1.1CIAトライアドと多層防御

SOC（セキュリティオペレーションセンター）のアナリストは、アラートを見た瞬間に「これは何を守れていないのか」を言語化できなければトリアージできません。その共通言語がCIAトライアドです。機密性・完全性・可用性のどれが脅かされているかで、緊急度も次の一手もまったく変わります。そしてどれか1つの防御が破られても被害を食い止めるのが多層防御の思想です。この節では、インシデントをCIAで分解し、どこに層を足せば連鎖を断てたかを判断できるようにします。

1.1.1CIAの3要素

• 機密性（Confidentiality）＝認可された者だけがデータを見られる性質。破られると情報漏えいになる。守る手段は暗号化・アクセス制御・最小権限など。SOCでは「誰が見えてはいけないデータにアクセスしたか」を問う。
• 完全性（Integrity）＝データが改ざん・破壊されず正確に保たれる性質。破られると改ざん・不正な書き換えになる。守る手段はハッシュ・デジタル署名・変更管理など。SOCでは「この設定/ファイル/取引は勝手に書き換えられていないか」を問う。
• 可用性（Availability）＝認可された者が必要なときにデータ/サービスを使える性質。破られるとサービス停止になる。守る手段は冗長化・バックアップ・DDoS対策など。SOCでは「正規利用者がアクセスできない状態が攻撃によるものか」を問う。

1.1.2多層防御の考え方

• 多層防御（defense-in-depth）＝1つの防御が突破されても次の層で止められるよう、境界・ネットワーク・ホスト・アプリ・データの各層に独立した対策を重ねる設計。「境界のファイアウォールがあるからホストのパッチは後回し」という単一防御依存を避ける。
• 層は技術だけでなく予防・検知・対応の時間軸でも重ねる：入口で防ぎ（予防）、抜けたら気づき（検知＝IDS/SIEM）、気づいたら封じ込める（対応）。SOCの監視は主に検知と対応の層を担い、予防層をすり抜けた脅威を捕まえる最後の砦になる。

あなたはSOCの当直アナリストで、深夜にECサイトから3つの事象が立て続けに上がってきました。(1) 顧客DBのダンプ疑いで大量のレコードが外部へ送信、(2) 商品価格テーブルが不正なUPDATEで書き換えられ一部商品が1円に、(3) 決済APIが応答せず注文が通らない。「全部インシデントだ」で片付けず、まず各事象をCIAで分解します。(1)は認可されない者がデータを閲覧・持ち出した＝機密性の侵害、(2)は正しいはずのデータが書き換えられた＝完全性の侵害、(3)は正規利用者がサービスを使えない＝可用性の侵害です。この分解が効くのは、対応の優先度と手立てが変わるからです。完全性侵害の(2)は、改ざん前の値とのハッシュや監査ログで差分を確定し、正しいバックアップから復元しつつ改ざん経路（SQLi等）を塞ぐ。可用性侵害の(3)は、DDoSなのか単なる高負荷なのかをトラフィックで切り分け、冗長系へフェイルオーバーする。機密性侵害の(1)は、漏えい範囲の確定と法的通知の検討に直結する。さらに多層防御の視点で振り返ると、(2)のSQLiは「アプリのWAF（予防層）→DBの最小権限（アクセス層）→改ざん検知（検知層）」のどこかに層があれば連鎖を断てた可能性が見えます。CIAは「何が壊れたか」を、多層防御は「どこで止められたか」を教えてくれる——この2つを組み合わせて初めて、アラートの洪水を構造化された判断に変えられます。

1.1.3この節のまとめ

• CIAトライアド：機密性＝漏えい、完全性＝改ざん、可用性＝停止。症状から損なわれたプロパティを即座に対応づける
• 完全性はハッシュ/署名で、可用性は冗長化/DDoS対策で守る。機密性侵害は漏えい範囲確定と通知に直結する
• 多層防御は独立した層の重ね合わせで単一防御依存を避ける。SOCの監視は主に検知・対応層を担う