ISO27001における情報セキュリティの三要素とは？機密性・完全性・可用性の意味と管理策を解説

ISO27001における情報セキュリティの三要素とは

ISO27001における情報セキュリティの三要素とは、機密性、完全性、可用性のことです。
英語では、機密性がConfidentiality、完全性がIntegrity、可用性がAvailabilityと表されるため、それぞれの頭文字を取ってCIAと呼ばれることがあります。
この三要素は、情報資産を守るときに何を維持すべきかを示す基本的な考え方です。

機密性は、許可された人だけが情報を使用・閲覧できる状態を指します。
完全性は、情報が正確で、改ざんや欠落、誤りがない状態を指します。
可用性は、許可された人が必要なときに情報やシステムを利用できる状態を指します。
どれか一つだけを満たしても十分ではなく、三要素をバランスよく維持することが情報セキュリティの基本です。

ISO27001では、この三要素を土台に、情報資産を洗い出し、リスクを評価し、必要な管理策を選び、運用記録を残します。
つまり、三要素は単なる用語ではなく、ISMSを構築・運用するための判断軸です。
審査でも、情報資産ごとに何を守りたいのか、そのためにどの管理策を選んだのかを説明できることが重要になります。

イソログに寄せられた情報セキュリティ三要素のリアルな声

ISO27001の相談では、機密性・完全性・可用性という言葉は知っていても、実際のリスクアセスメントや管理策にどう落とし込めばよいか分からないという声が多くあります。
特に初めて担当する場合、三要素を定義として覚えるだけで、情報資産ごとの重要度評価や審査での説明につながっていないことがあります。

また、現場では「機密性を高めるためにアクセス制限を厳しくしたら業務が止まった」「バックアップは取っていたが復旧テストをしていなかった」「完全性を改ざん防止だけだと思っていた」といったつまずきも起きやすいです。
ISO27001では、三要素をバランスよく考え、対策と運用記録までつなげることが大切です。

ここでは、イソログに寄せられる相談傾向をもとに、情報セキュリティ三要素で担当者がつまずきやすい場面を整理します。

イソログに寄せられる相談でも、情報セキュリティの三要素では、機密性への偏り、完全性の説明、可用性の証跡、リスク評価、管理策とのつながりに関する悩みが多くあります。

機密性・完全性・可用性の意味をわかりやすく整理

機密性とは、許可された人だけが情報を使用・閲覧できる状態です。
顧客情報や従業員情報、契約書、設計情報、ソースコードなど、本来見てはいけない人に見られると問題になる情報では、機密性が重要になります。
アクセス権管理、認証、暗号化、入退室管理、持ち出し制限などが代表的な対策です。

完全性とは、情報が正確で、改ざんや欠落、誤りがない状態です。
請求データ、契約データ、勤怠情報、医療記録、製造記録など、内容が間違っていると判断や業務に影響する情報では、完全性が重要になります。
変更履歴、承認フロー、版管理、入力チェック、ログ管理などが関係します。

可用性とは、許可された人が必要なときに情報やシステムを使える状態です。
業務システム、顧客管理システム、クラウドサービス、問い合わせ窓口、受発注システムなど、止まると業務継続に影響するものでは、可用性が重要になります。
バックアップ、冗長化、障害対応手順、復旧テスト、BCPなどが関係します。

ISO27001で三要素が重要になる理由

ISO27001で三要素が重要になる理由は、ISMSが情報セキュリティリスクを管理する仕組みだからです。
情報資産を守るといっても、すべての情報に同じ対策を行うわけではありません。
情報資産ごとに、漏えいしたら困るのか、改ざんされたら困るのか、使えなくなったら困るのかを考える必要があります。

たとえば、顧客名簿では機密性が大きな論点になります。
請求金額や契約条件では完全性が重要です。
受注システムや問い合わせ窓口では可用性が大きな論点になります。
このように、情報資産ごとの重要度を三要素で整理すると、リスクアセスメントで何を優先すべきかが見えやすくなります。

審査でも、三要素の考え方は間接的に確認されます。
審査員は、会社が情報資産を把握し、リスクを評価し、そのリスクに対して適切な管理策を選び、運用しているかを見ます。
つまり、アクセス権管理やバックアップの有無だけでなく、なぜその対策が必要なのかを説明できることが重要です。

機密性とは？具体例・損なわれるリスク・管理策

機密性は、情報を見てよい人だけが見られる状態を維持する考え方です。
ISO27001では、個人情報、取引先情報、契約書、見積書、設計情報、ソースコード、認証情報、セキュリティ設定情報など、外部に知られると問題になる情報資産で特に重要になります。

機密性が損なわれる例としては、顧客情報の誤送信、退職者アカウントの放置、共有フォルダの権限設定ミス、カフェや移動中の会話による情報漏えい、私物端末へのデータ保存、紙資料の紛失などがあります。
サイバー攻撃だけでなく、社内の運用ミスやヒューマンエラーでも機密性は損なわれます。

