機密性 きみつせい
簡単に言うとこんな感じ！
「見ていい人だけが見られる」状態を保つことだよ！日記に鍵をかけるイメージで、許可された人だけが情報にアクセスできるようにする仕組みなんだ。情報セキュリティの三本柱「CIA」のうちのひとつってこと！
機密性とは
機密性（Confidentiality）とは、情報が「アクセスを許可された人・システムだけに開示される」状態を維持することを指します。情報セキュリティの世界では、CIA triad（CIAトライアド）と呼ばれる三大原則のひとつとして位置づけられており、残りのふたつは「完全性（Integrity）」と「可用性（Availability）」です。
たとえば、社内の人事評価データは人事担当者だけが閲覧できるべきであり、営業担当者や外部の第三者が勝手に見られてはなりません。この「見せるべき人にだけ見せる」という考え方が機密性の本質です。機密性が損なわれると、情報漏洩（じょうほうろうえい）が発生し、個人情報の流出や企業の競争優位の喪失、法的責任など深刻な被害につながります。
現代のビジネスでは、顧客データ・契約書・財務情報・営業秘密など、機密性を維持しなければならない情報が膨大に存在します。システムを発注・選定する際にも、「このシステムは誰が何の情報にアクセスできるのか」を設計段階から意識することが重要です。
機密性を守るための主な手段
| 手段 | 概要 | 具体例 |
|---|---|---|
| 暗号化 | データを読めない形式に変換する | TLS通信、ファイル暗号化、ディスク暗号化 |
| アクセス制御 | 誰がどの情報にアクセスできるかを制限する | パスワード認証、権限管理（RBAC） |
| 認証・認可 | 正しい本人かを確認し、操作を許可する | 多要素認証（MFA）、シングルサインオン |
| マスキング・匿名化 | 機密部分を隠したり置き換えたりする | 個人情報の一部マスク表示 |
| 物理的セキュリティ | 物理的なアクセスを制限する | サーバールームの入退室管理 |
| ログ監査 | 誰がいつアクセスしたかを記録・監視する | アクセスログの保存・定期確認 |
覚え方：「CIA = 機完可」
情報セキュリティの三原則 CIA は、頭文字で覚えられます。
- Confidentiality（機密性）→「機」：見ていい人だけが見られる
- Integrity（完全性）→「完」：データが改ざんされていない
- Availability（可用性）→「可」：必要なときに使える
「機完可（きかんか）」とセットで覚えておくと、情報セキュリティの基本の型がすんなり入ってきます！
機密性レベルの分類例
実務では、情報の重要度に応じて機密性レベルを段階的に設定することが一般的です。
| レベル | 分類名 | 対象例 |
|---|---|---|
| 最上位 | 極秘・Top Secret | 経営判断に関わる情報、M&A関連資料 |
| 上位 | 社外秘・Confidential | 顧客情報、人事情報、財務データ |
| 中位 | 社内限・Internal | 社内規定、会議資料 |
| 下位 | 公開・Public | プレスリリース、公開Webサイト |
歴史と背景
- 1970年代：軍・政府機関でのコンピュータ利用拡大に伴い、情報の機密分類と保護の必要性が高まる。米国防総省が「トラステッドコンピュータシステム評価基準（TCSEC、通称オレンジブック）」を整備
- 1992年：OECD（経済協力開発機構）が「情報システムのセキュリティガイドライン」を発表。機密性を含むセキュリティ原則を国際的に定義
- 1995年：英国規格 BS 7799 が制定され、機密性・完全性・可用性の三原則（CIA triad）が広く普及するきっかけとなる
- 2000年：BS 7799 をベースに ISO/IEC 17799（後の ISO/IEC 27002）が国際規格として発行。CIAが情報セキュリティ管理の世界標準に
- 2005年：ISO/IEC 27001 が発行され、情報セキュリティマネジメントシステム（ISMS）の認証規格として企業の取り組みが加速
- 2003年〜現在：個人情報保護法（日本）、GDPR（EU）など各国の法規制が整備され、機密性の確保が法的義務として明確化。企業がシステム調達・開発に際してセキュリティ要件を定義する際の必須要件に
CIAトライアドの全体像と機密性の位置づけ
機密性は単独では機能せず、完全性・可用性と組み合わせてはじめて「安全な情報管理」が実現します。
3つがバランスよく成立して初めて、情報を安全に守ることができます。たとえば「機密性だけ高め、可用性を無視する」と、必要な人が必要なときに情報を使えなくなってしまいます。
機密性が脅かされる代表的なシナリオ：
- 不正アクセス：攻撃者がIDとパスワードを不正入手してシステムに侵入する
- 盗聴（傍受）：暗号化されていない通信を途中で読み取られる
- 内部不正：権限を持つ従業員が情報を無断で持ち出す
- 誤送信・誤公開：メールの宛先ミスや設定ミスで情報が流出する
- フィッシング：偽のサイトでIDとパスワードを騙し取られる
関連する規格・RFC
| 規格・RFC番号 | 内容 |
|---|---|
| ISO/IEC 27001 | 情報セキュリティマネジメントシステム（ISMS）の要求事項。機密性・完全性・可用性の確保を中核に置く |
| ISO/IEC 27002 | 情報セキュリティ管理策の実践規範。機密性保護のための具体的な管理策を規定 |
| RFC 4949 | インターネットセキュリティ用語集。機密性（Confidentiality）の定義を含む |
関連用語
- ./001-cia-triad.md — 機密性・完全性・可用性を組み合わせた情報セキュリティの三原則
- ./002-integrity.md — データが改ざんされていないことを保証するCIAの「I」
- ./004-availability.md — 必要なときに情報やシステムを利用できる状態を保つCIAの「A」
- ./005-encryption.md — データを読めない形式に変換して機密性を守る技術
- ./006-access-control.md — 誰がどのリソースにアクセスできるかを制御する仕組み
- ./007-authentication.md — アクセスしようとしているのが本人かどうかを確認する仕組み
- ./008-information-leakage.md — 機密性が損なわれ、情報が外部に流出してしまう事象
- ./009-isms.md — 組織全体で情報セキュリティを管理するためのマネジメントの仕組み