連載【サイバー防御実務入門】第2回
今回のゴール
- 情報セキュリティの3要素「機密性・完全性・可用性」を、自分の言葉で説明できる
- 「リスク」が生まれる仕組み（資産・脅威・脆弱性）を理解する
- リスクの大きさを「起こりやすさ」と「影響」で見積もれるようになる
- リスクへの4つの対応（低減・回避・移転・受容）を知る
はじめに：「守る」とは、何を守ることなのか
前回の第1回では、警察庁の統計とIPAの「情報セキュリティ10大脅威 2026」をもとに、いま起きているサイバー攻撃の現状を見てきました。ランサムウェア、フィッシング、IoT機器の踏み台化……。どれも深刻な話でした。
では、これらの攻撃から「守る」とは、具体的に何を守ることなのでしょうか。「パソコンを守る」「データを守る」と言うのは簡単ですが、実は守るべきものには3つの側面があります。今回は、セキュリティの世界で必ず最初に学ぶこの考え方と、もう一つの土台である「リスク」の考え方を整理します。
私自身、学び始めて最初に「なるほど」と思ったのがこの回の内容です。ここを押さえると、ニュースで見るサイバー攻撃が「何を壊そうとしているのか」が見えるようになります。
1. 情報セキュリティの3要素「CIA」
情報セキュリティでは、守るべき性質を次の3つに分けて考えます。英語の頭文字をとって「CIA」と呼ばれます（アメリカの情報機関とは関係ありません）。
| 要素 | 意味 | ひとことで言うと |
|---|---|---|
| 機密性 （Confidentiality） |
許可された人だけが情報を見たり使ったりできること | 見せない |
| 完全性 （Integrity） |
情報が正確で、勝手に書き換えられたり欠けたりしていないこと | 変えさせない |
| 可用性 （Availability） |
許可された人が、必要なときに情報やシステムを使えること | 止めない |
この3つは、情報セキュリティの国際規格（ISO/IEC 27000、日本ではJIS Q 27000）でも基本の特性として定義されています。言葉だけだと少し堅いので、身近な例で考えてみます。
例：銀行の預金口座で考える
- 機密性が損なわれると：自分の残高や取引履歴を、他人に見られてしまう。
- 完全性が損なわれると：残高の数字が勝手に書き換えられる。振込先の口座番号がすり替えられる。
- 可用性が損なわれると：お金はちゃんとあるのに、システム障害でATMもネットバンキングも使えない。
こう並べると、3つはまったく別の困りごとだとわかります。そして、どれか一つでも欠けると「安心して使える」状態ではなくなるのです。
例：家族写真で考える
もう少し身近な例として、スマホに保存している家族写真で考えてみます。
- 機密性：家族だけで見るつもりの写真が、SNSで誤って公開されてしまう。
- 完全性：写真のファイルが壊れて、一部が表示されなくなる。
- 可用性：スマホが故障して、写真が一枚も見られなくなる。
3つの要素は、ときにぶつかり合います。たとえば機密性を高めようとパスワードを長く複雑にしすぎると、自分でも忘れてしまって「使えない」、つまり可用性が下がります。セキュリティ対策は「とにかく固く」ではなく、3つのバランスをとることだと私は理解しました。
3要素に加えて挙げられる特性
規格では、3要素に加えて次のような特性が挙げられることもあります。今はまず「こういう考え方もある」程度に知っておけば十分です。
- 真正性
- 相手や情報が「本物である」こと。なりすましメールは、この真正性を突く攻撃です。
- 責任追跡性
- 「誰が、いつ、何をしたか」を後からたどれること。ログ（記録）がその手段になります。
- 否認防止
- 「やっていない」と後から言い逃れできないようにすること。
- 信頼性
- システムが意図したとおりに、安定して動くこと。
2. 「リスク」はどこから生まれるのか
セキュリティの話では「リスク」という言葉がよく出てきます。日常会話の「危ない」と似ていますが、セキュリティの世界では、もう少しはっきりした考え方があります。
リスクは、次の3つの要素がそろったときに生まれると考えます。
| 要素 | 意味 | 家の防犯にたとえると |
|---|---|---|
| 資産 | 守るべき価値のあるもの | 家の中の現金や貴重品 |
| 脅威 | 資産に損害を与えるもの・出来事 | 空き巣 |
| 脆弱性 | 脅威につけこまれる弱点 | 鍵のかかっていない窓 |
空き巣（脅威）がいても、窓にしっかり鍵がかかっていれば（脆弱性がなければ）入れません。窓が開いていても、家に何もなければ（資産がなければ）盗まれるものはありません。3つがそろって初めて、被害が起きる可能性＝リスクになるわけです。
サイバーの世界に置き換えると、たとえば次のようになります。
- 資産：ネットバンキングのアカウント
- 脅威：フィッシング詐欺のグループ
- 脆弱性：ほかのサイトと同じパスワードを使い回している
3つの要素のうち、私たちが一番手を出しやすいのは「脆弱性」です。攻撃者（脅威）をなくすことはできませんし、資産を持たないわけにもいきません。だからこそ、更新をする、パスワードを使い回さない、といった「弱点をふさぐ」対策が基本になります。
3. リスクの大きさを見積もる
リスクは「ある・ない」ではなく、「大きい・小さい」で考えます。大きさを見積もるときは、次の2つの掛け合わせで考えるのが一般的です。
めったに起きないけれど起きたら大変なこと、よく起きるけれど影響は小さいこと。両方を同じ物差しで比べられるのが、この考え方の良いところです。
試しに、わが家にありそうなリスクを3段階（大・中・小）でざっくり評価してみました。
| 資産 | 想定される出来事 | 起こりやすさ | 影響 | リスク |
|---|---|---|---|---|
