情報セキュリティの7要素とは？真正性・責任追跡性・否認防止性・信頼性の意味と対策を解説

「情報セキュリティって、機密性・完全性・可用性の3つだけ押さえればいいよね？」

セキュリティの勉強を始めると、まずCIA三原則を習います。でも実は、情報セキュリティの要素はそれだけではありません。JIS Q 27000（ISO/IEC 27000）では、CIAトライアドに加えて「真正性」「責任追跡性」「否認防止性」「信頼性」の4要素を加えた計7要素が定義されています。

この記事では、情報セキュリティの7要素それぞれの意味・重要性・具体的な対策を、現場で使えるレベルで解説します。情報処理安全確保支援士の試験対策にも、実務のセキュリティポリシー整備にも役立つ内容です。

情報セキュリティの7要素とは？

情報セキュリティの7要素とは、JIS Q 27000:2019（ISO/IEC 27000:2018）で定義された、情報資産を安全に保護するための7つの性質のことです。

よく知られているCIA三原則（機密性・完全性・可用性）に加え、真正性・責任追跡性・否認防止性・信頼性の4要素を合わせた計7つが、現代の情報セキュリティの基礎となっています。

なぜ3要素から7要素に拡張されたのか。その理由は、現代の攻撃手法と企業リスクが多様化したからです。「誰がアクセスしたか分からない」「否定されたら証明できない」「なりすましを見抜けない」——こうした問題に対応するために、追加の4要素が重要視されるようになりました。

CIA三原則（機密性・完全性・可用性）のおさらい

まず、土台となるCIA三原則を整理しておきましょう。

1. 機密性（Confidentiality）

許可された人・システムだけが情報にアクセスできる状態を指します。情報漏洩対策の根幹となる要素です。

・脅威の例: 不正アクセス、内部不正、ファイルの誤送信
・対策の例: アクセス制御、暗号化、権限の最小化

2. 完全性（Integrity）

情報が改ざん・欠落・破壊されていないことを保証します。データの正確性と一貫性を維持することが目的です。

・脅威の例: SQLインジェクションによるDB改ざん、通信経路での改ざん
・対策の例: ハッシュ値によるチェックサム検証、デジタル署名、バージョン管理

3. 可用性（Availability）

必要なときに、必要な人が情報・サービスを利用できる状態を指します。業務継続性の観点から特に重要な要素です。

・脅威の例: DDoS攻撃、ランサムウェアによるシステム停止
・対策の例: 冗長化、バックアップ、BCP/DRPの整備

追加4要素の意味と重要性

ここからが、CIA三原則だけでは語れない部分です。4つの追加要素は「誰が何をしたか」「本物かどうか」を保証するために欠かせない概念です。

4. 真正性（Authenticity）

通信相手や情報の送信元が本物であることを確認できる性質です。「なりすまし」を防ぐための要素と言えます。

たとえば、メールボックスに届いた「〇〇銀行からのお知らせ」が本当に〇〇銀行から送られてきたものなのか——これを確認できる仕組みが真正性です。

・脅威の例: フィッシング（なりすましメール）、中間者攻撃（MITM）
・対策の例: デジタル証明書（TLS/SSL）、SPF・DKIM・DMARCの設定、多要素認証（MFA）

LinuxサーバーのSSH接続に公開鍵認証を使うのも、「この接続元は本物か」を確かめる真正性の実践例です。LinuxのSSH設定については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。

5. 責任追跡性（Accountability）

誰がいつ何をしたかを追跡・記録できる性質です。インシデント発生時の原因調査や、内部不正の抑止に不可欠です。

「ログが残っている」という事実だけで、悪意ある行動の抑止力になります。「記録を見られているかもしれない」という意識が内部犯行を減らすのです。

・脅威の例: ログの改ざん・削除、操作証跡の消去
・対策の例: 集中ログ管理（syslogリモート転送）、auditd設定、操作ログの完全性確保

# auditdで管理者権限コマンドの実行をログに記録する例
# /etc/audit/rules.d/audit.rules に追記
-a always,exit -F arch=b64 -S execve -F euid=0 -k privileged-exec

