Chapter 61
科目A-2｜情報セキュリティ管理の用語を順に解説します。
情報セキュリティの3要素とは情報セキュリティの3要素とは、情報を安全に守りつつ、正しく活用するために欠かせない3つの基本的な性質のことです。これらは「機密性（きみつせい）」「完全性（かんぜんせい）」「可用性（かようせい）」と呼ばれ、英語の頭文字をとって「C.I.A.」と表現されることもあります。どれか1つでも欠けると、情報漏洩やシステムの停止といったトラブルにつながるため、バランスよく対策を行うことが大切です。機密性（Confidentiality）：許可された人だけが情報にアクセスできる状態にすること。完全性（I
真正性とは真正性（しんせいせい）とは、アクセスしている利用者やシステム、あるいはやり取りされているデータが「本当に本物である（偽物ではない）」と証明できる性質のことです。インターネットの世界では相手の顔が見えないため、なりすましやデータの偽造が簡単にできてしまいます。そのため、操作を行っている人が確かに本人であることや、受信したデータが送信元の作成した本物であることを確認できる仕組みが必要になります。真正性を保つことは、不正アクセスや詐欺を防ぐための基本となります。具体例身近な具体例として、オンラインバンキングでの
責任追跡性とは責任追跡性（せきにんついせきせい）とは、情報システム内で「誰が」「いつ」「どのような操作を行ったか」を後から確実に追跡し、証明できる状態にしておくことです。万が一、情報の漏洩やデータの不正な書き換えといったセキュリティ事故が発生した際に、その原因や責任の所在を明確にするために非常に重要となります。また、システム内の行動がすべて記録されているという事実自体が、不正行為を思いとどまらせる（抑止する）効果も持っています。具体例会社の共有サーバーにある顧客データを誰かが無断で持ち出したケースを考えてみましょう
否認防止とは否認防止（ひにんぼうし）とは、情報通信や取引を行った事実について、後から「そんなことはやっていない」「送信していない」などと関係者が主張（否認）することを防ぐ仕組みや状態のことです。インターネット上のやり取りでは、対面での契約書や印鑑のような物理的な証拠が残りにくいため、デジタル技術を用いて「取引が行われた確実な証拠」を残す必要があります。これにより、送信者と受信者の双方が安心して取引を行うことができます。具体例インターネットオークションで、ある商品を落札した取引を例に考えてみましょう。落札者がお金を払
定量的リスク分析とは定量的リスク分析（ていりょうてきりすくぶんせき）とは、リスクアセスメントの過程において、予測される危険の影響度や発生確率を「金額」や「発生回数」などの具体的な数値を使って計算し、評価する方法です。主観を交えずに客観的なデータに基づいてリスクを比較できるため、セキュリティ対策にどれだけの費用（予算）を投じるべきかという投資対効果（対費用効果）を論理的に判断する際に非常に役立ちます。この分析では、以下のような計算式を用いて損失の見込み額を算出します。年間予想損失額（ALE）＝ 1回あたりの予想損失額
定性的リスク分析とは定性的リスク分析（ていせいてきりすくぶんせき）とは、リスクアセスメントにおいて、リスクの大きさや発生確率を具体的な金額ではなく、「大・中・小」や「1〜5段階のスコア」といった評価尺度を使って分析する方法です。すべてのリスクを金額換算することは難しいため、経験者の知識やアンケート、ディスカッションなどを通じて、比較的短時間で直感的にリスクの優先順位を決めたい場合に広く用いられます。具体例オフィスの鍵の紛失や、停電によるシステム停止などのリスクを評価してみましょう。以下のような評価マトリクス（表）を
リスク対応とはリスク対応とは、リスクアセスメントによって評価されたリスクに対して、具体的にどのようなアプローチで対処するかを決定し、実行することです。リスクへの対応方法は、大きく分けて以下の4つに分類されます。それぞれの危険の大きさや、対策にかかるコストを比較しながら、最適な方法を選択します。回避（かいひ）：リスクの原因そのものを取り除き、リスクが発生する確率をゼロにすること。低減（ていげん）：システムのセキュリティを強化するなどして、発生確率を下げるか、発生時の被害を小さくすること。移転（いてん）：保険への加入や
情報資産管理台帳とは情報資産管理台帳（じょうほうしさんかんりだいちょう）とは、企業や組織が保有しているすべての「情報資産」をリストアップし、それぞれの重要度や保管場所、管理責任者などをまとめて記録した一覧表のことです。ここで言う情報資産とは、顧客名簿や売上データといったデジタルデータだけでなく、紙の契約書、パソコンなどの機器、サーバーなども含まれます。セキュリティ対策を行う上で、「そもそも自分たちがどんな情報を持っていて、どこにあるのか」を把握するための第一歩となる重要な書類です。具体例一般的な情報資産管理台帳は、
ISO/IEC 27001とはISO/IEC 27001とは、情報セキュリティマネジメントシステム（ISMS）の構築や運用に関する具体的な要件を定めた、国際的な標準規格です。スイスに本部を置くISO（国際標準化機構）とIEC（国際電気標準会議）が共同で作成しました。企業がこの規格に従って正しいセキュリティ管理体制を築いていると認められると、第三者の審査機関から「ISMS認証」を取得することができます。認証を得ることで、取引先や顧客に対して「私たちは情報の安全管理を徹底している信頼できる会社です」と客観的に証明できま
PDCAサイクル運用とはPDCAサイクル運用とは、「Plan（計画）」「Do（実行）」「Check（評価）」「Act（改善）」の4つのプロセスを繰り返し行うことで、セキュリティ管理体制や業務の質を段階的に、かつ継続的に向上させていく手法です。情報セキュリティの脅威は常に変化し続けるため、一度対策を立てて終わりにするのではなく、このサイクルを何度もぐるぐると回し続けることで、常に最新かつ最適な状態にアップデートしていくことが求められます。PDCAのそれぞれのステップは以下の通りです。Plan：セキュリティの方針を決め
内部監査とは内部監査（ないぶかんさ）とは、企業や組織の内部にいる監査人（または社内のメンバー）が、社内のセキュリティルールや業務プロセスが正しく守られているか、システムが適切に運用されているかを客観的にチェックし、評価する活動です。業務を行っている本人やその部署の人間ではなく、独立した立場の人員が点検を行うことで、普段の業務で見落とされがちなルール違反や、システムの設定ミスなどの不備を公平に見つけ出し、改善へつなげることができます。具体例会社の「パスワード管理ルール」が徹底されているかを確認する内部監査の様子です。
CISOとはCISO（Chief Information Security Officer：最高情報セキュリティ責任者）とは、企業において情報セキュリティに関する戦略の決定や、対策の実施について最終的な責任を持つ役員のことです。現代のビジネスにおいて情報は最も価値のある資産の一つですが、サイバー攻撃や情報漏洩による損失リスクも大きくなっています。CISOは、経営陣の一員としてセキュリティと事業の成長のバランスを考慮しながら、組織全体のセキュリティポリシーの決定や、インシデント（トラブル）発生時の意思決定を行います。
公式資料へのリンクと確認日を各記事に掲載しています。