事例で見分ける機密性・完全性・可用性の違い
ITパスポート試験 令和5年度 問95 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティにおける機密性，完全性及び可用性に関する記述のうち，完全性が確保されなかった例だけを全て挙げたものはどれか。 a オペレーターが誤ったデータを入力し，顧客名簿に矛盾が生じた。 b ショッピングサイトがシステム障害で一時的に利用できなかった。 c データベースで管理していた顧客の個人情報が漏えいした。
- ア
a
- イ
a，b
- ウ
b
- エ
c
会話形式の解説
講師今回は情報セキュリティの三要素、つまり機密性・完全性・可用性の区別がテーマです。三つの事例を見て、完全性が損なわれたものだけを選べるかがポイントになります。
受験者三つの言葉は覚えているのですが、どれも「情報を守る」という意味に見えて、事例に当てはめると迷ってしまいます。
講師それぞれを短い問いに言い換えると区別しやすくなります。機密性は「許可された人だけが見られるか」、完全性は「中身が正確で、誤りや改ざんがないか」、可用性は「必要なときに使えるか」です。
受験者では、オペレーターの入力ミスで顧客名簿に矛盾が出た事例は、中身が正しくなくなっているので完全性でしょうか。
講師そのとおりです。データの正確さが失われているので、完全性の侵害です。わざと書き換えたわけではない入力ミスでも、完全性は損なわれたと考えます。
受験者システム障害でショッピングサイトが一時的に使えなかった事例は少し迷いました。障害でデータもおかしくなるような気がしたので、これも完全性に入れてよいのかと思いました。
講師この事例で問題になっているのは、データの正確さではなく「サイトを使えなかった」という点です。必要なときに利用できない状態なので、可用性の侵害になります。入力ミスの事例と障害の事例を両方挙げた選択肢は、ここが誤りです。
受験者なるほど、事例に書かれている内容だけで判断するのですね。顧客の個人情報が漏えいした事例は、見てはいけない人に情報が渡っているので機密性だと思います。
講師はい、機密性の侵害です。データの中身そのものが変わったわけではないので、完全性の例にはあたりません。
受験者整理すると、入力ミスは完全性、障害は可用性、漏えいは機密性です。完全性の例だけを挙げているのは、入力ミスの事例一つだけの選択肢、つまりアですね。
講師正解です。最後に整理しておきます。漏えいや不正な閲覧は機密性、データの誤り・矛盾・改ざん・破壊は完全性、障害などで使えない状態は可用性です。悪意のないミスでも、データが不正確になれば完全性の侵害になる点に注意しましょう。
まとめ
情報セキュリティの三要素は、機密性（許可された人だけが見られること）、完全性（情報が正確で誤りや改ざんがないこと）、可用性（必要なときに使えること）です。入力ミスで顧客名簿に矛盾が生じた事例は完全性、システム障害でサイトが使えなかった事例は可用性、個人情報の漏えいは機密性の侵害にあたります。そのため、完全性の例として入力ミスの事例だけを挙げたアが正解です。悪意のない入力ミスでも、データが不正確になれば完全性が損なわれたと考えます。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティの三要素である機密性・完全性・可用性を区別し、示された事例のうち「完全性」が損なわれたものだけを選べるかを問う問題です。
解き方の考え方
最初に、三要素それぞれの意味を確認します。機密性は「許可された人だけが情報を見られること」、完全性は「情報が正確で、誤りや改ざんがないこと」、可用性は「必要なときに使えること」です。次に、a〜cの事例が三要素のどれを損なったものかを一つずつ判断します。最後に、完全性にあたる事例だけを含む選択肢を選びます。aは完全性、bは可用性、cは機密性の侵害なので、aだけを挙げたアが正解になります。
選択肢ごとの解説
- ○ア aaは入力ミスによって顧客名簿のデータに矛盾が生じた事例で、情報の正確さが失われているため完全性の侵害です。bとcは完全性の問題ではないので、aだけを挙げたこの選択肢が正解です。
- ×イ a，baは完全性の侵害なので正しく含まれていますが、bも挙げている点が誤りです。bのシステム障害でサイトが一時的に使えなかった事例は、必要なときに利用できないという可用性の問題で、完全性の例ではありません。
- ×ウ bbのサイトが一時的に利用できなかった事例は、データの正確さではなく、サービスを使えるかどうかの問題です。そのため可用性の侵害にあたります。また、完全性の例であるaが含まれていません。
- ×エ ccの個人情報の漏えいは、許可されていない者に情報が渡ってしまった事例なので、機密性の侵害です。データの内容そのものが変わったわけではないため、完全性の例にはあたりません。
補足
完全性というと悪意のある改ざんを思い浮かべがちですが、本問のaのように、悪意のない入力ミスでデータが不正確になった場合も完全性が損なわれたと考えます。「誰が見られるか」「中身が正しいか」「使えるか」の三つの観点に言い換えて事例を当てはめると、迷いにくくなります。
POINT
- 情報セキュリティの三要素は、機密性・完全性・可用性の三つです。
- 情報の漏えいや不正な閲覧は、機密性の侵害にあたります。
- データの誤り、矛盾、改ざん、破壊は、完全性の侵害にあたります。
- 障害などで必要なときにシステムやサービスを使えない状態は、可用性の侵害にあたります。