情報セキュリティサービスとは？押さえておきたい5つの主要サービス

情報セキュリティには、システムやデータをさまざまな脅威から守るために、複数の重要なサービスが存在します。本記事では、情報セキュリティを構成する5つの主要なサービスについて、それぞれの役割と特徴をわかりやすく解説します。

1. データの機密性（Confidentiality）

機密性とは、伝送される情報を受動的な攻撃から保護することを指します。情報伝送の内容に関しては、複数のレベルで保護を実現できます。

最も広範なサービスでは、2者の間である期間内に送受信されるすべてのユーザーデータを保護します。例えば、2つのシステム間にTCP接続が確立された場合、この広範な保護により、そのTCP接続上で伝送されるあらゆるユーザーデータの漏えいを防ぐことができます。

また、改ざん（挿入・削除・リプレイ）を検出し、復旧を試みることも可能です。より限定的な形態として、個別のメッセージ単位、あるいはメッセージ内の特定フィールドのみを保護する方法もあります。ただし、こうした細分化されたアプローチは、広範な方式に比べて有効性が低く、実装が複雑でコストも高くなりやすい点に注意が必要です。

機密性のもう一つの要素は、トラフィックフローの解析からの防御です。これには、攻撃者が通信の発信元・宛先、頻度、通信量、その他のトラフィック特性を把握できないようにすることが求められます。

2. データの完全性（Integrity）

完全性は、メッセージのストリーム全体、単一のメッセージ、あるいはメッセージ内の選択されたフィールドに対して適用できます。コネクション型（接続指向）の完全性サービス、つまりメッセージの流れを扱うサービスでは、メッセージが重複・挿入・改ざん・並べ替え・リプレイなしに、送信された通りの状態で受信されることを保証します。

したがって、コネクション型の完全性サービスは、メッセージフローの改ざんとサービス拒否（DoS）の両方に対処します。一方、コネクションレス型（非接続型）の完全性サービスは、上位の文脈とは独立して個々のメッセージを扱うものであり、一般的にはメッセージの改ざんに対する防御を提供します。

3. 認証（Authentication）

認証とは、ユーザーが自称する通り本人であることを保証する仕組みです。また、可用性（Availability）とは、認可された利用者が必要なリソースに確実にアクセスできる状態を意味し、ソーシャルエンジニアリングなどを悪用したサービス拒否攻撃は、この可用性を狙った攻撃に該当します。

情報セキュリティ専門家が特に重視するのは、アクセス制御と否認防止です。認可（Authorization）とは、許可されたユーザーとそうでないユーザーを区別し、それぞれに適切なアクセス権限レベルを与えることを指します。

さらに真正性（Authenticity）は、機密性の高い領域が確実に保護され、正常に機能していることを確認するために、システム上で継続的に実施される検証プロセスを表しています。

4. アクセス制御（Access Control）

情報セキュリティの文脈におけるアクセス制御とは、通信回線を経由してホストシステムやアプリケーションへアクセスする行為を監視・制御する能力です。

これを実現するには、アクセスを試みるすべてのエンティティ（利用者やプロセス）がまず識別・認証される必要があります。それによって、個人ごとに適切なアクセス権限を割り当てることが可能になります。

5. 否認防止（Non-repudiation）

否認防止は、メッセージの送信者または受信者が、送信や受信の事実を否認することを防ぐ仕組みです。具体的には、メッセージが送信された際、受信者は「主張された送信者が実際にそのメッセージを送ったこと」を証明できます。同様に、メッセージが受信された際には、送信者側が「主張された受信者が実際にそのメッセージを受け取ったこと」を証明できます。

このように否認防止は、電子取引や契約などにおいて、当事者間のトラブルを防ぎ、通信の信頼性を高めるために不可欠なサービスです。