セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

情報セキュリティの3要素とは、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の頭文字を取って「CIA」と呼ばれる基本概念です。JIS Q 27000（ISO/IEC 27000）では、情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義しており、この3要素は国際的なセキュリティ規格の基盤にもなっています。 近年では、真正性（Authenticity）や責任追跡性（Accountability）、否認防止（Non-repudiation）などを含め、情報セキュリティを7要素で説明することもあります。これらは実務上重要な観点ですが、いずれも機密性・完全性・可用性の3要素を補完・拡張する概念と位置づけられます。本記事では、まず基礎となる3要素（CIA）に焦点を当てて整理します。 この3つが基本とされるのは、情報資産を守るうえで「誰に見せるか」「正しく保たれているか」「使いたいときに使えるか」という3つの観点が欠かせないからです。どれか1つでも欠けると、情報資産としての価値が損なわれます。 たとえば、顧客データベースを例に考えてみましょう。アクセス権限のない従業員が閲覧できてしまえば機密性の問題です。データが何者かに書き換えられていれば完全性の問題です。システム障害でデータにアクセスできなければ可用性の問題です。 このように、CIAは情報セキュリティの課題を整理し、対策の優先順位を考えるための共通言語として機能します。 CIAはトレードオフ関係にある CIAを理解するうえで見落とされがちなのが、3要素はトレードオフの関係にあるという点です。機密性・完全性・可用性のすべてを最大化することはコストや運用負荷などの観点から、現実には非常に困難です。 たとえば、機密性を高めるために多要素認証を導入し、アクセス権限を厳格化したとします。セキュリティは向上しますが、正当なユーザーがデータにアクセスするまでの手間と時間は増えます。つまり、可用性は低下します。完全性を担保するために、データの変更に複数人の承認フローを設けたらどうでしょうか。改ざんリスクは減りますが、承認者が不在のときは業務が止まります。ここでも可用性とのトレードオフが発生しています。逆に、可用性を最優先してシステムを常時稼働させ、誰でもアクセスできる状態にすれば、機密性や完全性のリスクは高まります。 一方で、3要素は相互に補完し合う関係でもあります。機密性をどれだけ高めても、格納されている情報が正しくなければ（完全性が低ければ）、その情報は使えません。また、可用性が低ければ、完全性の高いデータがあっても業務に活用できません。どれか1つだけを高めても、他の要素が欠けていれば情報セキュリティとしては不十分なのです。 このトレードオフと相互補完の関係があるからこそ、3要素をバランスよく維持しつつも、自社の事業特性に応じて重点の置き方を決めることが重要になります。 業種・システム特性による重点の違い CIAのどの要素に重点を置くかは、業種や扱うシステムの特性によって異なります。ただし、これは「他の要素を軽視してよい」という意味ではありません。多くの業種では複数の要素を高いレベルで両立させることが求められます。以下に代表的なパターンを整理します。 業種 システム例 特に重視される要素 理由 金融 勘定系システム 完全性＋機密性 取引記録の正確性と顧客情報の保護が不可欠 医療 電子カルテ 機密性＋可用性 患者情報保護と緊急時のアクセス確保を両立 製造・インフラ 生産管理システム、制御システム 可用性＋完全性 停止も誤動作も許容できない 金融業界では、完全性と機密性が特に重視されます。銀行の口座残高が1円でもずれていれば、顧客との信頼関係は崩壊します。同時に、顧客の口座情報や取引履歴は極めて機微な情報であり、漏洩すれば深刻な被害につながります。 医療業界では、機密性と可用性の両立が求められます。患者のカルテ情報は漏洩すれば深刻なプライバシー侵害となる一方、救急時にカルテにアクセスできなければ患者の命に関わります。どちらかを犠牲にすることはできません。 製造業やインフラ事業では、可用性と完全性の両方が重要です。工場の生産ラインが1時間止まれば数千万円単位の損失が発生しますが、制御システムの誤動作は単なる停止より深刻な事故につながりかねません。電力・水道などの社会インフラでは、「止まる」ことと「誤動作する」ことの両方を防ぐ必要があります。 