ITパスポート 令和6年度 問75：securityに関する問題

答えは d（a=機密性、b=完全性、c=可用性） です。

情報を守る3つの大事なこと（CIA）を、それぞれの対策に当てはめる問題です。

• a アクセス制御＝「許された人だけが見られる」ようにする → 機密性（中身を見せない秘密を守る）。
• b デジタル署名＝「内容が書きかえられていない」と確かめる → 完全性（正しいまま保つ）。
• c ディスクの二重化＝「片方が壊れても使い続けられる」 → 可用性（いつでも使える）。

👉 覚え方：機密＝見せない／完全＝変えさせない／可用＝止めない。

ほかの選択肢はこの3つの組み合わせが入れ替わっていて当てはまりません。

なぜこれが正解か

正解は d。情報セキュリティの3要素と対策の対応は次のとおり。

• a アクセス制御：認可された者だけがアクセスできるよう制限し、情報の漏えいを防ぐ＝機密性（Confidentiality）の確保。
• b デジタル署名：データの改ざん検知と作成者の証明により内容の正しさを保つ＝完全性（Integrity）の確保。
• c ディスクの二重化（ミラーリング）：機器故障時もシステムを継続利用できる＝可用性（Availability）の確保。

よって a=機密性／b=完全性／c=可用性 となる。

覚え方・ひっかけ注意

CIA＝「機密性（見せない）・完全性（変えさせない）・可用性（止めない）」。対策キーワードで即判定：アクセス制御・暗号化→機密性／デジタル署名・ハッシュ→完全性／二重化・バックアップ・冗長化→可用性。ア〜ウは組合せが崩れている。

理論的背景

情報セキュリティの3要素（CIA）はISO/IEC 27000シリーズの根幹をなす概念体系である。機密性（Confidentiality）は「認可された者だけが情報にアクセスできる状態」を指し、アクセス制御（Access Control）がその主要な保護手段。アクセス制御の実装形態には、MAC（強制アクセス制御）・DAC（任意アクセス制御）・RBAC（役割ベースアクセス制御）・ABAC（属性ベースアクセス制御）がある。完全性（Integrity）は「情報が正確かつ完全で、不正な改ざんがされていない状態」を指し、デジタル署名（Digital Signature）がその代表的保護手段として機能する——秘密鍵で生成した署名をハッシュ値と組み合わせることで改ざん検知と送信者認証を同時に実現する。可用性（Availability）は「必要なときに情報・システムにアクセスできる状態」を指し、ディスクの二重化（RAID・ミラーリング）がハードウェア故障に対する可用性保護手段として機能する。

実務での使われ方

CIA三要素は企業のISMS（情報セキュリティマネジメントシステム、ISO/IEC 27001）の設計・評価・監査の共通基準として全プロセスに適用される。情報資産の分類では機密性・完全性・可用性を各3段階（高・中・低）で評価してリスクレベルを決定し、対策の優先順位づけを行う。実務シーンでの適用例：機密性保護のためのZTNA（Zero Trust Network Access）・完全性保護のためのブロックチェーン基盤の取引台帳・可用性確保のためのAWS Multi-AZ構成（複数データセンターへの自動フェイルオーバー）。2022年のISO/IEC 27001改訂（2022年版）では真正性・信頼性・責任追跡性・否認防止性が関連特性として整理され、GDPRなどのデータ保護規制との整合性が強化されている。

試験での位置づけ

CIA三要素とその対策手段の対応はITパスポートのセキュリティ分野で毎年必ず出題される最重要知識。本問のように組み合わせ問題（a=〇〇、b=〇〇、c=〇〇）の形式は対策手段と要素の正確な対応関係を同時に問う難度の高い形式。よくある混同パターン：「アクセス制御は可用性の手段では？」（否：アクセス制御はアクセスを「制限」するため機密性保護が目的）、「デジタル署名は機密性では？」（否：署名は暗号化とは別で改ざん防止＝完全性が主目的）。基本情報技術者（FE）ではCIAにNon-repudiation（否認防止）・Authenticity（真正性）・Reliability（信頼性）を加えた7要素（ISO/IEC 27000準拠）まで問われることがある。

選択肢の発展補足

選択肢aはa=可用性・b=完全性・c=機密性の誤組み合わせであり、アクセス制御を可用性に誤分類している（アクセス制御は「不正アクセスを遮断」するため機密性が正解）。選択肢bはa=可用性・b=機密性・c=完全性の誤組み合わせで、デジタル署名を機密性に分類する誤り（署名は暗号化と混同されやすいが目的は完全性）。選択肢cはa=完全性・b=機密性・c=可用性の誤組み合わせで、3要素の対策を全て誤分類している。発展知識として、ディスクの二重化（RAID1/RAID5/RAID6・ストレージクラスタ）は可用性保護だが、これと並べて「定期バックアップ」「ディザスタリカバリ（DR）」「フェイルオーバークラスタ」もすべて可用性対策として分類される。一方、「暗号化」は機密性・「ハッシュ値検証」は完全性・「デジタル証明書」は真正性・完全性に関連する対策として上位試験では精密な区別が求められる。