4.1セキュリティの基礎（CIA・リスクマネジメント）

情報セキュリティ対策を検討するとき、最初に立ち返るべき基準がCIA（機密性・完全性・可用性）です。ある対策が「何を守るためのものか」を CIA のどれに当たるか整理すると、過剰投資や対策漏れを防げます。同じ事故でも侵害される要素は状況によって異なり、例えば顧客名簿の漏えいは機密性の侵害、Webサイトの改ざんは完全性の侵害、DoS攻撃によるサービス停止は可用性の侵害というように、影響を受ける要素を特定することが対策選定の出発点になります。

4.1.1CIAと補完要素

• 機密性（Confidentiality）＝許可された者だけが情報にアクセスできる状態。アクセス制御・暗号化・最小権限の原則で守る。完全性（Integrity）＝情報が改ざん・破壊されず正確・最新である状態。ハッシュ値による検証・アクセス権限の分離・変更履歴の保全で守る。可用性（Availability）＝許可された者が必要なときに情報・システムを利用できる状態。冗長化・バックアップ・負荷分散で守る。
• 補完要素＝真正性（Authenticity）＝主張どおりの本人・本物であることの保証（デジタル署名・電子証明書）。責任追跡性（Accountability）＝誰がいつ何をしたかを後から追跡できること（ログ・監査証跡）。否認防止（Non-repudiation）＝行った操作を後から否認できないよう証拠を残すこと。信頼性（Reliability）＝意図した動作を継続して行えること。
• 情報資産＝守るべき対象（顧客データ・ソースコード・サーバ・ノウハウ等、有形無形を問わない）。脅威＝情報資産に損害を与えうる原因（人的・技術的・物理的・環境的）。脆弱性＝脅威につけ込まれる弱点（設定不備・パッチ未適用・教育不足等）。脅威と脆弱性がそろって初めてリスクが顕在化するという関係を押さえる。

4.1.2リスクマネジメントのプロセス

• リスク特定＝組織が抱える情報資産と、そこに関連する脅威・脆弱性を洗い出す最初の工程。リスク分析＝特定したリスクについて発生可能性と影響度（被害の大きさ）を評価し、リスクの大きさを見積もる工程。定性的手法（高/中/低のマトリクス）と定量的手法（金額換算）がある。
• リスク評価＝分析結果を組織のリスク基準（許容できるリスクの水準）と比較し、対応の要否・優先順位を判定する工程。リスク対応＝評価結果に基づき実際の対策を選択・実施する工程。この4工程はPDCAのように繰り返し見直す継続的な活動である。
• リスク対応の4分類＝リスク低減（対策を講じて発生可能性や影響度を下げる。例: ファイアウォール導入）／リスク保有（対策コストが被害額を上回る等の理由で、あえて対策せず許容する）／リスク回避（リスクの原因となる活動自体をやめる。例: 該当サービスの提供中止）／リスク移転（保険加入や外部委託で影響を他者と分担する）。

ある企業が新しい顧客管理システムを導入する場面を想定して、リスクマネジメントの流れを追ってみましょう。まずリスク特定の工程で「顧客の個人情報を格納するデータベース」「外部から接続する社内Webアプリ」といった情報資産と、それぞれに対する脅威（不正アクセス・内部不正・DoS攻撃等）を洗い出します。次のリスク分析では、例えば「データベースへの不正アクセス」について、インターネットに直接公開されている場合は発生可能性が高く、個人情報の規模から影響度も甚大と評価し、逆に「社内限定ネットワークからのみアクセス可能な旧システムへの侵入」は発生可能性が低いと評価します。リスク評価の段階で、組織のリスク基準（例えば「個人情報10万件以上の漏えいリスクは必ず対応する」）と照らし、前者は対応必須、後者は許容範囲内かもしれないと判定します。最後のリスク対応では、前者に対してファイアウォールと多要素認証の導入（リスク低減）を選択する一方、影響が軽微で対策コストが見合わない箇所についてはあえて追加投資せず監視のみで済ませる（リスク保有）、逆に費用対効果が悪く危険なレガシー機能そのものを廃止する（リスク回避）、サイバー保険に加入して万一の損害賠償を保険会社と分担する（リスク移転）といった具合に、リスクごとに異なる対応方針を組み合わせるのが実務的な姿です。

4.1.3この節のまとめ

• CIA＝機密性・完全性・可用性。補完要素として真正性・責任追跡性・否認防止・信頼性がある
• リスクは脅威×脆弱性で顕在化。リスク特定→分析→評価→対応の順で継続的にマネジメントする
• リスク対応の4分類＝低減・保有・回避・移転。費用対効果を踏まえ状況ごとに使い分ける