真正性・責任追跡性・否認防止・信頼性とは？

真正性・責任追跡性・否認防止・信頼性の意味

JIS Q 27000で情報セキュリティの3要素を補完する特性として挙げられる4つの概念。真正性は利用者や情報が本物であること、責任追跡性は操作の主体を後から追跡できること、否認防止は行った行為を後で否認できないようにすること、信頼性は意図した動作を一貫して行うことを指す。

真正性・責任追跡性・否認防止・信頼性の具体例

ログイン時の多要素認証は真正性の確保、操作ログの記録は責任追跡性、電子署名付きの契約書は否認防止、システムが仕様通り安定稼働することは信頼性の例である。

真正性・責任追跡性・否認防止・信頼性は試験でどう引っ掛けられる？

「責任追跡性」と「否認防止」は似ているが、前者は誰が行ったかを追える性質、後者はその行為自体を後から否定できなくする仕組みという違いがある。

真正性・責任追跡性・否認防止・信頼性と関連する用語

• 情報セキュリティの3要素（CIA）

真正性・責任追跡性・否認防止・信頼性が出た過去問

• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（平成23年）”におけるITの統制目標の一つである“信頼性”はどれか。

  正解：情報が，組織の意思・意図に沿って承認され，漏れなく正確に記録・処理されること

  要点：信頼性は承認どおり漏れなく正確に記録・処理されること

  財務報告に係る内部統制の実施基準では、ITの統制目標として準拠性・機密性・完全性（信頼性）・可用性・有効性などが挙げられる。このうち信頼性は、情報が組織の意思・意図に沿って承認され、漏れなく正確に記録・処理されている状態を指す。法令や社内規則への合致は準拠性、権限のない者から保護されることは機密性、必要なときに使えることは可用性であり、混同しやすい。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問36（IPA）

• システム監査において，電子文書の真正性の検証に電子証明書が利用できる公開鍵証明書取得日，電子署名生成日及び検証日の組合せはどれか。なお，公開鍵証明書の有効期間は…

  正解：公開鍵証明書取得日2015年4月1日，電子署名生成日2015年5月1日，検証日2018年12月1日

  要点：署名生成日と検証日の両方が証明書の有効期間内であること

  電子署名の検証に公開鍵証明書を使うには、署名を生成した時点でその証明書が有効期間内であり、かつ検証を行う時点でも有効期間内にある必要がある。有効期間を4年とすると、2015年4月1日取得の証明書は2019年3月末ごろまで有効なので、2015年5月1日の署名生成も2018年12月1日の検証も期間内に収まる。他の組合せは、検証日が期間を過ぎているか、署名生成日が証明書の取得より前になっていて成立しない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 送信者Aが文書ファイルと、その文書ファイルのディジタル署名を受信者Bに送信したとき、受信者Bができることはどれか。ここで、受信者Bは送信者Aの署名検証鍵Xを保有…

  正解：文書ファイルが改ざんされていないこと、及びディジタル署名が署名生成鍵Yによって生成されたことを確認できる。

  要点：署名検証でわかるのは改ざんの有無と署名者の正当性だけ

  受信者は署名検証鍵Xでディジタル署名を検証することで、文書が改ざんされていないこと（完全性）と、対応する署名生成鍵Yの持ち主が署名したこと（真正性）を確認できる。ただし検証結果は成否のいずれかであり、どこがどう変わったかまでは分からない。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において定義されている情報セキュリティの特性に関する記述のうち，否認防止の特性に関…

  正解：ある利用者があるシステムを利用したという事実が証明可能である。

  要点：否認防止は行為の事実と主体を後から否定させない特性

  否認防止は、ある行為や事象が確かに起きたこと、そしてそれを行った主体を、後から否定できないように証明できる特性である。ディジタル署名や改ざんできないログの保全によって確保される。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問11（IPA）

• システムの信頼性指標に関する記述として，適切なものはどれか。

  正解：MTTRは，システムの修復に費やす平均時間を示している。

  要点：MTBFは平均故障間隔、MTTRは平均修復時間

  MTTR（Mean Time To Repair）は平均修復時間であり、故障してから修復が完了するまでに要する時間の平均を表す保守性の指標である。稼働率はMTBF÷(MTBF＋MTTR)で求める。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問45（IPA）