機密性 | SG学習サイト

📌 結論から理解する

機密性＝「見せない」を技術と仕組みで担保する

機密性（Confidentiality）とは、許可を受けた者だけが情報にアクセスできる状態を維持することです。

「誰に見せるか」「誰に見せないか」を厳密に管理することが機密性の本質です。

機密性の確保手段として「暗号化」「アクセス制御」「認証」が3大解答候補です。

🔓

不正アクセス：認証を突破してシステムに侵入し情報を盗む

👤

内部不正：権限を持つ社員が情報を持ち出す・漏らす

📡

盗聴：ネットワーク上の通信内容を傍受する

💾

紛失・盗難：PCやUSBメモリを紛失・盗まれ情報が漏えい

🎣

ソーシャルエンジニアリング：人を騙して情報を引き出す

✅ 暗号化
データを読めない形に変換。通信暗号化（TLS）・保存データ暗号化（フルディスク暗号化）の両方が必要。 PCを盗まれても暗号化済みなら内容は読めない。

✅ アクセス制御（認証＋認可）
認証：本人確認（「誰であるか」を確認）
認可：アクセス権限の付与（「何をしてよいか」を決める）
この2段階を分けて理解することが重要。

✅ 最小権限の原則
業務に必要な最低限の権限のみを付与。不要な権限は与えない。
例：一般社員は自分の担当データのみ閲覧可能。他部署の給与データは見えない。

✅ 情報分類と管理
情報の重要度を「機密」「社外秘」「公開」などに分類し、それぞれに適した管理ルールを設ける。

誰にどのアクセスを許可するか、の設計方式には複数のモデルがあります。

モデル	説明	特徴
DAC 任意アクセス制御	情報の所有者が誰にアクセスを許可するか自分で決める	柔軟だが管理が複雑になりやすい
MAC 強制アクセス制御	システムが定めたルールで強制的にアクセスを制限	高セキュリティ。軍・政府システムで利用
RBAC 役割ベースアクセス制御	「営業部」「管理者」などの役割（ロール）単位で権限を管理	企業システムで最も普及。人事異動時の管理が容易

試験では「RBACを使うメリット」として「役割に紐づけるため人事異動時の権限変更が効率的」が頻出解答。

Need-to-Know原則＝「業務上知る必要がある情報だけにアクセスを許可する」という考え方。最小権限の原則の情報版です。

例：
・経理部員は財務データには「知る必要がある」 → アクセス可
・経理部員が人事の給与明細に「知る必要はない」 → アクセス不可
・システム管理者がDBの中身に「知る必要はない」 → 暗号化で保護

「認証＝ログイン」「認可＝権限管理」という理解が基本。「ログインできた＝すべての情報にアクセスできる」は誤り。ログイン後の権限（認可）で実際のアクセス範囲が決まります。

🧠 確認クイズ

Q1. RBACを採用するメリットとして最も適切なのは？

Q2. PCを紛失した際に情報漏えいを防ぐ最も効果的な技術的対策は？

Q3. Need-to-Know原則の説明として正しいのは？