（軽減） | セキュリティ対策を導入してリスクの発生確率や影響度を下げる | アンチウイルス導入、暗号化、社員教育 |
リスク回避 | リスクの原因となる業務やシステム利用そのものを取りやめる | 危険な機能の廃止、個人情報を保有しない仕様への変更 |
リスク移転（共有） | 第三者にリスクを転嫁・分担する | サイバー保険への加入、クラウド事業者への運用委託 |
リスク保有（受容） | 対策コストに見合わないため、許容範囲内として現状を受け入れる | 被害が極小の事象について特別な対策を行わず許容する |
4. 試験での解法ルール
【判断ルール】「保険に入る＝移転」「暗号化する＝低減」「サービス停止＝回避」「そのまま受け入れる＝保有」。
この記事に関連する教科書用語
編集・検証について
編集・検証：IT資格ラボ編集部
IPAが公開する試験要綱・シラバス・過去問題と、各技術の公式資料を優先して内容を確認しています。制度変更や誤りを確認した場合は、記事を見直して更新します。
編集方針・情報源・訂正方針を見る