機密性・完全性・可用性はどう見分けるか
ITパスポート試験 令和元年度秋期 問97 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティの三大要素である機密性，完全性及び可用性に関する記述のうち，最も適切なものはどれか。
- ア
可用性を確保することは，利用者が不用意に情報漏えいをしてしまうリスクを下げることになる。
- イ
完全性を確保する方法の例として，システムや設備を二重化して利用者がいつでも利用できるような環境を維持することがある。
- ウ
機密性と可用性は互いに反する側面をもっているので，実際の運用では両者をバランスよく確保することが求められる。
- エ
機密性を確保する方法の例として，データの滅失を防ぐためのバックアップや誤入力を防ぐための入力チェックがある。
会話形式の解説
講師この問題は、対策の名前よりも、何を守る対策かに注目すると整理できます。
受験者機密性、完全性、可用性の意味が混ざってしまいます。
講師機密性は認められた人だけが利用できること、完全性は情報の正確さや欠損のなさを保つこと、可用性は必要なときに使えることです。
受験者情報漏えいを防ぐのは、いつでも使えるようにする可用性でしょうか。
講師情報漏えいのリスクを下げるのは機密性に関わります。可用性とは守る対象が違います。
受験者設備を二重化するのは、情報を欠けさせない完全性に関わりそうです。
講師その説明では、二重化によって使える環境を維持しています。したがって、完全性ではなく可用性の対策です。
受験者バックアップと入力チェックを機密性の例とするのも違いますか。
講師はい。入力チェックは誤入力を防いで正確さを保つので、完全性に関わります。バックアップはデータの消失に備える対策です。どちらも利用できる人を限る例ではありません。
受験者では、利用できる人を厳しく制限すると、必要なときに使いにくくなる場合があるという説明が適切なのですね。
講師そのとおりです。機密性と可用性の両方を考えて運用する、という記述が正解です。
受験者対策が守るものを先に確かめ、そのうえで利用制限の影響も考えます。
まとめ
情報漏えいの防止は機密性、設備の二重化による利用環境の維持は可用性に関わります。入力チェックは情報の正確さを保つ完全性に関わり、バックアップはデータの消失に備える対策です。利用できる人を厳しく制限すると必要な利用まで妨げる場合があるため、機密性と可用性の両方を考えて運用します。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティの三大要素である機密性・完全性・可用性の意味と、対策との対応を問う問題です。
解き方の考え方
まず、機密性は利用できる人を限ること、完全性は情報の正確さや欠損のなさを保つこと、可用性は必要なときに使えること、と整理します。そのうえで、各選択肢の対策がどの要素に関わるかを確かめます。
選択肢ごとの解説
- ×ア 可用性を確保することは，利用者が不用意に情報漏えいをしてしまうリスクを下げることになる。情報漏えいのリスクを下げることは、機密性に関わります。可用性は必要なときに情報やシステムを使えることなので、説明する要素が違います。
- ×イ 完全性を確保する方法の例として，システムや設備を二重化して利用者がいつでも利用できるような環境を維持することがある。システムや設備を二重化し、使える環境を維持することは可用性を高める対策です。情報の正確さや欠損のなさを保つ完全性の例としている点が違います。
- ○ウ 機密性と可用性は互いに反する側面をもっているので，実際の運用では両者をバランスよく確保することが求められる。利用できる人を厳しく制限すると機密性は高まりますが、必要な利用まで妨げられる場合があります。そのため、機密性と可用性の両方を考えて運用するという説明が適切です。
- ×エ 機密性を確保する方法の例として，データの滅失を防ぐためのバックアップや誤入力を防ぐための入力チェックがある。誤入力を防ぐ入力チェックは、情報の正確さを保つ完全性に関わります。バックアップはデータの消失に備える対策であり、どちらも利用できる人を限る機密性の例ではありません。
補足
アクセス制限は機密性に関わりますが、制限が強すぎると必要な利用を妨げる場合があります。三大要素を別々に暗記するだけでなく、運用時の関係も押さえましょう。
POINT
- 機密性は、認められた人だけが情報を利用できることです。
- 完全性は、情報の正確さや欠損のなさを保つことです。
- 可用性は、必要なときに情報やシステムを使えることです。
- 対策の名前だけで判断せず、何を守る対策かを考えます。