ITパスポート 令和8年度 問77：securityに関する問題

答えは c（機密性） です。

「機密性」は、“見ていい人だけが見られる・入っていい人だけが入れる”という安全のことです。

この問題では、暗証番号だけだった入室チェックに、目の模様で本人を見分ける「虹彩認証」を足して、許可された人しか入れないようにしました。つまり「中の大事なものを、関係ない人に見せない・触らせない」を強くしたわけです。

👉 覚え方：「秘密を守る＝機密性」。入れる人を絞る＝機密性アップ。

ほかの選択肢：a 可用性＝使いたいときに使える／b 完全性＝中身が勝手に変わっていない正しさ／d 否認防止＝「やってない」と言い逃れできなくする仕組み。今回は“入れる人を絞った”ので機密性です。

なぜこれが正解か

正解は c（機密性）。情報セキュリティの3要素CIAのうち、機密性（Confidentiality）は「認可された者だけが情報やリソースにアクセスできる」性質。暗証番号に虹彩認証を加えて無許可者の入室をより確実に防ぐのは、サーバ室内の情報資産への不正アクセスを防ぐ＝機密性を高める対策に該当する。

各選択肢の解説

• a 可用性：必要なときに使える性質。冗長化やバックアップが対策。
• b 完全性：情報が正確で改ざんされていない性質。署名やハッシュが対策。
• d 否認防止：行為を後から否認できなくする性質。ログや電子署名が対策。

覚え方・ひっかけ注意

「アクセスを制限する・入れない系」の対策はすべて機密性。本問は入退室管理（物理的アクセス制御）だが扱いは機密性で同じ。CIAは「C＝秘密、I＝正しさ、A＝使える」で暗記する。

理論的背景

情報セキュリティの3要素（CIA：Confidentiality・Integrity・Availability）はISO/IEC 27001の基盤概念であり、本問正解cの「機密性（Confidentiality）」は「認可されていない個人・エンティティ・プロセスに対して、情報を利用させず、また開示しないという特性」と定義される（ISO/IEC 27000:2018）。

本問のシナリオ分析：暗証番号（知識認証）に生体認証（虹彩）を追加する多要素認証（MFA）の強化により「無許可の者が入室できない確率を高める」＝「許可されていない者への情報・設備へのアクセスを遮断する」機能であるため機密性を高める対策。物理的なサーバ室への不正アクセス防止は情報の機密性保護の物理的実装であり、ISMS Annex AのA.11「物理的セキュリティ・環境のセキュリティ」に対応する。

可用性（選択肢a）は「認可されたエンティティが要求したときにアクセスおよび使用できるという特性」で、システムの稼働率・災害復旧が主な対策対象。完全性（選択肢b）は「正確さおよび完全さという特性」でデータの改ざん防止・ハッシュ検証が主な対策対象。否認防止（選択肢d）はISOが定義するCIA拡張概念で、行為者が自分の行為を否定できないようにする特性（デジタル署名・監査ログ）。本問はいずれでもなく「不正アクセス遮断」→機密性。

実務での使われ方

物理セキュリティと情報セキュリティの統合（Converged Security）は現代のセキュリティアーキテクチャのトレンド。従来は分離して管理されていた入退室管理（Physical Access Control）とネットワークアクセス制御（Logical Access Control）を統合し、「退職者の物理・論理アクセス権の同時失効」「侵入アラートと同時のネットワーク隔離」などの自動化を実現する統合セキュリティプラットフォームが普及している。

虹彩認証の技術的特性：偽造困難性（指紋より高い固有性）・非接触認証（衛生面）・経年変化耐性（指紋と異なり老化の影響が少ない）・マスク着用時でも認証可能（コロナ禍以降の普及促進要因）。他の生体認証との組み合わせ（マルチモーダル生体認証）により本人拒否率と他人受入率のバランスを最適化できる。

試験での位置づけ

情報セキュリティの3要素（CIA）と具体的な対策・機能の対応関係はITパスポートのセキュリティ分野で毎年出題される最頻出テーマ。「機密性→アクセス制御・暗号化」「完全性→ハッシュ・デジタル署名」「可用性→冗長化・バックアップ」という対応関係を物理・論理・管理的セキュリティの各レイヤーで適用できることが求められる。本問のような「具体的な対策がどの要素を高めるか」の判断では「誰のアクセスを制限・許可するか」を考えると機密性に帰着することが多い。近年のITパスポート試験ではCIA拡張（否認防止・真正性・信頼性・責任追跡性）の5〜7要素版の理解も求められる。基本情報技術者試験ではゼロトラストアーキテクチャにおけるCIAの実装方法・SBOMとサプライチェーンセキュリティ・クラウドセキュリティ（CSPM・CWPP・CIEM）まで踏み込んだ問題が出題される。

選択肢の発展補足

否認防止（選択肢d）はしばしばCIAとは別の拡張概念として扱われるが、日常的に混同されやすい。否認防止の具体例：デジタル署名付き電子文書（署名者が後から「送っていない」と主張できない）・電子取引の改ざん検知付きタイムスタンプ・監査ログの改ざん防止（不変ログ）。本問のサーバ室入室管理でいえば、虹彩認証ログが改ざんされないよう記録されれば否認防止の側面もあるが、問題が問うているのは「無許可の者の入室防止」すなわちアクセス制御（機密性）であり、否認防止とは主目的が異なる。可用性（選択肢a）の観点で考えると、入退室管理システムの障害によりサーバ室に入れなくなることは可用性の問題だが、本問は「セキュリティ強化」を問うているため可用性向上の話ではない。CIAの識別訓練として「誰が何にアクセスできるか（機密性）」「データは正確か（完全性）」「サービスは使えるか（可用性）」という3つの問いを常に念頭に置くことが有効。