CIAというと、米国の諜報機関である中央情報局（Central Intelligence Agency）や監査系の資格であるCertified Internal Auditorの略と思う方が多いと思いますが、セキュリティのCIAはConfidentiality（機密性） Integrity（完全性） Availability（可用性）という3つの言葉の頭文字をとったものを指します。これらの3つの言葉はまさにセキュリティの性質を正確に表しており、これを情報セキュリティの3大基本理念と言います。
Confidentiality（機密性）
セキュリティと言うと多くの方が機密性の事を考えると思います。機密性とは情報を保護するためにアクセスを許可されたユーザのみが情報にアクセスできるようにする事です。例えば、従業員の報酬やパフォーマンス情報は人事の限られた担当者のみアクセスする必要がありますので、Windowsのアクセス権やシステムのアクセス権の設定で、人事の限られた担当者のみ該当情報にアクセスできるようにコントロールします。
機密性を守る事で情報の漏洩を防止する事ができます。機密性を守るために以下のような技術を利用します。
- OSやアプリケーションレベルの認証とアクセス権
- データの暗号化
- ネットワーク分離
Integrity（完全性）
完全性とは、権限がないユーザによって情報を変更されない事や情報が間違っていない事を確実にする事を言います。また、情報だけではなく、システムやサービスの処理中にデータが正しく処理される事を確実にする事を指したりもします。
完全性を守る事で情報の改ざんの検知や防止を行う事ができます。完全性を検知・防止するために以下のような技術を利用します。
- データのハッシュ値・メッセージダイジェストによる改ざんチェック（Tripwireなど）
Availability（可用性）
情報は守るだけではなく、活用する事も考える必要があります。情報は活用されて初めて価値が生まれますし、活用できない情報であれば情報資産として保護する意味がありません。情報をいつでも活用できる状態にしておく事を可用性と言います。可用性の例として、システムの二重化があります。例えば重要なWebサービスがあったとしましょう。そのWebサービスの可用性を担保するために、Webサービス自体を二重化して、1つのWebサービスが障害で停止したとしても、もう1つのWebサービスが継続的にサービスを提供できるようにします。
可用性を担保するための技術・方法は以下の通りです。
- ネットワークの二重化
- データ（データベース）の二重化
- サービス・システムの二重化