情報セキュリティの3要素とは、機密性、完全性、可用性のことで、情報を「見せない」「正しく保つ」「使える状態にする」という3つの性質を指します。英語の頭文字からCIAとも呼ばれます。
今日やることは、受注データ、図面、生産計画など主なデータを3つ選び、3要素をそれぞれ3点満点で採点することです。紙1枚で15分あれば始められます。点数の高いところが、社内で先に守る場所です。
この記事は規格の解説ではなく、社内で使うための説明です。関連する用語はセキュリティの基本のカテゴリにまとめています。
3つの言葉は正確にはどういう意味？
定義の元はJIS Q 27000:2019で、JIPDECの解説に引用されています。
| 要素 |
規格の定義 |
言い換え |
| 機密性 |
認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性 |
見てはいけない人に見せない |
| 完全性 |
正確さ及び完全さの特性 |
間違っておらず、欠けてもいない |
| 可用性 |
認可されたエンティティが要求したときに、アクセス及び使用が可能である特性 |
必要なときに使える |
エンティティとは、ISMS-ACの説明によると、情報を使う組織や人、情報を扱う設備やソフトウェアなどのことです。同じページは、真正性、責任追跡性、否認防止、信頼性を含めることもあると注記しています。社内の話では、まず3つで足ります。
法律の言葉とも重なります。サイバーセキュリティ基本法第2条は、サイバーセキュリティの内容に、情報の「漏えい、滅失又は毀損の防止」を挙げています。この法律と会社の関係はサイバーセキュリティ基本法と社長の責任で説明しています。
図面で考える機密性
金属加工の会社が、客先の図面を預かっている場合で考えます。機密性が損なわれるのは、見てはいけない人に図面が見える状態です。外部からの攻撃だけの話ではありません。
- 共有フォルダに全社員がアクセスでき、担当でない人や派遣の人も開ける
- 退職した人のアカウントが残っている
- 図面をメールに添付して、宛先を間違える
- 協力会社へ渡した図面が、仕事が終わっても相手の手元に残っている
図面の機密性を守る手立ては、見られる人を絞ることです。部署や案件ごとのアクセス権、退職時のアカウント停止、持ち出しのルールなどが当たります。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、情報の機密区分を設け、区分ごとに取り扱いを定めることや、退職時に情報や機器、IDを回収することを挙げています。
客先の図面は自社の情報ではありません。漏れたときの影響は客先にも及ぶので、秘密保持契約の内容も確かめておく必要があります。
受注データで考える完全性
完全性は、データが正しいままであることです。見落とされやすいのですが、製造の現場では影響が直接出ます。
たとえば、受注データの数量や納期が次のように変わった場合です。
- 数量の100が1000になり、材料を余分に手配してしまう
- 納期の変更が一部のファイルにしか反映されず、古い日付で製造してしまう
- 担当者ごとにExcelの写しがあり、どれが正しいか誰にも分からない
3つ目は攻撃でなくても起きます。完全性は、セキュリティ対策であると同時に、日々の業務の正確さの問題でもあります。JIPDECの解説は、完全性には情報そのものの完全性と、処理の方法の完全性という2つの意味があると説明しています。
手立ては、書き換えられる人を絞り、変更の履歴を残し、元データを1か所に決めることです。図面でも同じで、改訂前の図面で作ってしまう事故は完全性の問題といえます。
生産計画で考える可用性
可用性は、必要なときに使えることです。生産計画のデータが朝に開けなければ、機械は無事でも何を作ればいいか分からなくなります。
可用性を損なう原因は攻撃に限りません。サーバーの故障、停電、担当者しかパスワードを知らない状態も、結果は同じです。
攻撃で特に大きく影響するのがランサムウェアです。警察庁の令和8年上半期の資料では、被害報告は半期で123件と過去最多で、業種では製造業が約3割を占めました。アンケートでは、1か月未満で復旧した組織は全体の5割弱にとどまります。
同じ資料は、攻撃者が内部でバックアップも物色すると説明しています。バックアップがあるから大丈夫とは言い切れず、攻撃の際に一緒に消されないよう分けて保管し、戻せるか試しておく必要があります。IPAのガイドラインの「情報セキュリティ6か条」にも、第4.0版で「バックアップを取ろう！」が加わりました。
手立てを製品で探すなら法人向けバックアップの比較で、保管先や復元の方法を比べられます。
1つのデータに3要素すべてが関わる
ここまでは分かりやすく1要素ずつ話しましたが、実際は1つのデータに3つとも関わります。例として採点すると次のようになります。点数は会社によって変わります。
| データ |
機密性 |
完全性 |
可用性 |
| 客先の図面 |
3（漏れると客先に影響） |
3（誤った図面で不良） |
2（少しなら待てる） |
| 受注データ |
2（取引条件が含まれる） |
3（誤納品につながる） |
2（半日なら紙で代替） |
| 生産計画 |
1（社外秘だが影響は限定的） |
2（段取りの間違い） |
3（無いと現場が止まる） |
この表で分かるのは、同じ対策をすべてに同じだけかけなくてよいことです。図面にはアクセス権が効き、生産計画には復旧の速さが効きます。
攻撃も1要素で終わりません。同じ警察庁の資料は、データを盗んだうえで公開を予告して対価を求める手口を挙げています。バックアップで可用性を取り戻せても、盗まれた情報の機密性は戻りません。メールの情報を盗む攻撃の例はEmotetの手口と感染時の動きにあります。
3要素で守る順番を決めるには？
IPAのガイドラインの実践編に、そのまま使える手順があります。
- 情報資産管理台帳を作る。パソコンの中身を探すのではなく、日常どんな電子データや書類で仕事をしているかを考えて洗い出す
- 情報ごとに、3要素が損なわれたときの事業への影響を3〜1で評価する
- 3つのうち最大の値を、その情報の重要度とする
合計や平均でなく最大値を使うのが要点です。可用性だけが3の生産計画も、重要度3になります。ガイドラインは、事故で法的責任を問われたり取引先に大きな影響が出たりする情報、個人情報を含む情報は、算定結果にかかわらず重要度3にするとしています。
採点は担当者が1人でやらず、現場の人を入れてください。「このデータが半日無かったら困るか」という問いに答えられるのは、実際に使っている人です。
採点するときの問い
- 機密性：社外や担当外の人に見られたら、誰に何を説明することになるか
- 完全性：数字が1桁違っていたら、気づくまでに何が起きるか
- 可用性：今日開けなかったら、何時間まで業務を続けられるか
採点したあと何に使う？
採点は、予算と教育の優先順位に使えます。
機密性の高い情報が多ければ、アクセス権の見直しと社員教育が先です。人が扱う場面での事故を減らす教育はセキュリティ教育サービスの比較で探せます。可用性が高いものが多ければ、バックアップと復旧の練習が先です。
台帳を継続して管理し、取引先への説明にも使いたくなったら、ISMS（JIS Q 27001）の考え方が役に立ちます。ISMSは3要素をバランスよく維持し、リスクを適切に管理している信頼を利害関係者に与えることを目的としています。認証を取るかどうかは別として、ISMS取得支援ツールの比較で台帳の管理方法を見ておくと、Excelで続けるか判断しやすくなります。
取引先から説明を求められる場面は、今後増える可能性があります。基幹インフラ向けに納品している場合は、能動的サイバー防御と中小企業への影響も確かめてください。
