正解：イ
各選択肢の解説
ア真正性
誤り。真正性は、利用者やデータが「主張どおりの本物であること」です。なりすましを 防ぐことが中心で、認証で確かめます。今回の3名はいずれも正規の部員で、本物かどうかは 問題になっていません。困ったのは、そのうち誰の操作かをたどれないことです。
イ責任追跡性
正解。責任追跡性は、ある操作をそれを行った利用者まで一意にたどれることです。 共用IDではログが残っても「3名のうちの誰か」までしか分からず、個別のIDとログを 組み合わせて初めて確保できます。
ウ否認防止
誤り。否認防止は、行為をした本人が後から「していない」と否定できないよう、第三者にも 示せる証拠を残すことで、デジタル署名が代表的な手段です。たどれることの先にある証明力の 話で、今回の見直しのきっかけである「誰の操作か分からない」状態の解消とは目的が違います。
エ信頼性
誤り。信頼性は、システムや処理が意図したとおりに一貫して動作することです。誤動作や 不具合がないことを指し、操作した人を特定することとは関係しません。名前が似た 「責任追跡性」と取り違えやすいので、動作の確かさか、人の特定かで分けます。
理解を深めるために
「誰がやったか」をたどれるのが責任追跡性
ログが残っていても、IDを複数人で共用していると、記録に残るのは「共通のIDが修正した」 という事実だけです。3人のうち誰が書き換えたのかは分かりません。 操作と人を1対1で結び付けることが、責任追跡性を確保する出発点です。 個別のID発行とログの記録は、片方だけでは足りず、2つがそろって初めて効きます。
機密性・完全性・可用性に加わる4つの特性
情報セキュリティは機密性・完全性・可用性の3要素が基本ですが、JIS Q 27000 では これに加えて、真正性・責任追跡性・否認防止・信頼性も維持の対象に含めうるとしています。 3要素だけでは説明しにくい場面を、これらの特性で言い分けます。
- 真正性: 本物か（なりすましでないか）
- 責任追跡性: 誰がやったかをたどれるか
- 否認防止: やった本人が後から否定できないか
- 信頼性: 意図したとおりに動くか
責任追跡性と否認防止は隣り合っています。個別IDとログで「たどれる」状態を作るのが 責任追跡性で、さらにデジタル署名などで第三者にも証明できるようにするのが否認防止です。
混同しやすいものとの違い
| 特性 | 問いかけ | 代表的な手段 |
|---|---|---|
| 責任追跡性 | 誰の操作かをたどれるか | 個別ID、操作ログ |
| 真正性 | 本物か | 認証 |
| 否認防止 | 本人が後から否定できないか | デジタル署名、タイムスタンプ |
| 信頼性 | 意図したとおりに動くか | 品質の確保、障害対策 |
場面の中で「困ったこと」が何かを読むのがこつです。本物かどうかで困ったのか、 誰の操作か分からず困ったのかで、答えが分かれます。