セキュリティの基本概念

CIA三原則しーあいえーさんげんそく

機密性完全性可用性情報セキュリティリスク管理ISMS

CIA三原則について教えて

簡単に言うとこんな感じ！

情報セキュリティの「守るべき3つの約束」だよ！「見せちゃダメな人には見せない（機密性）」「こっそり書き換えさせない（完全性）」「必要なときにちゃんと使える（可用性）」の3つで、これ全部守れて初めて「安全」って言えるんだ！

情報セキュリティの世界で、守るべき最も基本的な3つの性質をまとめたものが CIA三原則 です。Confidentiality（機密性）・Integrity（完全性）・Availability（可用性） の頭文字を取ってCIAと呼びます。米国の情報機関CIAとは別物なので注意！

この3つはバランスが大切で、どれか1つが欠けても「本当に安全なシステム」とは言えません。たとえば「絶対に漏れないけど、必要なときに誰も使えない」システムは可用性が失われており、業務が止まってしまいます。逆に「いつでも誰でも使えるけど、内容が勝手に書き換えられる」のは完全性・機密性の欠如です。

CIA三原則は、システムの設計・発注・評価・監査のあらゆる場面で「何を守るべきか」を整理する共通言語として使われており、国際規格 ISO/IEC 27001（情報セキュリティマネジメントシステム）の根幹にも据えられています。

原則	英語	意味	崩れると…	身近な例
機密性	Confidentiality	許可された人だけが情報にアクセスできる	情報漏えい・不正閲覧	社員以外が給与データを見られない
完全性	Integrity	情報が正確・完全な状態に保たれる	データ改ざん・破損	注文内容が勝手に書き換えられない
可用性	Availability	必要なときに情報・システムを使える	サービス停止・障害	ECサイトがいつでも注文できる

C → 「見せない」（Confidential＝秘密）
I → 「変えさせない」（Integrity＝誠実・完全）
A → 「使えるようにする」（Available＝利用可能）

3文字でも「機・完・可（き・かん・か）」と声に出すと覚えやすいです！

3つの原則は時に トレードオフ（片方を強化するともう一方が弱まる） の関係になります。

たとえば 「アクセス制限を厳しくすること（機密性↑）」は「いつでも使えること（可用性↓）」と競合 しやすく、設計時にバランスが必要です。発注側も「セキュリティを高めれば多少使いにくくなる」という前提を持っておくとよいでしょう。

実務では3原則に加えて以下が使われることもあります：

規格番号	内容
ISO/IEC 27001	ISMS（情報セキュリティマネジメントシステム）の国際規格。CIA三原則を中核に据える
RFC 4949	インターネットセキュリティ用語集（Confidentiality・Integrity・Availabilityの定義を含む）