情報セキュリティの可用性とは？事象から3要素を見分ける
ITパスポート試験 令和7年度 問97 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティにおいて、可用性が損なわれた事象だけを全て挙げたものはどれか。 a 関連取引先との電子決済システムがDoS攻撃を受け、処理ができなくなった。 b 顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。 c 社内のサーバに不正侵入されて、社外秘の情報が漏えいした。
- ア
a
- イ
a，b
- ウ
b，c
- エ
c
会話形式の解説
講師今回は情報セキュリティの3要素の問題です。3つの事象がそれぞれどの要素を損なったものか分類できれば解けます。注目するのは、事象の結果として何が起きたかです。
受験者3要素は機密性、完全性、可用性でしたよね。言葉は覚えているのですが、どれがどれなのか、いつも迷ってしまいます。
講師まず意味を確認しましょう。機密性は許可された者だけがアクセスできること、完全性は情報が正確で改ざんや破壊がないこと、可用性は必要なときに情報やシステムを使えることです。頭文字をとってCIAとも呼ばれます。
受験者可用性は「使えること」なんですね。それなら、DoS攻撃で電子決済システムの処理ができなくなった事象は、システムを使えない状態なので可用性の問題だと思います。
講師そのとおりです。DoS攻撃は、大量のアクセスなどでサービスを使えなくすることを狙う攻撃で、可用性に対する代表的な攻撃です。では、顧客情報が誤った内容のまま運用されていた事象はどうでしょう。
受験者正しい情報が使えないという意味では、これも可用性に入るのではないかと考えたのですが、違いますか。
講師そこが迷いやすいところです。この事象では、システムそのものは動いていて使える状態です。損なわれているのは情報の正確さなので、完全性の問題になります。誤った情報があってもシステムが動いていれば、可用性は保たれていると考えます。
受験者なるほど。では、サーバに不正侵入されて社外秘の情報が漏えいした事象は、攻撃を受けているので可用性も関係しそうに見えます。
講師「不正侵入」という言葉に引っ張られないことが大切です。結果は情報の漏えいで、許可されていない者に情報が渡っています。これは機密性が損なわれた事象です。システムが使えなくなったとは書かれていないので、可用性には当たりません。
受験者整理すると、処理できなくなったものが可用性、内容が誤っていたものが完全性、漏えいしたものが機密性です。可用性の事象は電子決済システムの1つだけなので、それだけを挙げた組合せが正解ですね。
講師正解です。誤った情報での運用を加えた組合せや、漏えいを含む組合せは、完全性や機密性の事象を可用性と取り違えています。覚え方としては、使えない場合は可用性、正しくない場合は完全性、漏れた場合は機密性、と結果で判断すると迷いにくくなります。
まとめ
この問題は、情報セキュリティの3要素（機密性・完全性・可用性）のうち、可用性が損なわれた事象を選ぶものです。可用性は必要なときに情報やシステムを使える性質で、DoS攻撃で電子決済システムが処理できなくなった事象がこれに当たります。顧客情報が誤ったまま運用されていた事象は情報の正確さが失われているので完全性、不正侵入による社外秘情報の漏えいは機密性の問題です。「攻撃」や「不正侵入」といった言葉ではなく、結果として何が起きたかに注目すると見分けやすくなります。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティの3要素（機密性・完全性・可用性）のうち、可用性が損なわれた事象を見分けられるかを問う問題です。
解き方の考え方
まず3要素の意味を確認します。機密性は許可された者だけがアクセスできること、完全性は情報が正確で改ざんや破壊がないこと、可用性は必要なときに情報やシステムを使えることです。次に、a〜cの事象で実際に起きた影響（処理できない、内容が誤っている、情報が漏れた）に注目して、それぞれどの要素の問題かを判断します。可用性に当たるのはaだけなので、aだけを挙げた組合せを選びます。
選択肢ごとの解説
- ○ア aaだけを挙げた組合せです。aは電子決済システムがDoS攻撃を受けて処理できなくなった事象で、必要なときにシステムを使えない状態なので、可用性が損なわれています。bは完全性、cは機密性の問題なので、可用性の事象はaだけです。
- ×イ a，baとbの組合せですが、bは顧客情報が誤った内容のまま運用されていた事象です。情報の正確さが失われているので、損なわれたのは完全性です。システムは使える状態なので、可用性の問題とはいえません。
- ×ウ b，cbとcの組合せですが、bの誤った情報での運用は完全性の問題、cの不正侵入による社外秘情報の漏えいは機密性の問題です。どちらも可用性の事象ではなく、可用性に当たるaも含まれていません。
- ×エ ccだけを挙げた組合せですが、cはサーバに不正侵入されて社外秘の情報が漏えいした事象です。許可されていない者に情報が渡っているので、損なわれたのは機密性です。システムが使えなくなったとは書かれていないので、可用性の事象には当たりません。
補足
「不正侵入」や「攻撃」という言葉だけで判断すると間違えやすいので、結果として何が起きたかに注目しましょう。cも攻撃による事象ですが、結果は情報の漏えいなので機密性の問題です。また、bのように誤った情報があってもシステムが動いていれば、可用性は保たれていると考えます。
POINT
- 情報セキュリティの3要素は機密性・完全性・可用性で、頭文字をとってCIAと呼ばれます。
- 可用性は、必要なときに情報やシステムを利用できる性質で、サービス停止やシステム障害で損なわれます。
- 完全性は情報が正確で改ざんや破壊がない性質で、内容の誤りや改ざんで損なわれます。
- 機密性は許可された者だけがアクセスできる性質で、情報漏えいで損なわれます。
- DoS攻撃は、サービスを使えなくすることを狙う、可用性に対する代表的な攻撃です。