セキュリティの基本概念

可用性かようせい

CIA トライアド情報セキュリティ冗長化フォールトトレランスSLAダウンタイム

可用性について教えて

簡単に言うとこんな感じ！

「使いたいときに使えること」だよ！どんなに安全なシステムでも、障害で使えない状態になったら意味がないよね。可用性はそういう「いつでもちゃんと動いてる」を保つ性質なんだ。銀行ATMが24時間使えるのも、可用性を高く保ってるからってこと！

可用性とは

可用性（Availability） とは、システムやサービスが「必要なときに正常に使える状態にある」ことを指します。情報セキュリティの世界では 「CIA トライアド」 という3つの基本原則のひとつとして位置づけられており、機密性（Confidentiality）・完全性（Integrity）・可用性（Availability） がセットで語られます。

どれだけデータを安全に守っていても、肝心なときにシステムがダウンしていては業務が止まってしまいます。たとえばECサイトがセール中に落ちたり、病院の電子カルテが参照できなくなったりすれば、ビジネス上・社会上の損失は甚大です。可用性はそうした「使えない状態」を最小化するための概念であり、設計・運用・障害対策のすべてに関わります。

実務では「可用性をどこまで高めるか」はコストとのトレードオフです。99.999%（いわゆる ファイブナイン）の稼働率を目指すと構成が複雑になり費用も跳ね上がります。発注側のビジネスパーソンとしては、「そのシステムに求める可用性はどの水準か」を要件として明確に伝えることが重要です。

可用性の水準とダウンタイム

「稼働率」は可用性を数値で表す代表的な指標です。一見小さな差でも、年間の停止時間に換算すると大きく変わります。

稼働率とダウンタイムの対応表

稼働率	呼び名	年間停止時間の目安	主な用途例
99%	ツーナイン	約87.6時間	社内掲示板など
99.9%	スリーナイン	約8.8時間	一般的な業務システム
99.99%	フォーナイン	約52分	ECサイト・基幹系
99.999%	ファイブナイン	約5.3分	金融・通信インフラ

覚え方：「ナイン」の数を数えよう

9の個数＝ナインの数と呼ばれます。「スリーナイン（99.9%）がうちの SLA だ」という会話が実務でよく出てくるので、ナインの数え方だけ押さえておけば打ち合わせで困りません。

可用性を高める主な手段

可用性を確保するための技術・設計アプローチには以下のものがあります。

アプローチ	説明	実例
冗長化（レダンダンシー）	サーバーや回線を複数用意し、1つが壊れても継続動作	サーバー2台構成、回線二重化
フェイルオーバー	障害発生時に自動で予備系へ切り替える仕組み	クラスタリング、DNS フェイルオーバー
ロードバランシング	複数サーバーに処理を分散し、過負荷を防ぐ	ロードバランサー、CDN
バックアップ・リストア	データのコピーを定期保存し、障害後に復元	日次バックアップ、オフサイト保管
DRサイト（災害復旧拠点）	本番拠点が被災しても別拠点で継続できる体制	クラウド DR、ホットスタンバイ
定期メンテナンス計画	計画停止を短く・夜間に抑えて実質稼働率を上げる	メンテナンスウィンドウの設定

歴史と背景

1970年代〜: コンピューターが業務に使われ始め、「止まると困る」という概念が生まれる。航空・金融など止められない業界でハードウェア冗長化が発展
1990年代: インターネットの普及でサービス停止が「全世界に見える」リスクに。SLA（サービスレベル合意書）という形で可用性が契約条件として登場
1996年: IETF が CIA トライアド を情報セキュリティの基本フレームワークとして整理。可用性が機密性・完全性と並ぶ三本柱に
2000年代: クラウドの登場でデータセンターが複数リージョンに分散。可用性の確保が物理的にやりやすくなる
2010年代〜: DDoS攻撃（大量リクエストでサービスを停止させる攻撃）が激化。「セキュリティ攻撃による可用性破壊」への対策が急務に
現在: クラウドSLAで99.99%超が標準的に提示される時代。可用性要件は契約交渉の重要な論点

CIA トライアドにおける可用性の位置づけ

可用性は、情報セキュリティの3原則（CIAトライアド）の「A」です。3つはそれぞれ独立していますが、対策が他の要素と トレードオフ になることもあります。

トレードオフの例： 機密性を高めるために厳しいアクセス制限をかけすぎると、必要な人が使えなくなり可用性が下がることがある。バランスの設計が重要。

規格・文書	内容
ISO/IEC 27001	情報セキュリティマネジメントシステム（ISMS）の国際規格。CIAトライアドを要件として定義
NIST SP 800-53	米国政府標準。可用性を含むセキュリティ管理策のカタログ
SLA（Service Level Agreement）	規格ではなく契約書だが、稼働率・RTO・RPO など可用性目標を文書化する業界慣行
RTO / RPO	目標復旧時間（RTO）と目標復旧時点（RPO）。可用性設計の2大指標