4.1セキュリティの基礎（CIA・リスクマネジメント）

情報セキュリティ対策を検討するとき、最初に立ち返るべき基準がCIA（機密性・完全性・可用性）です。ある対策が「何を守るためのものか」を CIA のどれに当たるか整理すると、過剰投資や対策漏れを防げます。同じ事故でも侵害される要素は状況によって異なり、例えば顧客名簿の漏えいは機密性の侵害、Webサイトの改ざんは完全性の侵害、DoS攻撃によるサービス停止は可用性の侵害というように、影響を受ける要素を特定することが対策選定の出発点になります。

4.1.1CIAと補完要素

• 機密性（Confidentiality）＝許可された者だけが情報にアクセスできる状態。アクセス制御・暗号化・最小権限の原則で守る。完全性（Integrity）＝情報が改ざん・破壊されず正確・最新である状態。ハッシュ値による検証・アクセス権限の分離・変更履歴の保全で守る。可用性（Availability）＝許可された者が必要なときに情報・システムを利用できる状態。冗長化・バックアップ・負荷分散で守る。
• 補完要素＝真正性（Authenticity）＝主張どおりの本人・本物であることの保証（デジタル署名・電子証明書）。責任追跡性（Accountability）＝誰がいつ何をしたかを後から追跡できること（ログ・監査証跡）。否認防止（Non-repudiation）＝行った操作を後から否認できないよう証拠を残すこと。信頼性（Reliability）＝意図した動作を継続して行えること。
• 情報資産＝守るべき対象（顧客データ・ソースコード・サーバ・ノウハウ等、有形無形を問わない）。脅威＝情報資産に損害を与えうる原因（人的・技術的・物理的・環境的）。脆弱性＝脅威につけ込まれる弱点（設定不備・パッチ未適用・教育不足等）。脅威と脆弱性がそろって初めてリスクが顕在化するという関係を押さえる。