情報セキュリティの3要素（CIA）とは？機密性・完全性・可用性をわかりやすく解説

前回の記事で「情報セキュリティとは何か？」をざっくり説明しましたが、
そこで必ず出てくるのが 「CIAの3要素」 という考え方です。

「CIAって、あの諜報機関？」
「アルファベットで出てきた時点で難しそう…」

そう感じた方も安心してください。
このCIAは、情報セキュリティを理解するための“超基本ルール”のようなものです。

この記事では、
機密性・完全性・可用性 の3つについて、
できるだけ身近な例を使って、わかりやすく解説していきます。

この記事は、IT初心者向けに情報セキュリティの基礎を解説するシリーズの第2回です。
▶ 情報セキュリティ基礎シリーズ一覧はこちら

情報セキュリティの3要素「CIA」とは？
機密性（Confidentiality）
完全性（Integrity）
可用性（Availability）
CIAは優先度のバランスが重要
まとめ
参考文献

情報セキュリティの3要素「CIA」とは？

情報セキュリティを考えるうえで基本となる考え方が、CIA（シー・アイ・エー） と呼ばれる3つの要素です。CIAは、情報を安全に管理し、正しく利用し続けるための重要な観点を示しています。

Cは機密性（Confidentiality）で、許可された人だけが情報にアクセスできる状態を保つことを指し、個人情報や機密資料の漏えい防止が目的です。

Iは完全性（Integrity）で、情報が正確で改ざんされていない状態を維持することを意味し、誤った情報による判断ミスや不正を防ぎます。

Aは可用性（Availability）で、必要なときに情報やシステムを利用できる状態を確保することを指し、障害や攻撃による業務停止を防ぐ役割があります。

これら3要素はどれか一つだけを重視すればよいものではなく、扱う情報資産の重要度や利用状況に応じてバランスよく守ることが、適切な情報セキュリティ対策の基本となります。

機密性（Confidentiality）

機密性 とは、「許可された者だけが情報にアクセスできる状態を確保すること」を意味します。
情報セキュリティにおいて最もイメージしやすく、多くの人が真っ先に思い浮かべるのが、この “情報漏えいの防止” です。

個人情報や社内資料、業務データなどは、必要な人だけが必要な範囲で利用できる状態でなければなりません。
もし本来アクセスできない人が情報を閲覧できてしまうと、組織の信用低下や法令違反、金銭的損失といった深刻な問題につながります。

機密性が保たれていない例

機密性が損なわれると、次のような事態が発生します。

顧客データや個人情報が外部に流出する
外部の第三者が社内資料や内部情報を閲覧できてしまう
パスワードが破られ、第三者による不正ログインが行われる

これらはサイバー攻撃だけでなく、誤送信・置き忘れ・設定ミス といった人為的なミスによっても起こる点が特徴です。

機密性を守るための主な対策

機密性を確保するためには、技術面と運用面の両方から対策を講じる必要があります。

パスワード管理・多要素認証（MFA）
→ IDとパスワードだけに頼らず、ワンタイムパスワードなどを組み合わせる
アクセス権限の管理
→ 業務に必要な人だけが、必要な情報にアクセスできるよう制限する
データの暗号化
→ 万一情報が外部に漏れても、内容を読み取られないようにする
USBメモリや外部媒体の利用制限
→ 紛失や持ち出しによる情報漏えいを防止する

これらを適切に組み合わせることで、機密性は大きく向上します。

機密性は情報セキュリティの出発点

情報セキュリティというと難しく感じがちですが、「情報を守る＝機密性を守る」 と言っても過言ではありません。

まずは、「どの情報が重要なのか」「誰がその情報にアクセスすべきなのか」を整理することが、すべてのセキュリティ対策の第一歩となります。

完全性（Integrity）

完全性 とは、「情報が正確であり、破損や改ざんがされていない状態を維持すること」を意味します。
どれだけ厳重に情報を守っていたとしても、その内容が勝手に書き換えられてしまっては、正しい判断や業務は行えません。

情報セキュリティというと「外部に漏れないこと」に目が向きがちですが、“正しい情報であり続けること” も同じくらい重要な要素です。

完全性が保たれていない例

完全性が損なわれると、次のような問題が発生します。

Webサイトが改ざんされ、偽の情報や不正なリンクが掲載される
データベース内の数値が不正に変更され、売上や成績などが正しくなくなる
書類やファイルが、意図しないタイミングや操作によって書き換えられてしまう

これらは外部からの攻撃だけでなく、
操作ミス、権限設定の誤り、内部不正 などによっても発生します。

完全性を守るための主な対策

完全性を確保するためには、「誰が・いつ・何を変更したのか」を把握できる状態を作ることが重要です。

デジタル署名・ハッシュ値の利用
→ データが改ざんされていないことを検証できる
バージョン管理（Gitなど）
→ 変更履歴を残し、誤った変更があっても元に戻せる
入力内容のチェックや制限
→ 異常な値や不正な入力を防ぐ
不正操作の監査ログの取得
→ 不正や事故が発生した際に原因を追跡できる