このように、業種やシステムによって重点の置き方は異なりますが、いずれの場合も3要素をバランスよく維持することが基本です。自社の事業特性を踏まえ、どの要素にどれだけのリソースを配分するかを判断することが求められます。 各要素の詳細：機密性（Confidentiality） 機密性とは、許可された者だけが情報にアクセスできる状態を維持することです。ここでいう「者」には人だけでなくシステムも含まれます。言い換えれば、「見せるべきでない人やシステムには見せない」ということです。 機密性が損なわれた場合の影響 機密性が侵害されると、個人情報や営業秘密、技術情報などが外部に流出します。その結果、顧客や取引先からの信頼失墜、損害賠償請求、行政処分、株価下落など、事業継続に関わる深刻なダメージを受けます。特に医療機関では患者情報の漏洩が、情報サービス企業では顧客データの漏洩が致命的です。一度流出した情報は回収できず、ダークウェブでの売買や二次被害につながるリスクもあります。 事例：岡山県精神科医療センター（2024年5月） 2024年5月、岡山県精神科医療センターがランサムウェア攻撃を受け、最大約4万人分の患者情報が流出しました。流出した情報には氏名や住所だけでなく、精神科という診療科の性質上、極めてセンシティブな病名も含まれていました。患者情報の一部はダークウェブへの漏洩も確認されています。精神疾患に関する情報は「要配慮個人情報」に該当し、一度流出すれば患者の社会生活に深刻な影響を及ぼしかねません。医療機関における機密性の重要性を改めて示した事例です。 対策例 機密性を守るための対策としては、アクセス制御の徹底が基本です。「必要な人に必要な範囲だけ」という最小権限の原則に基づき、役職や業務内容に応じたアクセス権限を設定します。 データの暗号化も重要です。保存時（静止データ）と通信時（転送データ）の両方で暗号化を行うことで、万が一データが流出しても内容を読み取られにくくなります。 また、委託先管理も見落とせません。2024年には委託先企業へのサイバー攻撃により、委託元の情報が大量に流出する事例が複数発生しました。委託先のセキュリティ体制を契約時に確認し、定期的に監査することが求められます。 各要素の詳細：完全性（Integrity） 完全性とは、情報および情報の処理方法が正確かつ完全な状態で維持され、不正な改ざんや破壊が行われていないことを指します。「データが正しいまま保たれている」状態です。 完全性が損なわれた場合の影響 完全性が侵害されると、業務判断の基礎となるデータが信用できなくなります。金融機関であれば取引記録の信頼性が失われ、製造業であれば品質管理データの改ざんが製品事故につながる可能性があります。 Webサイトの改ざんも完全性の侵害です。企業サイトが改ざんされ、訪問者がフィッシングサイトに誘導されたり、マルウェアに感染したりすれば、企業の信用は大きく毀損されます。 事例：DMM Bitcoin（2024年5月） 2024年5月、暗号資産交換業者のDMM Bitcoinから約482億円相当のビットコインが流出しました。攻撃者は委託先企業の従業員端末を乗っ取り、正規の取引リクエストを改ざんして資産を窃取。本来の送金先ではなく、攻撃者が管理するウォレットに送金されてしまいました。この事件は「取引データの正確性」が損なわれた典型的な完全性侵害の事例です。DMM Bitcoinはその後廃業に追い込まれました。金融システムにおいて、1円の誤差も許されない取引記録の正確性がいかに重要かを示しています。 対策例 完全性を守るための対策として、まず改ざん検知の仕組みが挙げられます。ハッシュ値を用いたファイルの整合性チェックや、Webサイトの改ざん検知サービスを導入することで、不正な変更を早期に発見できます。 変更管理プロセスの整備も重要です。誰が、いつ、どのような変更を行ったかを記録し、不正な変更や誤操作を追跡可能にします。特に重要なデータについては、変更時に複数人の承認を必要とするワークフローを設けることも有効です。 バックアップの確実な実施と、アクセス履歴・変更履歴の保存も欠かせません。万が一データが破損・改ざんされた場合でも、バックアップから復元できる体制を整えておくことが重要です。 各要素の詳細：可用性（Availability） 可用性とは、許可されたユーザーが必要なときに情報やシステムにアクセスできる状態を維持することです。「使いたいときに使える」ということです。 可用性が損なわれた場合の影響 可用性が侵害されると、業務が停止します。製造業であれば生産ラインが止まり、製品の出荷遅延や機会損失が発生します。