会社のセキュリティ教科書 第1部 1-1
機密性・完全性・可用性とは｜会社の情報の「守る3つの軸」
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 社長や社員に「なぜセキュリティにお金と手間をかけるのか」を一言で説明したいとき
- 取引先のチェックシートで「情報セキュリティ基本方針」を聞かれ、何を守るのかを書き出したいとき
- SGや支援士、Security+の勉強で、最初に出てくる3つの用語を実務の言葉でつかみたいとき
読み終えたあと、社内でこう言えます
「セキュリティにかける費用の意味を、3つの軸で説明できるようにしました」
結論：情報セキュリティとは、機密性・完全性・可用性の3つを保つことです。JIS Q 27000:2019もこの3つの維持を情報セキュリティの定義にしています。言い換えると「見せない」「書き換えさせない」「止めない」の3つです。どれか1つが崩れると、取引先の信用、売上の正しさ、毎日の業務のどれかが失われます。社内には「商売を止めず、信用を失わないための費用」と説明できます。
3つの軸を一言で言うと
3つの用語は、日本の規格JIS Q 27000:2019（国際規格ISO/IEC 27000:2018に対応）で定義されています。規格の言い回しは硬いので、ここでは会社の言葉に置き換えます。
| 軸 | 一言で | 崩れたときの例 |
|---|
| 機密性 | 許された人だけが見られること。「見せない」 | 顧客名簿を誤って社外に送った。共有リンクを誰でも見られる設定にしていた。 |
| 完全性 | 情報が正しく、欠けていないこと。「書き換えさせない」 | 請求書の振込先を書き換えられた。見積もりの元データが途中で消えていた。 |
| 可用性 | 使いたいときに使えること。「止めない」 | ランサムウェアでファイルが開けない。クラウドの障害でメールが使えない。 |
英語の頭文字を取って「CIA」と呼ぶこともあります。Confidentiality（機密性）、Integrity（完全性）、Availability（可用性）です。
規格ではどう書かれているか
JIS Q 27000:2019の定義を要約すると、次のとおりです。
- 機密性：許可されていない人やプログラムには、情報を使わせず、明かさない性質。
- 完全性：情報が正確で、欠けていない性質。
- 可用性：許可された人が求めたときに、アクセスして使える性質。
なお、もとの国際規格は2026年7月にISO/IEC 27000:2026へ改訂されました。この節は、日本で使われているJIS Q 27000:2019の定義に沿って説明しています。
どの定義にも「許可された（認可された）」という考え方が入っています。つまり、誰に何を許すかを決めることが出発点です。決めていなければ、守れているかどうかも判断できません。
なぜお金と手間をかけるのか：3つが崩れると商売が止まる
社長に「なぜセキュリティに費用がいるのか」と聞かれたら、3つの軸を会社の損失に置き換えて答えると伝わります。
| 崩れる軸 | 会社が失うもの |
|---|
| 機密性 | 取引先と顧客の信用。お詫びと報告の手間。取引停止のおそれ。 |
| 完全性 | お金と判断の正しさ。誤った振込や、誤った数字での受発注。 |
| 可用性 | 毎日の売上。止まっているあいだの出荷や請求、問い合わせ対応。 |
IPAの「情報セキュリティ10大脅威 2026」（2026年1月公表）の組織編では、1位がランサムウェアによる攻撃でした。ランサムウェアはファイルを使えなくする（可用性）うえに、盗んだ情報を公開すると脅す（機密性）手口が知られています。1つの事故で2つ以上の軸が同時に崩れることも多いのです。
たとえば社員20人の製造業では（架空の例）
部品を作る社員20人の会社を考えます。情報システムの担当はおらず、総務の1人が兼務しています。この会社で3つの軸が崩れると、次のようになります。
- 機密性：取引先から預かった図面が、私物のクラウドに置かれたまま流出する。取引先から説明を求められ、次の発注が止まる。
- 完全性：仕入先を装ったメールで振込先が書き換えられ、代金を別の口座に払ってしまう。
- 可用性：生産管理のファイルサーバーが暗号化され、3日間、出荷の段取りが組めない。
どれも「情報が漏れた」だけの話ではありません。信用・お金・時間という、会社にとって大事なものに直結します。セキュリティの費用は、これらを守るための費用だと説明できます。
3つはぶつかることがある：ちょうどよい所を決める
3つの軸は、片方を強めるともう片方が弱まることがあります。たとえば、ファイルを厳しく鍵をかけて社長しか開けないようにすると、機密性は上がります。しかし社長が不在の日は誰も開けず、可用性は下がります。
| 強めると | 弱まりやすいもの |
|---|
| 機密性（権限を絞る、暗号化する） | 可用性（必要な人がすぐ使えない、鍵をなくすと開けない） |
| 可用性（誰でもどこからでも使える） | 機密性（見せてはいけない人にも見える） |
| 完全性（承認を何段階も入れる） | 可用性（処理が遅れ、締め切りに間に合わない） |
大事なのは「全部を最大にする」ことではありません。情報ごとに、どの軸をどこまで守るかを決めることです。顧客名簿は機密性を重く、受注システムは可用性を重く、請求データは完全性を重く、というように分けます。
よくある対策を3つの軸に振り分ける
対策を軸ごとに並べると、どこが手薄かが見えます。次の表は、中小企業でよく使われる対策の例です。
| 対策 | 主に守る軸 |
|---|
| アクセス権を必要な人に限る、多要素認証 | 機密性（完全性にも効く） |
| パソコンやスマホの暗号化、メールの誤送信対策 | 機密性 |
| 振込先変更の電話以外での二重確認、変更履歴の保存 | 完全性 |
| OSやソフトの更新、ウイルス対策 | 3つすべて |
| バックアップを別の場所に保管し、戻せるか試す | 可用性（完全性にも効く） |
| 障害や事故のときの連絡先と代わりの手段を決める | 可用性 |
表の「振込先変更の確認」は、メール以外の手段で確かめる仕組みのことです。手口は振込先変更の詐欺の手引きに、バックアップの取り方はバックアップの手引きにまとめています。
