Security Principles — CIA Triad and Information Security Properties（情報セキュリティの基本特性）

情報セキュリティのあらゆる設計判断は、3 つの根本特性――機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）――のトレードオフに帰着する。この CIA トライアドは 1970 年代の NIST 文書に遡り、現在も ISO/IEC 27001:2022 や NIST CSF 2.0 などの主要フレームワークの概念的土台を成す。本記事では CIA の各特性の定義と実装手段を整理したうえで、真正性・否認防止・責任追跡性（AAA）や情報保護という拡張概念を加え、設計時のトレードオフ軸を地図化する。

なぜ「原則」から始めるか

具体的な脅威や製品の選定に先立ち、「何を守るのか」を定義しなければ設計の優先順位が付けられない。CIA トライアドはその問いに答える最小の語彙集だ。セキュリティ施策のコストと効果を比較するときも、「この施策はどの特性を高め、どの特性を犠牲にするか」という CIA 軸で評価することで、議論が具体的かつ比較可能になる。

また、後述するトレードオフの構造を理解することで、「完璧なセキュリティは存在しない」という事実が概念的に裏付けられる。セキュリティ設計は常に残余リスクを受け入れながら最適点を探す行為であり、原則の理解はその判断を合理化する。

機密性（Confidentiality）

定義: 認可された主体のみが情報にアクセスできる状態を保つ特性。

機密性の侵害は「不正開示（Unauthorized Disclosure）」と呼ばれ、情報漏えいや盗聴がその典型例だ。実装手段は主に以下の 3 層に分類される。

暗号化: データを平文から暗号文に変換し、鍵を持たない主体には意味のない情報にする。転送中（TLS 1.3）と保存時（AES-256）の両方に適用する。暗号アルゴリズムの強度は鍵管理に依存するため、鍵のライフサイクル管理が実質的な機密性の強度を決める。

アクセス制御: 誰が何にアクセスできるかを定義・施行する仕組み。最小権限原則（Principle of Least Privilege）に基づき、業務に必要な最低限の権限のみを付与する。実装形態には DAC（任意アクセス制御）・MAC（強制アクセス制御）・RBAC（役割ベース）・ABAC（属性ベース）がある。

Need to Know 原則: 役職や部署ではなく、実際の職務遂行に必要かどうかを基準にアクセスを判断する概念。RBAC だけでは職務横断的な必要性を表現しきれないため、情報分類ラベルと組み合わせることが多い。

完全性（Integrity）

定義: 情報が認可されていない変更や破損なく正確である状態を保つ特性。

完全性の侵害は「不正改ざん（Unauthorized Modification）」であり、意図的攻撃（中間者攻撃、SQL インジェクション）と非意図的エラー（ビット腐食、転送エラー）の両方を含む。

暗号ハッシュ: SHA-256 などのハッシュ関数は、元データの任意の 1 ビット変化でも異なるダイジェストを生成する（アバランシェ効果）。ファイルの改ざん検知やパスワード保存に用いられる。

デジタル署名: 秘密鍵で署名し公開鍵で検証する非対称暗号の仕組み。送信者の同一性と内容の完全性を同時に保証する。コード署名・電子証明書・S/MIME に適用される。

チェックサムと検証: 転送データの完全性を確認するための軽量手段。セキュリティ強度は暗号ハッシュより低いが、オーバーヘッドが小さい。

バージョン管理と監査ログ: いつ・誰が・何を変更したかを記録することで、改ざんの事後検知と原因追跡を可能にする。

可用性（Availability）

定義: 認可された主体が必要なときに情報やサービスを利用できる状態を保つ特性。

可用性の侵害は「サービス停止（Denial of Service）」であり、DDoS 攻撃、ランサムウェアによるファイル暗号化、ハードウェア障害が代表例だ。

冗長性: 単一障害点を排除するために、システムコンポーネントを複数系統用意する。負荷分散（ロードバランサ）・RAID・地理的冗長（マルチリージョン）が一般的。

DDoS 対策: 大量リクエストによる過負荷を防ぐために、レートリミット・CDN・Anycast ルーティング・トラフィック洗浄（スクラビング）を組み合わせる。

BCP/DR（事業継続・災害復旧）: 広域障害に備えた復旧手順の整備。RTO（目標復旧時間）と RPO（目標復旧時点）を定義し、定期的なフェイルオーバーテストを実施する。

パッチ管理と可用性の緊張: パッチ適用のためのメンテナンス停止は計画的な可用性低下を伴う。ローリングアップデートや Blue/Green デプロイで停止時間を最小化する。

拡張概念 — 真正性・否認防止・責任追跡性（AAA）

CIA はシステム中心の視点だが、実際の運用では「誰がやったか」という主体の性質も重要になる。

真正性（Authenticity）: 情報の出所や主体の同一性が正しいことを保証する特性。デジタル証明書・多要素認証（MFA）・生体認証が主な手段。なりすまし（Spoofing）やフィッシングはこの特性への攻撃だ。

否認防止（Non-repudiation）: 行為者が後から「自分はやっていない」と否認できない状態を確保する特性。デジタル署名＋タイムスタンプ（RFC 3161）により、特定時刻に特定主体が特定操作を行ったことを証明可能にする。電子契約・法的証拠保全に不可欠。

責任追跡性（Accountability）: 誰がいつどのリソースにどんな操作をしたかを追跡・記録できる特性。SIEM（Security Information and Event Management）への集約ログ・アクセスログ・変更ログが中心。責任追跡性がなければ、インシデント後の原因究明も内部不正の抑止も困難になる。

情報保護（Information Protection）と分類

情報を一律に扱うことは非効率かつ過剰または過小な保護につながる。情報分類は保護レベルを区別するための前提作業だ。

分類ラベル: 一般・社外秘・機密・極秘などのラベルを設け、扱いルール（保存方法・送付経路・廃棄手順）を定義する。ISO/IEC 27001:2022 の Annex A は情報分類コントロールを含む（情報カットオフ ~2025-08、confidence: medium）。

最小権限とデータ最小化: 保護すべき情報の範囲を狭めること自体がリスク低減になる。収集するデータを必要最小限にする設計（Privacy by Design）は GDPR・個人情報保護法でも要求される。

ライフサイクル管理: 作成→保存→利用→共有→廃棄の各段階で異なる保護要件がある。廃棄時のメディア消去（DoD 5220.22-M など）や仮名化・匿名化が必要な場面を特定する。

CIA トレードオフの地図

CIA の 3 特性は根本的に緊張関係にある。以下の AP（アンチパターン）表は典型的な判断ミスをまとめたものだ。

設計時の実用的な問いは「この資産はどの特性が最も重要か」を明示化し、他の特性を何程度犠牲にできるかを定量的に決めることだ。金融トランザクションでは完全性・責任追跡性が最優先、医療記録では機密性が最優先、緊急通報システムでは可用性が最優先という具合に、ユースケースによって最適点は異なる。

まとめ

CIA トライアドは情報セキュリティの普遍的な語彙集であり、設計・評価・コミュニケーションの共通基盤を提供する。真正性・否認防止・責任追跡性への拡張は、現代の法的要件やゼロトラスト原則（tech-117 参照）においてとりわけ重要になる。情報分類と最小権限の組み合わせにより、限られたコストで最大の保護効果を引き出す設計が可能になる。