オンラインサービスであれば、顧客がサービスを利用できず、売上の喪失や顧客離れにつながります。 特に製造業やインフラ事業では、システム停止が直接的な経済損失に結びつきます。医療機関では、システム停止が患者の生命に関わる事態を招く可能性もあります。 事例：年末年始DDoS攻撃（2024年12月〜2025年1月） 2024年末から2025年初頭にかけて、国内の主要企業に対するDDoS攻撃が相次ぎました。 2024年12月26日、日本航空（JAL）がDDoS攻撃を受け、約6時間にわたりシステム障害が発生しました。年末の帰省ラッシュと重なり、手荷物の自動チェックイン機が使用できなくなるなど、多くの利用者に影響が出ました。 同じ時期に三菱UFJ銀行、りそな銀行、みずほ銀行などの金融機関でもネットバンキングが利用しづらくなる障害が発生しました。2025年1月2日にはNTTドコモのgooサービスやd払いの検索機能などにも障害が発生しています。 トレンドマイクロの調査によると、この期間中に国内の46組織が攻撃の標的となっていたことが判明しています。DDoS攻撃は技術的には古典的な手法ですが、IoTボットネットの普及により攻撃規模が拡大しており、依然として深刻な脅威となっています。 対策例 可用性を確保するための対策として、システムの冗長化が基本となります。サーバーやネットワーク機器を複数用意し、一方に障害が発生しても他方で業務を継続できる構成にします。 また、設定不備やクラウド障害によるシステムの停止も可用性の喪失の代表的な要因の一つです。設定を正しく行えていることを確実にするプロセスの整備も必要になるほか、BCP（事業継続計画）の策定と訓練も重要です。システム障害が発生した際の復旧手順や代替手段をあらかじめ定めておき、定期的に訓練を行うことで、実際の障害時にも迅速に対応できます。 DDoS攻撃への対策としては、CDN（コンテンツ配信ネットワーク）の活用やトラフィックの監視・フィルタリング、ISPとの連携による上流での遮断などが有効です。また、バックアップを定期的に取得し、ランサムウェア攻撃などでシステムが使用不能になった場合でも、データを復旧できる体制を整えておくことが求められます。 自社のCIA重点を決める3ステップ 自社にとってCIAのどの要素に重点を置くべきかを判断するには、以下の3ステップで整理すると効果的です。 Step1：保有する情報資産の洗い出し まず、自社が保有・管理している情報資産を洗い出します。顧客情報、従業員情報、取引先情報、技術情報、財務情報、契約書類など、カテゴリごとに整理します。情報資産には、データそのものだけでなく、それを処理・保存するシステムや機器も含めて考えます。 Step2：各資産にCIA観点で重要度をスコアリング 洗い出した情報資産ごとに、機密性・完全性・可用性それぞれの観点で重要度を評価します。たとえば「高・中・低」の3段階や、1〜5の5段階でスコアをつけます。 評価の際には、「この情報が漏洩したらどうなるか（機密性）」「この情報が改ざんされたらどうなるか（完全性）」「この情報にアクセスできなくなったらどうなるか（可用性）」という問いを立て、事業への影響度を基準に判断します。 Step3：重要度に基づいた対策リソースの配分 スコアリングの結果をもとに、対策の重点を決めます。すべての情報資産に対して最高レベルの対策を施すことは、コスト的にも運用負荷的にも現実的ではありません。重要度の高い資産に対して重点的にリソースを配分し、相対的に重要度の低い資産については許容できるリスクレベルを定めたうえで、適切な対策を選択します。 この3ステップは一度やって終わりではなく、事業環境の変化や新たな脅威の出現に応じて定期的に見直すことが重要です。 まとめ 情報セキュリティの3要素（CIA）は、機密性・完全性・可用性という3つの観点からセキュリティを考えるための基本概念です。JIS Q 27000でも情報セキュリティはこの3要素を維持することと定義されており、国際的なセキュリティ規格の基盤となっています。 重要なのは、この3要素はトレードオフの関係にあり、すべてを最大化することはできないという点です。同時に、3要素は相互に補完し合う関係でもあり、どれか1つだけを高めても情報セキュリティとしては不十分です。 業種やシステムの特性によって重点の置き方は異なりますが、いずれの場合も3要素をバランスよく維持することが基本です。情報資産の洗い出しと重要度評価を行い、自社の事業特性を踏まえて対策リソースを配分することで、限られたリソースの中でも効果的なセキュリティ対策を実現できます。

ブログ