6. 否認防止性（Non-repudiation）

ある行為（送受信・操作）が行われたことを、後から否定できないようにする性質です。責任追跡性に近いですが、否認防止性は「法的証拠力」を意識した概念です。

たとえば、電子契約書にデジタル署名をつけることで「自分は署名していない」と後から言い張れなくなります。これが否認防止性の典型例です。

・脅威の例: 「メールは送っていない」「その操作はしていない」という事後の否認
・対策の例: デジタル署名（電子契約）、タイムスタンプ、認定タイムスタンプ付きログ

7. 信頼性（Reliability）

システムや処理が意図した通りに動作し続ける性質です。バグや設定ミスによって「予期しない動作をしない」ことを保証します。

機密性・完全性・可用性を確保していても、システム自体が意図しない動作をしていれば意味がありません。信頼性は他の6要素の土台ともいえる性質です。

・脅威の例: ソフトウェアのバグ、設定ミス、予期しない処理の失敗
・対策の例: ソフトウェアテスト、設定管理（IaCの導入）、変更管理プロセスの整備

7要素を満たすための具体的な対策

1. アクセス管理で機密性と真正性を守る

情報へのアクセスを「誰が（認証）」「何をできるか（認可）」で管理することが基本です。多要素認証（MFA）を導入し、IDとパスワードだけに依存しない仕組みを構築しましょう。

・具体策: Microsoft 365やGoogle WorkspaceへのMFA必須化
・具体策: ロールベースアクセス制御（RBAC）で最小権限を徹底
・具体策: 定期的なアカウント棚卸し（退職者アカウントの即時無効化）

2. ログと監査で責任追跡性と否認防止性を確保する

「ログを取っているかどうか」ではなく、「ログが改ざんされていないことを証明できるか」が重要です。ログはサーバー上に保存するだけでなく、外部の集中ログサーバーに転送することで改ざんリスクを下げます。

・具体策: rsyslogでログを別サーバーに転送する（侵害されても証跡が消えない）
・具体策: 電子契約サービスの導入（デジタル署名＋タイムスタンプで否認防止）
・具体策: 操作ログの保存期間を最低1年に設定する

3. 完全性・信頼性を守る変更管理

「誰かが勝手に設定を変えていないか」を定期的に確認することが、完全性と信頼性の維持につながります。

・具体策: AIDEなどのファイル整合性監視ツールを導入する
・具体策: 変更管理プロセス（申請→承認→実施→記録）を整備する
・具体策: 定期的な脆弱性スキャンで信頼できる動作状態を確認する

中小企業でも今日からできること

「7要素全部を一気に対応するのは無理」というのが本音だと思います。優先度順に整理すると、次のようになります。

情シスが1人体制の場合、まず「認証の強化」と「ログの取得」から着手するのが現実的です。多要素認証とログ収集だけで、7要素のうち複数に同時に対処できます。

よくある誤解と注意点

【誤解1】「CIA三原則さえ守ればいい」

CIAは確かに重要ですが、「誰がアクセスしたか追跡できない」「なりすましを見抜けない」という問題はCIA三原則の範囲外です。7要素全体を意識することで、より包括的なセキュリティ設計が可能になります。

【誤解2】「否認防止性はBtoBの大企業だけの話」

中小企業でも、業務委託契約の変更や社内申請の承認記録など、「誰が承認したか」を証明しなければならない場面は少なくありません。クラウドサービスの操作ログを保存するだけでも、基本的な否認防止性を確保できます。

【誤解3】「信頼性は開発者だけが考えること」

インフラ担当者も、サービスが「意図した通りに動いているか」を定期確認する責任があります。死活監視・パフォーマンス監視ツールの導入が、信頼性確保の第一歩です。

本記事のまとめ

7要素はバラバラに対策するのではなく、組み合わせることで初めて本当の意味での情報セキュリティが実現します。「認証を強化する（真正性）＋ログを残す（責任追跡性）＋署名で証明する（否認防止性）」——この3点セットだけでも、インシデント後の対応力が大きく変わります。

まずは自社のセキュリティ対策を7要素の観点で棚卸ししてみてください。「どの要素が手薄か」が見えてくるはずです。