| メールアカウント | パスワードの使い回しから乗っ取られる | 中 | 大 | 高 |
| パソコン内の写真 | 故障や誤操作で消える | 中 | 大 | 高 |
| Wi-Fiルーター | 更新されず弱点を突かれ、踏み台にされる | 中 | 中 | 中 |
| 買い物メモのアプリ | 中身を誰かに見られる | 小 | 小 | 低 |
※評価は筆者の家庭を想定した一例です。家庭や組織によって結果は変わります。
こうして表にすると、「何から手をつけるべきか」の優先順位が見えてきます。すべてを完璧に守ることはできないので、リスクの大きいものから順に手を打つ。これが、限られた時間とお金で守るための考え方です。
4. リスクへの4つの対応
リスクを見つけたら、次はどう対応するかを決めます。対応は大きく4つに分けられます。
| 対応 | 考え方 | 身近な例 |
|---|---|---|
| 低減 | 起こりやすさや影響を小さくする | 多要素認証を設定する／バックアップを取る |
| 回避 | リスクのもとになる行為をやめる | 使っていないアカウントを削除する／怪しい格安機器を買わない |
| 移転 | 損害を他者と分け合う・任せる | 保険に入る／信頼できる専門サービスに任せる |
| 受容 | 小さなリスクと判断し、あえてそのままにする | 買い物メモのアプリには特別な対策をしない |
意外だったのは「受容」も立派な対応の一つだということです。小さなリスクまで全部つぶそうとすると、本当に大事なところに手が回らなくなります。「これは受け入れる」と意識して決めておくことも、リスク管理の一部なのですね。
ちなみに、IPAの「中小企業の情報セキュリティ対策ガイドライン」は2026年3月に第4.0版が公開され、その中の「情報セキュリティ5か条」には「バックアップを取ろう！」が加わって6か条になりました。バックアップは、可用性を守る「低減」の代表的な対策です。
攻撃の多くは、CIAのどれかを壊すことで利益を得ようとします。前回紹介したランサムウェアは、データを暗号化して使えなくする「可用性」への攻撃です。さらに、盗んだデータを「公開するぞ」と脅す二重恐喝は、「機密性」も同時に人質にとります。Webサイトの改ざんや、振込先のすり替えは「完全性」への攻撃です。攻撃者が「どこを壊せば相手が一番困るか」を考えているとわかると、守る側も「どこを守れば一番効くか」を考えやすくなります。
5. やってみよう：わが家の「情報資産リスト」
今回学んだことを、実際に手を動かして確かめてみましょう。紙やメモアプリで構いません。次の手順で、自分の「守るべきもの」を書き出してみてください。
- 資産を書き出す：メール、ネットバンキング、スマホの写真、SNS、ネット通販のアカウント、Wi-Fiルーターなど。
- それぞれに起きたら困ることを書く：見られたら困る（機密性）、書き換えられたら困る（完全性）、使えなくなったら困る（可用性）のどれかに分けてみます。
- 起こりやすさと影響を、大・中・小でつける：厳密でなくて大丈夫です。
- リスクの大きいものに印をつける：そこが、この連載の第2部で優先して対策するところです。
私も実際に書き出してみたところ、思っていた以上にアカウントの数が多く、中には何年も使っていないサービスもありました。使っていないアカウントは、それ自体が「回避」できるリスクです。
用語メモ
- CIA（情報セキュリティの3要素）
- 機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）の頭文字。
- 情報資産
- 守るべき価値のある情報や、それを扱う機器・サービス・アカウントなど。
- 脅威
- 資産に損害を与えるおそれのあるもの。攻撃者だけでなく、故障や災害、操作ミスも含みます。
- 脆弱性
- 脅威につけこまれる弱点。ソフトウェアの不具合だけでなく、使い回しのパスワードのような「運用の弱点」も含みます。
- リスク対応
- 見つけたリスクに対して、低減・回避・移転・受容のどれで対処するかを決めること。
まとめと、今日からできること
- 情報セキュリティで守るものは、機密性（見せない）・完全性（変えさせない）・可用性（止めない）の3つ。
- リスクは資産・脅威・脆弱性の3つがそろったときに生まれ、私たちが一番手を出しやすいのは脆弱性。
- リスクの大きさは起こりやすさ×影響で見積もり、大きいものから対策する。
- 対応には低減・回避・移転・受容の4つがあり、「受け入れる」も立派な選択肢。
- 自分の情報資産を5つ書き出す：まずはメールとネットバンキングから。
- 使っていないアカウントを1つ見つけて削除する：いちばん手軽な「回避」です。
- 大切なデータのバックアップ先を確認する：スマホの写真がどこにバックアップされているか、一度見てみましょう。
攻撃は一瞬で起きるのではなく、いくつかの段階を踏んで進みます。攻撃の流れを知り、「どこで止めれば被害を防げるのか」という防御側の視点を身につけます。
参考資料
- IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月公開）
https://www.ipa.go.jp/security/guide/sme/about.html - 総務省「国民のためのサイバーセキュリティサイト」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ - JIS Q 27000（ISO/IEC 27000）「情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語」
日本産業標準調査会（JISC）https://www.jisc.go.jp/
※本記事は2026年10月時点の情報をもとに作成しています。
