CIAトライアド（CIA Triad）
概要
CIAトライアド（CIA Triad） とは、
情報セキュリティにおける根幹概念であり、
以下の3要素によって情報資産を保護するという考え方を指す。
実務においては、
といったあらゆるフェーズで、この3要素のどれを守ろうとしているのかを明確にすることが重要である。
CIAトライアドの位置づけ
CIAトライアドは「具体的な対策」ではなく「評価軸」である。
暗号化、
アクセス制御、バックアップ、冗長化などの技術要素は、
すべて CIA のいずれか（または複数）を満たすための手段として位置づけられる。
そのため、
「この対策は CIA のどれを強化しているのか？」
「逆に、どの要素を犠牲にしていないか？」
という問いは、設計レビューや試験問題で頻出する。
構成要素
機密性（Confidentiality）
機密性とは、「許可された主体のみが情報にアクセスできること」を保証する性質である。
情報が意図しない第三者に開示されないことを目的とし、
情報漏えい や
不正アクセス を防止する観点で評価される。
代表的な脅威
主な対策
試験での典型論点
- 「暗号化＝機密性」であるか
- 認可と認証の違い
- ログ取得は機密性か完全性か
- 内部不正対策は技術か運用か
実務上の注意点
暗号化を行っていても、
鍵管理 が不適切であれば機密性は成立しない。
また、機密性を過度に高めると、可用性や業務効率が低下する点に注意が必要である。
完全性（Integrity）
完全性とは、「情報が正確かつ完全であり、不正または意図しない改ざんが行われていないこと」を保証する性質である。
データの信頼性を担保し、意思決定やシステム制御が正しい情報に基づいて行われることを目的とする。
代表的な脅威
主な対策
試験での典型論点
- ハッシュは暗号か
- 完全性と真正性（Authenticity）の違い
- ログは主に責任追跡性のため。ログそのものの改ざんの防止は、完全性の論点
- WORMストレージの目的
実務上の注意点
完全性は「改ざんを完全に防ぐ」ことよりも、
「改ざんを検知・証明できる」ことが重要である。
可用性（Availability）
可用性とは、「必要なときに、必要な情報やシステムを利用できること」を保証する性質である。
業務停止やサービス劣化を防ぎ、事業継続を支える要素として位置づけられる。
代表的な脅威
主な対策
試験での典型論点
- バックアップは可用性か完全性か
- 冗長化と負荷分散の違い
- RTO／RPOの定義
- DRサイトの方式比較
実務上の注意点
可用性を高める設計は、構成の複雑化を招き、
結果として機密性・完全性のリスクを増やす場合がある。
「止まらない」ではなく、
RTO・
RPO を明確に定義することが現実的な可用性設計となる。
CIAトライアドの相互関係
CIAの3要素は独立ではなく、相互にトレードオフの関係にある。
例：
- 強固な認証 → 機密性↑ / 可用性↓
- 広範な権限付与 → 可用性↑ / 機密性↓
- 手動運用増加 → 可用性↑ / 完全性↓
試験問題では「どれを優先すべきか」という形で問われることが多く、
実務では
リスクベースアプローチ による判断が求められる。
CIAトライアドと関連概念
試験対策メモ
- IPA系試験：CIAの定義と具体例の対応関係
- CISSP：CIAを軸にした設計思想・判断問題
- NIST系：CIAを満たす管理策（Control）の分類
参考
- ISO/IEC 27001
- NIST SP 800-53
- IPA「情報セキュリティ白書」
- CISSP CBK
最終更新：2026年10月16日 17:52
