情報セキュリティマネジメント情報セキュリティ★★☆

受注管理システムのサーバが故障し、営業部門は半日にわたって受注データを参照できなかった。調査の結果、データの流出や書換えは確認されなかった。この事故で損なわれた情報セキュリティの要素として、最も適切なものはどれか。

正解：ア

ア可用性。必要なときに情報や情報システムを利用できる状態が保てなくなった。
正解。情報が漏れても壊れてもいませんが、使いたいときに使えませんでした。障害、災害、過負荷など、利用そのものを止める事故はすべて可用性の問題として整理されます。
イ完全性。情報が正確であり、改ざんや欠落がない状態が保てなくなった。
誤り。完全性は情報の中身が正しく保たれていることです。今回はデータの書換えが確認されていないため、中身は無事です。壊れたのはデータではなく、データに到達する手段のほうです。
ウ機密性。許可された人だけが情報を扱える状態が保てなくなった。
誤り。機密性は権限のない人に情報が渡らないことです。流出は確認されていないので損なわれていません。むしろ誰も見られない状態であり、機密性は保たれたままです。
エ真正性。利用者や情報が本物であることを確認できる状態が保てなくなった。
誤り。真正性はなりすましを防ぐための性質で、三要素を補う考え方です。今回は本人確認の仕組みが破られたわけではありません。まず機密性、完全性、可用性の三要素で切り分けます。

「見られない・変えられない・使える」の三点セット

情報セキュリティは、守りたい状態を三つに分けて考えます。金庫にたとえると、中身を他人に見られないことが機密性、 中身がすり替わっていないことが完全性、 開けたいときに開けられることが可用性です。

どれか一つでも欠ければ事故です。だから「漏れていないから大丈夫」とは言えません。半日システムが止まれば、受注を取りこぼし、納期の約束も守れなくなります。

分けておくと、事故が起きたときに「何が損なわれたのか」をすぐ言えます。言えれば、打つべき手も決まります。

試験では、どの要素が損なわれたかを場面から選ばせる形がよく出ます。情報が漏れたのか、書き換わったのか、使えなくなったのかを問題文から拾えば判断できます。