CIA（機密性・完全性・可用性）
CIA とは
情報セキュリティで守る対象とする3つの性質。機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の頭文字を取って CIA と呼ぶ。
この3つの性質は、情報セキュリティを考えるときの土台になる。情報セキュリティの国際規格である ISO/IEC 27000（日本では JIS Q 27000）も、情報セキュリティをこの3つを保つこととして定義している。セキュリティ対策を考えるときは、どの性質を何から守るのかを先に決める。
cf. CIA 以外の性質とは
CIA に加えて、次の性質を挙げることもある。
- 真正性（Authenticity）: 相手や情報が、主張どおりのものである
- 責任追跡性（Accountability）: 誰が何をしたかを後から追える
- 否認防止（Non-repudiation）: 行った操作を、後から「していない」と否定できない
- 信頼性（Reliability）: 意図したとおりに一貫して動作する
機密性（Confidentiality）
許可された人やプロセスだけが情報にアクセスでき、それ以外には情報を見せない性質。
- 主な脅威: 情報の漏えい、盗聴、不正アクセス
- 主な対策: 暗号化、アクセス制御、認証
例: 通信を TLS で暗号化し、途中の経路で内容を読まれないようにする。データベースの閲覧権限を、必要な担当者だけに与える。
完全性（Integrity）
情報が正確で、欠けや不正な書き換えがない状態を保つ性質。
- 主な脅威: 改ざん、誤った更新、通信途中での書き換え
- 主な対策: ハッシュ値による検証、電子署名、変更履歴の記録、書き込み権限の制限
例: ダウンロードしたファイルのハッシュ値を公開されている値と照合し、配布元から変わっていないことを確かめる。
可用性（Availability）
許可された人が、必要なときに情報やシステムを使える性質。
- 主な脅威: DoS 攻撃、機器の故障、ランサムウェアによるデータの暗号化、災害
- 主な対策: 冗長化、バックアップ、負荷分散、レート制限
例: サーバーを複数台に分け、1台が止まっても残りでサービスを続ける。
3つの性質の関係
3つの性質は互いに引っ張り合うことがある。
- 機密性を高めるためにアクセス手順を厳しくすると、正当な利用者も使いにくくなり、可用性が下がる
- 可用性を高めるためにデータの複製を増やすと、漏えいの経路が増え、機密性を保つ範囲が広がる
すべてを最大にすることはできないため、守る情報ごとに、どの性質を優先するかを決める。たとえば個人情報では機密性を、決済記録では完全性を、公開している Web サイトでは可用性を重く見ることが多い。
関連する分野
- 機密性と完全性を支える技術として、暗号（共通鍵暗号、ハッシュ関数、電子署名など）がある
- 「許可された人」を判定する仕組みとして、認証と認可がある