これらの対策により、改ざんの抑止と早期発見が可能になります。

完全性は「信頼できる情報」を支える土台

完全性は目に見えにくく、機密性や可用性に比べて地味に感じられがちですが、誤情報やデマの拡散を防ぎ、情報の信頼性を支える基盤 となる重要な要素です。

「その情報は正しいのか」「誰かに書き換えられていないか」を担保できてこそ、情報は安心して利用できるものになります。

可用性（Availability）

可用性 とは、「許可された者が、必要なときに情報や関連する資産を利用できる状態を維持すること」を意味します。
情報セキュリティというと、「外部から守る」「アクセスを制限する」といったイメージを持たれがちですが、必要な情報にアクセスできない状態も、立派なセキュリティ事故 に該当します。

どれだけ機密性や完全性が保たれていても、システムが停止して使えなければ、業務やサービスは成り立ちません。
そのため可用性は、日常の業務継続や事業の安定運営を支える重要な要素 です。

可用性が保たれていない例

可用性が損なわれると、次のような問題が発生します。

システム障害やメンテナンス不備により、ログインや操作ができなくなる
サーバーがサイバー攻撃を受け、Webサービスが長時間停止する
データ消失や復旧不能により、業務そのものがストップしてしまう

これらは攻撃だけでなく、機器故障、設定ミス、自然災害、停電 など、さまざまな要因で起こります。

可用性を守るための主な対策

可用性を確保するためには、「止まらない仕組み」と「復旧できる仕組み」の両方が重要です。

冗長化（サーバーや回線の二重化）
→ 一方が故障しても、もう一方で処理を継続できる
DDoS攻撃対策
→ 大量アクセスによるサービス停止を防ぐ
UPS（無停電電源装置）や電源設備の整備
→ 停電時でも安全にシステムを維持・停止できる
定期的なバックアップと復旧訓練
→ 障害発生時に迅速に業務を再開できる

これらの対策により、障害発生時の影響を最小限に抑えることができます。

可用性は「サービスを継続させる力」

可用性は、
「どれだけ止まらずに提供し続けられるか」
「止まっても、どれだけ早く復旧できるか」
を支える考え方です。

機密性・完全性と比べると後回しにされがちですが、可用性は 信頼されるサービスや業務を継続するための土台 と言えます。

CIAは優先度のバランスが重要

情報セキュリティでは、CIAの3要素（機密性・完全性・可用性）のどれを、どの程度重視するかというバランスが重要になります。
3要素はそれぞれ独立しているわけではなく、互いに影響し合う トレードオフの関係 にあります。

CIAがトレードオフになる理由

CIAがトレードオフになるのは、一つの要素を強化しようとすると、別の要素に負担や制約が生じやすいためです。機密性を高めると、認証や制限が増えることで利用のしやすさ、つまり可用性が下がりやすくなります。また、完全性を厳密に確保しようとすると、検証や確認処理が増え、結果として情報へのアクセスに時間がかかるようになります。さらに、可用性を高めるためにシステムを冗長化すると、管理すべき対象やデータの配置先が増え、その分だけ攻撃対象が広がる可能性も生じます。

トレードオフ関係の具体例

例えば、機密性を重視してログイン認証のパスワードを長く複雑なものにした場合、不正アクセスのリスクは低下しますが、利用者にとっては管理の手間が増え、ログインの利便性が下がることで可用性が低下します。

また、完全性を重視して署名検証や厳密なチェック処理を導入すると、情報の改ざんを防ぐ効果は高まりますが、その分データへのアクセスや処理に時間がかかり、業務のスピードに影響が出ることがあります。

一方で、可用性を重視してシステムやサーバーを冗長化すると、障害時でもサービスを継続できるようになりますが、データの保管場所や管理範囲が広がり、結果として機密性への配慮がより難しくなる場合があります。

場面によって異なる優先度

CIAの優先度は、利用シーンによって変わります。

医療現場
医療現場では、電子カルテなどの患者情報に24時間いつでもアクセスできることが求められるため、緊急時対応の観点から可用性が特に重視されます。　

以下の記事では、2022年10月31日に大阪市住吉区の大阪急性期・総合医療センターがランサムウェアによるサイバー攻撃を受け、電子カルテなど基幹情報システムが停止した事例を紹介しています。その影響で緊急以外の手術や外来診療が実施できなくなり、最大約1,000人の患者に影響が出ました。サーバーには身代金を要求する文言が残され、当初は復旧の見通しが立っていませんでした。本件は、医療機関の情報システム停止が診療継続を困難にし、機密性と可用性の両面に重大な影響を及ぼす代表的な事例です。

大阪の医療センターにサイバー攻撃　手術延期、外来診療できない状態：朝日新聞

大阪急性期・総合医療センター（大阪市住吉区）は31日、ランサムウェア（身代金ウイルス）によるサイバー攻撃を受けたと発表した。電子カルテのシステムで障害が起き、緊急以外の手術や外来診療など通常の診療が…

企業・研究機関
企業や研究機関では、顧客情報や研究データ、設計資料といった重要情報を扱うため、情報漏えいや改ざんを防ぐ目的で機密性や完全性が優先されるケースが多くなります。

以下の記事では、2025年11月4日、日本経済新聞社は、社内で利用していたSlackに外部から不正ログインが発生し、最大約1万7,368人分の社員・取引先の氏名やメールアドレス、チャット履歴などが流出した可能性があると発表しました。原因は、社員の私物PCがウイルスに感染し、認証情報が盗まれたこととみられています。取材・報道に関する機密情報の漏えいは確認されていません。同社は初期対応としてパスワード変更を行い、個人情報保護委員会への任意報告と再発防止策の強化を進めています。本件は、機密性だけでなく完全性のリスクも示す事例です。