サムネイル|情報セキュリティの三要素：機密性、完全性、可用性 情報セキュリティの三要素（じょうほうセキュリティのさんようそ、英: CIA triad、別名: CIAの三要素）は、情報セキュリティにおける機密性（confidentiality）、完全性（integrity）、可用性（availability）の3つの基本的な特性を指す概念である。この枠組みは1972年のアンダーソン報告書で示され、その後、1975年の論文『The Protection of Information in Computer Systems』でも取り上げられた。「CIA」という略称は、1986年頃にスティーブ・リプナーが考案したとされる。

三要素は、ISO/IEC 27000シリーズや米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワークなどで用いられている。ISO/IEC 27000:2018では、情報セキュリティを情報の機密性、完全性、可用性の維持と定義している。NISTのサイバーセキュリティフレームワーク2.0でも、情報の機密性、完全性、可用性を保護することが示されている。

一方、三要素だけでは情報セキュリティを十分に説明できないとして、真正性や否認防止などを加えた拡張モデルも提案されている。

三要素

機密性 情報セキュリティにおいて、機密性とは「権限のない個人、組織などの主体、またはプロセスに対して、情報が開示されたり、利用できる状態に置かれたりしない性質」をいう。電子データの機密性が損なわれるおそれのある例として、機密情報を保存したノートパソコンの紛失、パスワード入力時ののぞき見、機密情報を添付した電子メールの誤送信などが挙げられる。

完全性 データ完全性とは、データのライフサイクル全体を通じて、その正確性と欠落のない状態を維持・保証することをいう。具体的には、保存中、処理中、転送中のデータが、権限なく変更されていないことを意味する。また、システム完全性とは、システムが意図された機能を正常に実行し、意図的か偶発的かを問わず、権限のない操作によって機能を損なわれていない状態を指す。完全性を広く捉える研究では、データの改ざん防止だけでなく、組織の構成員の倫理的な行動や職務上の責任も重視されている。

可用性 情報システムが目的を果たすには、必要なときに情報を利用できることが求められる。情報システムの稼働は電力、空調、通信設備などの支援設備にも依存しており、これらの設備の障害はシステムの運用を中断させることがある。高可用性システムは、構成要素の冗長化や障害発生時の切り替え（フェイルオーバー）によってサービスの停止時間を短縮し、システムを利用できる時間を最大限に確保することを目指す。可用性を確保するには、対象システムに大量のメッセージを送り付け、事実上利用できなくするようなサービス拒否攻撃への対策も必要となる。

追加の目標 三要素を補完するさまざまな概念が提案されている。サモナスとコス（2014年）は、追加的な8つの概念と三要素との関係を暫定的に分類した。 +追加のセキュリティ属性と三要素の関係属性提案されたモデル・適用例サモナスとコスの分類真正性（Authenticity）パーカーの六要素モデル（Parkerian Hexad）完全性否認防止（Non-repudiation）メイコナキー＝シュウ＝ラグスデール・モデル（Maconachy–Schou–Ragsdale model）完全性仕様の正確性（Correctness in specification）情報システムの仕様の策定・検証完全性と可用性責任（Responsibility）ディロン（Dhillon）とバックハウス（Backhouse）が提案した情報セキュリティ管理のRITE原則完全性人の誠実性（Integrity of people）RITE原則完全性信頼（Trust）RITE原則機密性と完全性倫理性（Ethicality）RITE原則完全性アイデンティティ管理（Identity management）デジタルIDや個人識別情報の管理機密性、完全性、可用性 マイクロソフトのSTRIDEモデルには、認証（Authentication）、認可（Authorization）、否認防止（Nonrepudiation）などのセキュリティ目標が含まれる。このモデルでは、6つのセキュリティ目標が、STRIDEの各文字で表される6種類の脅威にそれぞれ対応する。

は、1994年の論文で従来の三要素を拡張した六要素モデルを提示し、1998年の著書でも詳述した。このモデルでは、情報の6つの基本要素を、機密性（confidentiality）、所持（possession）、完全性（integrity）、真正性（authenticity）、可用性（availability）、有用性（utility）としている。パーカーは、自身が用いる機密性、完全性、可用性の定義が、従来の情報セキュリティの三要素における定義とは異なることを明言している。

2011年、The Open Groupは情報セキュリティ管理規格O-ISM3（Open Information Security Management Maturity Model）を公開した。O-ISM3では、組織の業務目標に基づいてセキュリティ目標を定め、これを可用性に関わる優先的セキュリティ目標、情報の保持・廃棄に関わる持続性目標、情報品質目標、アクセス制御目標、技術的セキュリティ目標の5種類に分類している。

関連項目 コンピュータセキュリティ サイバーセキュリティ

脚注