情報セキュリティにおけるセキュリティサービスとは？主要な5つのサービスを徹底解説

情報セキュリティにおけるセキュリティサービスとは

情報セキュリティの分野では、送信されるデータやシステムを様々な脅威から守るために、複数の「セキュリティサービス」が定義されています。これらのサービスは、OSI参照モデルのセキュリティアーキテクチャ（X.800）などでも標準化されており、それぞれ異なる目的と役割を持っています。

本記事では、代表的な5つのセキュリティサービスについて、その概要と分類をわかりやすく解説します。

1. メッセージの機密性（Confidentiality）

機密性とは、メッセージの内容を作成・解読できるのは、送信者と意図された受信者のみであるべきだという原則です。このサービスにより、伝送中のデータは受動的な攻撃（盗聴など）から保護されます。

機密性は、伝送する情報の内容に応じて複数のレベルで適用することができます。主な種類は以下の通りです。

• 接続機密性（Connection Confidentiality）：ある接続上のすべてのユーザー情報を保護します。
• コネクションレス機密性（Connectionless Confidentiality）：個々のデータブロック内のすべてのユーザーデータを保護します。
• トラフィックフロー機密性（Traffic-flow Confidentiality）：トラフィックフローの観察から導き出せる情報（通信量や通信パターンなど）を保護します。

2. 認証（Authentication）

認証サービスは、接続やメッセージが本物であることを保証する役割を担います。警告信号やアラームのような単一のメッセージの場合、認証サービスの機能は、そのメッセージが「名乗っている送信元」から実際に送られたものであることを受信者に確信させることです。

これにより、なりすましによる不正な通信を防ぐことができます。

3. 否認防止（Non-repudiation）

否認防止とは、メッセージの送信者または受信者が、通信の事実を後から否定することを防ぐサービスです。

具体的には、メッセージが送信された際、受信者は「主張された送信者が実際にそのメッセージを送ったこと」を検証できます。同様に、メッセージを受信した際には、送信者は「主張された受信者が実際にそのメッセージを受け取ったこと」を証明できます。

電子契約や取引記録など、後日のトラブルを防ぐために重要な仕組みです。

4. アクセス制御（Access Control）

アクセス制御とは、通信リンクを通じて情報やシステムにアクセスできる相手を決定する原則です。このサービスにより、リソースの不正利用を未然に防ぐことができます。

適切なアクセス制御を実装することで、権限のないユーザーによるデータ閲覧やシステム操作を阻止し、組織の情報資産を保護します。

5. データ完全性（Data Integrity）

データ完全性とは、あらゆる主体によるデータの改ざん、挿入、削除、再生（リプレイ）から情報を保護するためのサービスです。メッセージのストリーム全体、個々のメッセージ、あるいはメッセージ内の選択された部分に対して適用できます。

データ完全性には、以下のような種類があります。

• 回復機能付き接続完全性（Connection Integrity with Recovery）：接続上のすべてのユーザー情報の完全性を保証し、データシーケンス全体にわたる改ざん・挿入・削除・再生を検出するとともに、回復処理も試みます。
• 回復機能なし接続完全性（Connection Integrity without Recovery）：改ざんなどの検出のみを行い、回復処理は行いません。
• 選択フィールド接続完全性（Selective-field Connection Integrity）：接続上で共有されるデータブロックのユーザー情報の中から、選択されたフィールドについて、改ざん・挿入・削除・再生が行われたかどうかを判定します。
• コネクションレス完全性（Connectionless Integrity）：個々のコネクションレス型データブロックの完全性を保証し、データの改ざんを検出します。限定的な形式ではありますが、再生攻撃の検出も提供できます。
• 選択フィールドコネクションレス完全性（Selective-field Connectionless Integrity）：個々のコネクションレス型データブロック内の選択されたフィールドの完全性を保証し、それらの領域が変更されたかどうかを判定します。

まとめ

セキュリティサービスは、機密性・認証・否認防止・アクセス制御・データ完全性という5つの柱で構成されています。それぞれのサービスは単独ではなく、組み合わせて運用することで、より強固な情報セキュリティ体制を構築できます。自組織のシステムや通信環境にどのサービスが必要かを見極め、適切に実装することが重要です。