管理策としては、アクセス権限の最小化、多要素認証、パスワード管理、暗号化、入退室管理、クリアデスク、持ち出しルール、委託先との秘密保持契約、退職者アカウントの削除などがあります。
SaaS企業ではソースコードと顧客データのアクセス権を分ける、人材会社では求職者情報へのアクセス者を限定する、士業事務所では顧問先資料の持ち出しルールを整備する、といった形で実務に落とし込みます。

完全性とは？具体例・損なわれるリスク・管理策

完全性は、情報が正確で、最新で、欠けていない状態を維持する考え方です。
完全性は、機密性よりもイメージしにくいことがありますが、ISO27001の実務では非常に重要です。
情報が漏れていなくても、内容が間違っていたり、古い版を使っていたり、変更履歴が残っていなかったりすると、業務判断を誤る可能性があります。

完全性が重要になる情報資産には、契約条件、請求情報、勤怠情報、在庫データ、医療記録、製造記録、顧客対応履歴、手順書、規程類などがあります。
たとえば、EC企業で請求金額が誤って更新される、医療系サービスで記録の一部が欠落する、製造業で古い検査基準を参照してしまう、といったケースは完全性の問題です。

管理策としては、変更履歴の保存、承認フロー、版管理、入力チェック、権限分離、ログ管理、定期レビュー、改ざん検知、バックアップからの復元確認などがあります。
完全性を守るには、誰が、いつ、何を、なぜ変更したのかを追える状態にすることが大切です。

可用性とは？具体例・損なわれるリスク・管理策

可用性は、必要なときに情報やシステムを使える状態を維持する考え方です。
情報漏えい対策に注目が集まりやすい一方で、ISO27001では可用性も重要です。
情報が漏れておらず、内容が正しくても、必要なときに使えなければ業務は止まります。

可用性が重要になる情報資産には、業務システム、顧客管理システム、クラウドサービス、問い合わせ窓口、受発注システム、勤怠システム、コールセンターシステム、物流管理システムなどがあります。
BPO企業では顧客対応システムが止まると業務委託先への影響が大きく、SaaS企業ではサービス停止が顧客の業務停止につながります。
物流会社では配送管理システムが止まると出荷や追跡に影響します。

管理策としては、バックアップ、冗長化、障害対応手順、復旧手順、復旧テスト、代替手段、監視、保守契約、BCP、インシデント対応訓練などがあります。
特にバックアップは、取得しているだけでなく、実際に復旧できるかを確認し、記録を残すことが重要です。

情報資産ごとに三要素の重要度をどう考えるか

ISO27001のリスクアセスメントでは、すべての情報資産を同じ重みで評価しないことが大切です。
顧客情報、契約書、ソースコード、業務マニュアル、請求データ、社内システムでは、守るべきポイントが異なります。
三要素のどれが特に重要かを整理すると、リスク評価と管理策選定がしやすくなります。

たとえば、顧客情報は機密性が特に重要ですが、誤った顧客情報で請求や連絡を行うと完全性の問題にもなります。
受発注システムは可用性が重要ですが、注文内容が改ざんされれば完全性の問題にもなります。
ソースコードは機密性が重要ですが、誤ったコードが本番に反映されると完全性や可用性にも影響します。

実務では、情報資産台帳に機密性・完全性・可用性の重要度を記載し、その評価をリスクアセスメントに反映する方法があります。
重要度を高・中・低で分ける、影響度を点数化する、業務停止や信用低下などの影響で評価するなど、自社に合う方法を選びます。

ISO27001の管理策と三要素の関係

ISO27001の管理策は、三要素のどれか一つだけに対応するものではありません。
一つの管理策が複数の要素に関係することもあります。
たとえばアクセス制御は主に機密性を守る対策ですが、不正な変更を防ぐという意味では完全性にも関係します。
ログ管理は完全性や責任追跡性に関係しますが、不正アクセス検知を通じて機密性にもつながります。

バックアップは可用性を守る対策として考えられやすいですが、誤削除や改ざんから正しい状態に戻すという意味では完全性にも関係します。
変更管理は完全性を守る対策ですが、システム障害を防ぐことで可用性にも関係します。
入退室管理は機密性を守る対策ですが、機器の破壊や紛失を防ぐことで可用性にもつながります。

審査で重要なのは、管理策を入れていることだけではありません。
どの情報資産の、どのリスクに対して、その管理策を選んだのかを説明できることです。
管理策と三要素を対応づけておくと、リスクアセスメントや適用宣言書の説明もしやすくなります。

審査で見られやすいポイント

ISO27001の審査では、三要素を暗記しているかよりも、三要素の考え方が自社のISMSに反映されているかが見られます。
具体的には、情報資産台帳で重要な情報資産を把握しているか、リスクアセスメントで機密性・完全性・可用性の観点を考慮しているか、選定した管理策に理由があるかが確認されます。

