セキュリティの基本概念

情報セキュリティじょうほうせきゅりてぃ

CIA トライアド機密性完全性可用性リスク管理サイバーセキュリティ

情報セキュリティについて教えて

簡単に言うとこんな感じ！

大切な情報を「見せたくない人に見せない」「勝手に書き換えさせない」「必要なときに使える」状態に保つことだよ！会社の金庫を守るガードマンみたいなもので、デジタルな情報を守るための考え方や仕組み全体のことなんだ。

情報セキュリティとは、組織や個人が持つ情報資産を、さまざまな脅威から守るための考え方・ルール・技術の総称です。単に「ハッカーを防ぐ」だけでなく、「うっかりミスによる情報漏えい」や「自然災害によるデータ消失」なども対象に含まれます。

国際標準の ISO/IEC 27001 では、情報セキュリティを「情報の機密性・完全性・可用性を維持すること」と定義しています。この3要素は CIA トライアド（CIAの三角形）と呼ばれ、情報セキュリティを考えるうえで最も基本的な枠組みです。

現代のビジネスでは、顧客データや設計図・財務情報などが会社の重要な資産です。これらが漏えいしたり改ざんされたりすると、法的責任・信頼失墜・業務停止といった深刻なダメージにつながります。情報セキュリティは「コスト」ではなく、経営リスクを管理するための投資として捉えるのが現代の常識です。

情報セキュリティの核心は、次の3つの性質を同時に守ることにあります。

要素	英語	頭文字	一言で言うと	壊れると…
機密性	Confidentiality	C	見せるべき人だけに見せる	情報漏えい・プライバシー侵害
完全性	Integrity	I	正確・改ざんなしを保証する	データ改ざん・虚偽情報の拡散
可用性	Availability	A	使いたいときに使える	システム停止・業務の中断

アメリカの諜報機関 CIA と同じ頭文字！「情報を守るプロ＝CIA」とイメージすると忘れにくいですよ。

基本の3要素に加え、ISO/IEC 27001:2022 などでは以下も重要視されています。

1970年代 — コンピュータの普及に伴い、米国防総省が機密データ保護の研究を開始。「オレンジブック（TCSEC）」が初期の標準となる
1990年代 — インターネットの商業利用が爆発的に拡大し、企業・個人の情報がネットワーク上を行き来するように。不正アクセスやウイルス被害が急増
1995年 — 英国が BS 7799（後の ISO/IEC 27001 の前身）を策定。情報セキュリティの「管理体系」という概念が広まる
2000年代 — 個人情報保護法（日本では 2005年施行）が制定され、企業に法的義務が生まれる。セキュリティは「技術部門だけの話」から経営課題へ
2010年代 — クラウド・スマートフォンの普及により境界型セキュリティ（社内＝安全、社外＝危険）が崩壊。ゼロトラストという新しいアプローチが登場
2022年 — ISO/IEC 27001 が改訂（2022年版）。サプライチェーンリスクやクラウドセキュリティなど現代的な脅威への対応が強化される

「情報セキュリティ」と「サイバーセキュリティ」は混同されがちですが、厳密には範囲が異なります。

規格・番号	内容
ISO/IEC 27001	情報セキュリティマネジメントシステム（ISMS）の国際標準。認証取得で対外的な信頼性を示せる
ISO/IEC 27002	27001 の実践規範。具体的なセキュリティ管理策を93項目にわたって解説
NIST SP 800-53	米国国立標準技術研究所による連邦政府向けセキュリティ管理策カタログ
NIST CSF	サイバーセキュリティフレームワーク。識別→防御→検知→対応→復旧の5機能で整理
JIS Q 27001	ISO/IEC 27001 の日本産業規格版。内容はほぼ同一