社内で説明するときの一言
3つの軸は、相手に合わせて言い方を変えると伝わりやすくなります。そのまま使える言い方の例です。
- 社長へ：「セキュリティの費用は、取引先の信用、お金の正しさ、毎日の出荷を守るための保険と設備です。」
- 社員へ：「見せない、書き換えさせない、止めない。この3つを守るために、ルールと仕組みがあります。」
- 取引先へ：「お預かりした情報は、必要な担当者だけが扱い、変更の記録を残し、バックアップから戻せる状態で管理しています。」
取引先への言い方は、3つの軸をそれぞれ1つずつ説明しています。実態と違う内容を書かないよう、自社でできていることだけを書いてください。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| 情報セキュリティ基本方針を定め、従業員に周知していますか。 | はい。機密性・完全性・可用性を守ることを方針に書き、入社時と年1回、全員に説明しています。 |
| 取り扱う情報を重要度で分類していますか。 | はい。顧客情報と図面を「社外秘」とし、閲覧できる人を部署ごとに限っています。 |
| 重要なデータのバックアップを取得していますか。 | はい。毎日自動で取り、社内ネットワークと別の場所に保管しています。半年に1回、戻せるかを試しています。 |
| システム停止時の業務継続の手順はありますか。 | いいえ。現在は未整備で、〇月までに代わりの連絡手段と復旧の順番を文書にする予定です。 |
「いいえ」の場合も、代わりの対策と予定を添えると誠実な回答になります。書き方はチェックシートの回答の書き方を参考にしてください。
試験ではここが問われる
SG・SPREAD・支援士・Security+ 1・CISSP 1
- 情報セキュリティの定義：JIS Q 27000では「機密性・完全性・可用性を維持すること」。真正性・責任追跡性・否認防止・信頼性は、注記で「含めることもある」とされる特性です（次の節 1-2）。
- 出来事と軸の対応：盗み見・漏えいは機密性、改ざん・誤入力は完全性、停止・DDoS攻撃・データ消失は可用性。1つの事故が複数の軸にまたがることもあります。
- 紛らわしい対：完全性は「正しく欠けていないこと」で、「使えること」（可用性）とは別です。データが消えて使えない場合は、可用性と完全性の両方が損なわれたと考えられます。
- 3つは両立しにくいことがある：機密性と可用性のバランスを取る考え方が問われます。
- 英語：Confidentiality・Integrity・Availability（CIA）。Security+やCISSPでは英語のまま出ます。
確認問題
問1 JIS Q 27000:2019における「完全性」の説明として、最も適切なものはどれですか。
- ア 許可された人が、必要なときに情報を使える性質
- イ 情報が正確で、欠けていない性質
- ウ 許可されていない人に情報を明かさない性質
- エ 誰が操作したかを後からたどれる性質
答えと解説
正解：イ 完全性は「正確さと完全さ」です。アは可用性、ウは機密性の説明です。エは責任追跡性の考え方で、3つの軸とは別の特性です。
問2 社員15人の設計事務所（架空）で、ファイルサーバーがランサムウェアに暗号化され、2日間図面を開けませんでした。データの持ち出しは確認されていません。この時点で最も直接に損なわれた軸はどれですか。
- ア 機密性
- イ 真正性
- ウ 可用性
- エ 否認防止
答えと解説
正解：ウ 図面を使いたいときに使えなかったので、可用性が損なわれています。持ち出しが確認されれば機密性も問題になりますが、問題文では確認されていません。イとエは3つの軸以外の特性です。
問3 顧客名簿のファイルを、社長1人だけが開けるパスワードで保護しました。この対策について述べた文として、最も適切なものはどれですか。
- ア 機密性も可用性も同時に高まる
- イ 完全性だけが高まり、ほかは変わらない
- ウ 機密性は高まるが、社長が不在のときに可用性が下がるおそれがある
- エ 3つの軸のどれにも影響しない
答えと解説
正解：ウ 見られる人を絞ると機密性は上がりますが、必要な人が使えない場面が生まれ、可用性が下がることがあります。3つの軸は両立しにくい場合があり、情報ごとにバランスを決めます。
よくある質問
小さな会社でも、3つすべてを守る必要がありますか？
はい。ただし同じ強さで守る必要はありません。まず自社の大事な情報を3〜5個書き出し、それぞれ「見せない」「書き換えさせない」「止めない」のどれが一番困るかを決めます。一番困る軸から手をつけると、費用を絞れます。
クラウドを使っていれば、可用性は任せてよいですか？
クラウドの
事業者は設備の可用性を高めていますが、障害がゼロになるわけではありません。また、社員が誤って消したデータや、乗っ取られたアカウントで消されたデータは、自社で戻す準備がいります。止まったときの代わりの手段はクラウドが止まったときの手引きにまとめています。3つ以外の特性は覚えなくてよいですか？
取引先のチェックシートでは、操作の記録や改ざん防止など、ほかの特性に当たる設問もよく出ます。真正性・責任追跡性・否認防止・信頼性は、次の節（1-2）で扱います。
参考にした資料
- 日本産業標準調査会（JISC）「JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語」（2019年）※JIS検索から閲覧
- ISO「ISO/IEC 27000:2018 Information technology — Security techniques — Information security management systems — Overview and vocabulary」（2018年2月。2026年7月に改訂版へ置き換え）
- IPA「情報セキュリティ10大脅威 2026」（2026年1月）
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
- IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.0（2023年12月）