また、運用記録も重要です。
アクセス権限の棚卸し、バックアップ実施記録、復旧テスト記録、変更申請と承認履歴、ログ確認、教育記録、内部監査記録などが、三要素を守るための証跡になります。
ルールはあるが記録がない、対策はあるが見直しをしていない、情報資産と管理策のつながりが説明できない場合は、審査で指摘されやすくなります。

審査では、現場担当者に質問されることもあります。
たとえば、顧客情報へ誰がアクセスできるか、システム障害時に誰が何をするか、最新版の手順書はどこにあるか、バックアップから復旧できることを確認しているか、といった質問です。
三要素を現場の言葉に置き換えて説明できるようにしておくと安心です。

三要素のバランスでよくある失敗

三要素でよくある失敗は、どれか一つに偏りすぎることです。
たとえば、機密性を重視しすぎてアクセス制限を厳しくしすぎると、必要な人が必要な情報にアクセスできず、可用性が下がります。
逆に、可用性を重視しすぎて誰でも見られる共有フォルダに重要情報を置くと、機密性が下がります。

完全性を軽視する失敗もよくあります。
最新版の手順書がどれか分からない、変更履歴が残っていない、請求データの修正に承認がない、入力ミスを検知できないといった状態では、情報が正しいとは言い切れません。
情報が漏れていなくても、誤った情報に基づいて業務を行えば事故や顧客トラブルにつながります。

また、対策を入れた理由を説明できないことも失敗です。
バックアップを取っているが、どの情報資産の可用性を守るためなのかが曖昧。
アクセス権管理をしているが、どの情報の機密性を守るためなのかが曖昧。
このような状態では、ISO27001のリスクベースの考え方が十分に説明できません。

情報セキュリティの7要素との違い

情報セキュリティでは、三要素に加えて、真正性、責任追跡性、否認防止、信頼性を含めた7要素として説明されることがあります。
真正性は本人や情報が本物であること、責任追跡性は誰が何をしたか追跡できること、否認防止は後から行為を否定できないようにすること、信頼性は期待どおりに動作することを意味します。

ISO27001の実務では、まず機密性・完全性・可用性の三要素を押さえることが重要です。
情報資産の重要度評価、リスクアセスメント、管理策選定では、この三要素が中心になります。
そのうえで、ログ管理、電子署名、本人確認、承認履歴などを考えるときに、真正性や責任追跡性などの要素を補足的に使うと理解しやすくなります。

7要素まで広げると概念が増えて難しく見えますが、実務では三要素を軸にして、必要な場面で追加の要素を使うと考えると整理しやすくなります。
特に審査対応では、三要素とリスク、管理策、運用記録のつながりを説明できることを優先しましょう。

三要素を社内ルールや教育に落とし込む方法

三要素は、社内教育で難しい言葉のまま説明すると伝わりにくいことがあります。
従業員向けには、機密性は見せてはいけない人に見せないこと、完全性は正しい情報を正しい状態で保つこと、可用性は必要なときに使えるようにすること、と説明すると理解されやすくなります。

教育では、部署ごとに例を変えることも大切です。
営業部門には顧客リストや見積書、開発部門にはソースコードや設計書、人事部門には従業員情報、経理部門には請求データや支払情報、カスタマーサポートには問い合わせ履歴を例にすると、自分の業務と結びつけて理解しやすくなります。

また、ルールに落とし込むときは、抽象的な方針だけで終わらせないようにします。
顧客情報は共有フォルダのどこに保存するのか、アクセス権の申請は誰が承認するのか、手順書の最新版はどこで確認するのか、障害時は誰に連絡するのか、といった具体的な行動に落とし込むことが重要です。

まとめ：ISO27001の三要素は管理策を選ぶための判断軸

ISO27001における情報セキュリティの三要素は、機密性・完全性・可用性です。
機密性は許可された人だけが情報を使える状態、完全性は情報が正確で改ざんや欠落がない状態、可用性は必要なときに情報やシステムを使える状態を意味します。
三要素は単なる用語ではなく、情報資産管理、リスクアセスメント、管理策選定、審査対応の土台になります。

実務では、情報資産ごとにどの要素が特に重要かを考えます。
顧客情報では機密性、請求情報では完全性、業務システムでは可用性が重要になりやすいですが、一つの情報資産に複数の要素が関係することもあります。
管理策を選ぶときは、どの情報資産のどのリスクに対応するための対策なのかを説明できるようにしましょう。

審査では、三要素を理解しているかだけでなく、リスク評価や管理策、運用記録につながっているかが見られます。
自社だけで情報資産評価や管理策の整理が難しい場合は、ISO27001に詳しいコンサルへ相談し、複数社の支援範囲を比較することも有効です。
ISOトラストのような月額型コンサルも含めて検討すると、費用を抑えながら実務に合う整理を進めやすくなります。

よくある質問