「CIAの3観点、どう違う?」
「リスク対応の4区分が覚えられない」
守るべき観点は、たった3つです。機密性・完全性・可用性——この3つを頭文字でCIAと呼びます。ここから全部がつながります。
情報セキュリティマネジメントとは、組織が情報資産をCIAの3観点で守るため、リスクを見つけて対策を継続的に回し続ける仕組みです。守る対象・守る観点・回し方の3層で成り立ちます。
この記事では、まず守る3観点のCIAを押さえ、ISMSという枠組みとリスクアセスメントをたどり、リスク対応の4区分を「手をつける優先順位」で並べます。最後にPDCAと試験での問われ方まで、あなた向けに整理します。
1. 守るのは、たった3つ：CIA
情報セキュリティで守る観点は、機密性・完全性・可用性の3つに集約されます。守る対象は情報資産——顧客データ、設計図、業務システム、紙の書類まで含む、価値ある情報全般です。何を守るかを絞り、どの観点で守るかを3つに束ねる。この整理が、あらゆる対策の出発点になります。
| 3観点 | 意味 | 代表的な対策 |
|---|---|---|
| 機密性（Confidentiality） | 許可された人だけが見られる | アクセス権の制限、暗号化 |
| 完全性（Integrity） | 改ざんされず正しいまま保つ | ハッシュ照合、入力検証 |
| 可用性（Availability） | 必要なときに使える | 冗長化、バックアップ |
機密性は 暗号化とは と、可用性は大規模障害に備える BCP（事業継続計画）とは と密接につながります。3観点は単独ではなく、具体的な技術と手を取り合って効きます。
2. ISMSという枠組み（ISO/IEC 27001）
CIAで守る活動を、組織として仕組み化した枠組みがISMS（情報セキュリティマネジメントシステム）です。国際規格ISO/IEC 27001に沿って構築・運用します。個人の頑張りに頼らず、ルールと運用で守りを回すのがISMSの核心です。
ISMSは、情報資産の管理を組織全体の 内部統制とは の一部として位置づけ、経営層の関与を前提にします。担当者だけの取り組みでは、予算も権限も足りず回りません。トップが方針を示し、現場が運用し、結果を点検する。この縦のつながりがあってはじめて、ISMSは形だけで終わらずに機能します。
3. リスクアセスメント：どこから守るか決める
ISMSの中心となる活動がリスクアセスメントです。リスクの特定・分析・評価の順に進めます。「どの情報資産に、どんな脅威があり、どれくらいの影響が出るか」を見える化する工程だと押さえてください。
大事なのは、やみくもに対策を増やさない点です。人も予算も限られるので、影響の大きいリスクから先に手を打ちます。低減すべき代表的な脅威は マルウェアとは で、種別と感染経路を押さえておくと、対策の解像度が上がります。あなたが「何から守るか」を数値で並べられれば、対策は闇雲な出費ではなく、優先順位のある投資に変わります。
4. リスク対応4区分を、優先順位で選ぶ
評価したリスクには、次の4つの対応のいずれかを選びます。丸暗記ではなく、「影響がどれだけ大きいか」で手をつける順に並べると、意味がつながります。
- 回避: 影響が甚大なら、危険な業務やシステムそのものをやめて、リスクの発生源を断つ
- 低減: 認証強化や暗号化などの対策で、発生確率や影響を下げる（最も多く選ばれる）
- 移転: サイバー保険や外部委託で、リスクを他者と分担する
- 受容: 影響が小さいなら、あえて対策せず受け入れる
5. PDCAで回し続ける＋試験での問われ方
ISMSは、一度作って終わりではありません。PDCAサイクルで回し続けます。Plan（守る資産とリスク方針を決める）、Do（対策を現場で実施する）、Check（監査やインシデント対応の結果で機能を確かめる）、Act（結果を踏まえ見直す）。新しい脅威や業務の変化に合わせ、計画を更新し続けます。
ITパスポートのセキュリティ分野では、「CIAの3観点」「リスク対応4区分」「PDCA」の3点セットが中核です。仕上げに、手をつける順で整理し直しましょう。まずCIAで守る観点を決め、リスクアセスメントで優先順位を付け、影響の大きいものから4区分で対応し、PDCAで回し続ける。この一本の流れを言い切れれば、用語を並べ替えて問われても崩れません。あなたが持つべきは、バラバラの用語ではなく、この順序の地図です。
次のステップ
情報セキュリティマネジメントが試験全体のどこに位置づくかは、ITパスポートの試験範囲と勉強法ガイド で見取り図をつかめます。3系統のどこで問われるかを先に掴むと、学習の的が絞れます。
3点セットが定着したか試すなら、ITパスポート セキュリティの問題集 で、CIAやリスク対応の設問に当たっておくと安心です。