ISMSの目的は情報セキュリティの保持・管理にあります。ISMS認証取得のため、まず把握すべきは情報セキュリティの「CIA」です。
この記事ではCIAとは何か、また情報セキュリティの基本的な定義を知りたい方のために、CIAと「7大要素」について解説します。
訪問回数無制限！ 認証取得100%！
CIAとは
CIAとは、情報セキュリティを成立させる3つの要素の英字の頭文字を取ったものです。
- 情報のCIA
-
- 機密性（Confidentiality）
- 完全性（Integrity）
- 可用性（Availability）
3要素の定義の初出は1992年の『情報システムのセキュリティに関するOECDガイドライン』とされ、さまざまな規格やガイドラインに踏襲されています。ISMS規格も同様です。
ISMSの目的は「情報セキュリティマネジメントシステム」の確立・実施・維持・継続的改善です。なお、「情報セキュリティ」はISMS認証の関連規格（ISO 27000）で以下のように定義されています
3.28項
情報セキュリティ
情報の機密性、完全性及び可用性を維持すること。
注記 さらに、真正性、責任追跡性、否認防止、信頼性などの特性を維持することを含めることもある。
ISMS規格の根幹にはCIAがあり、認証取得・維持に不可欠な要素なのです。
情報セキュリティの3大要素「CIA」の概要
ここでは、情報セキュリティの3大要素「CIA」の概要を確認します。
機密性（Confidentiality）
ISO 27000規格における機密性の定義
認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性
ISMSの規格群では、機密性とは許可のない者に情報を漏らさないこととしています。
つまり、ISMSにおける機密性とは、正当なアクセス権を持つ者（もしくは組織、設備、ソフト、物理媒体）のみが情報にアクセス/利用できることを意味しています。
完全性（Integrity）
ISO 27000規格における完全性の定義
正確さ及び完全さの特性
完全性とは情報が正確なだけでなく、情報の欠損がない、さらに情報の処理結果が正しく返されることを意味します。情報改ざんはもちろん、正確な情報でも一部を欠いていたり、処理結果が誤っていては実質的に情報が利用できない状態とみなされます。
可用性（Availability）
ISO 27000規格における可用性の定義
認可されたエンティティが要求したときに、アクセス及び使用が可能である特性
可用性とは、正規ユーザーが必要なときにいつでも情報が利用できる状態にあることです。ただし、24時間365日いつでも情報を利用できることを指すのでなく、利用ニーズがある時間帯との解釈でかまいません。
ISMSの認証維持を困難にするCIAの崩壊例
ISMS認証の取得や維持に必須のCIAの欠格とは、具体的にどのようなケースが該当するのか見てみましょう。
機密性が崩れるとき
機密性が保たれない典型的な例は機密情報の流出です。具体的には「Webサイトのユーザー情報の流出」「営業機密の流出」のようなニュース報道で見かける事案です。
このような重大事案となると遠い出来事のように思えるかもしれません。実は普段の業務でも機密性が崩れる「可能性がある」状態が多く発生しています。
たとえば、パソコンで重要なファイルを開けたままロックせずに離席したり、部外秘の書類をデスクに置いたまま退社していませんか。その場にいる誰でも機密情報を簡単に手にできる状態は、機密性が崩れる一歩手前だといえます。
ほかにも、特定部署の社員だけに閲覧させるべきファイルが、設定ミスにより他部署の社員も閲覧できる状態にあるとします。これもまた機密性が破れかねない状態であると考えられます。
完全性が崩れるとき
完全性が失われた代表的な例は「情報改ざん」です。具体的には「ハッキングによるWebページ改ざん」「個人情報のデータベースの一部書き換え」が相当します。
ここでも身近な例を一つ紹介しましょう。それはデータの転記ミスです。重要度があまり高くない書類のミスはあまり問題にならないかもしれません。それでも、たとえばアンケート形式で集めた情報をExcelに転記する際、転記ミスや入力漏れを起こすと集計結果も不正確になります。結果が参考に値せず、作業自体も無意味と化してしまうのはよろしくありません。
可用性が崩れるとき
可用性が崩れる代表的な例は、システム障害によってサーバーにアクセスできなくなることです。
自社サーバーはもちろん、クラウドのSaaSアプリに障害が発生して情報が確認できない状態も、可用性の喪失と考えます。
身近な例に、書類の紛失があげられます。必要なときに業務文書が見つからなければ、可用性が崩れているといえます。卑近な例では、デスクの上や引き出しの中が散らかっている状態も可用性が失われつつあるといえるでしょう。常に整理整頓をして可用性を保つように心がけたいですね。
情報セキュリティの7要素とは
ISMSの諸規格では情報セキュリティの3大要素「CIA」を最重視しますが、「真正性」「責任追跡性」「否認防止」「信頼性」の4つの要素を含めることもあります。
OECDのガイドライン以降、CIAに「真正性」「責任追跡性」「信頼性」の要素が加わり、「情報セキュリティの6要素」と称されていました。今ではさらに「否認防止」が加わり、全部あわせて「情報セキュリティの7要素」と総称されています。
次節以降で、情報セキュリティの要素に加えられた4つの要素をISO 27000の用語定義をあげつつ説明します。
真正性（authenticity）
ISO 27000規格における真正性の定義
エンティティは、それが主張するとおりのものであるという特性
エンティティとは情報を使用する組織および人、情報を扱う設備/ソフトウェア/物理媒体等を指し、「実体」「主体」とも表現されます。
真正性とは、なりすましされていないことで、ひいては認証システムが実装済みであることを意味します。
責任追跡性（accountability）
ISO 27000規格では責任追跡性は特に定義されていません。一般的に情報セキュリティの分野において、アカウンタビリティ（accountability）とは情報の操作履歴と、操作した者をさかのぼって特定・追跡できる特性を指します。
責任追跡性は、技術的にはアクセス/操作ログの記録・保管によって、あとで参照・追跡できるようにすることです。
信頼性（reliability）
ISO 27000規格における信頼性の定義
意図する行動と結果とが一貫しているという特性
情報セキュリティにおける信頼性とは、平たくいうとシステム稼働の信頼性です。情報機器やシステムが期待通りの水準で性能を発揮し、安定稼働を妨げる故障やエラーが生じないことを意味します。
否認防止（non-repudiation）
ISO 27000規格における否認防止の定義
主張された事象又は処置の発生、及びそれらを引き起こしたエンティティを証明する能力
否認防止とは、特定の活動や事象が引き起こされたことを後で否定できないような証明能力を指します。ハッキングのような被害だけでなく、正当な受益者であると証明する場合にも適用されます。
たとえば、システムエラーの発生で権利が侵害される恐れがある場合に、確かに操作をした本人であり、情報を受ける権利があると証明する証拠の所持や提出も該当します。
技術的には、電子署名やタイムスタンプ、操作/通信ログの保管、フォレンジックの手段があります。
詳しくは下記ページをご覧ください。
まとめ
ISMSの要件であるCIAは、昔から「情報セキュリティの3要素」として知られています。ISMS認証の取得や維持にはCIAの堅持が絶対条件です。審査で指摘を受けたり、重大なセキュリティ事案に発展しないよう、日頃からCIAが保てているか気を配りましょう。
また、弊社ではISMS認証取得/運用支援サービスを行っております。
会社のスタイルに合わせ、自社で「運用できる」認証を年間580社※・18年の支援実績のノウハウで、専属コンサルチームが徹底サポートいたします。
※2023年8月1日～2024年7月31日のコンサルティング支援社数
ISMS認証取得にご興味のある方、運用でお困りごとのある方は、まずはお気軽に無料でご相談ください。
