情報資産の重要度を「秘密かどうか」だけで決めると、完全性や可用性の重要な影響を見落とします。
公開して差し支えない情報でも、改ざんされれば事故につながり、必要なときに利用できなければ業務が停止する場合があります。秘密ではないことと、重要ではないことは別です。
この記事では、情報資産の重要度を機密性・完全性・可用性から評価し、組織の分類基準と取扱いルールへ結び付ける考え方を整理します。
読み終えるころには、事例の情報についてCIAのどれが損なわれた場合の話かを切り分けて重要度を判断でき、区分名を付けただけで管理が終わっていないかを確認できるようになります。
先に結論：重要度・機密区分・取扱いルールを分ける
| 整理するもの | 確認すること | 例 |
|---|---|---|
| 重要度評価 | 漏えい・改ざん・利用不能になった場合の影響 | CIAを高・中・低などで評価 |
| 機密区分 | 主に開示範囲や漏えい時の影響をどう区分するか | 公開、社内限り、機密など |
| 取扱いルール | 区分した情報を実際にどう扱うか | 表示、保存、共有、持出し、廃棄など |
組織によっては、これらを一つの分類体系にまとめて運用します。その場合でも、機密性だけで完全性と可用性まで評価したことにはなりません。
1．重要度はCIAの三つの側面から確認する
現行SGシラバスVer.4.1では、部門で利用する情報資産について、機密性・完全性・可用性の三つの側面から価値（重要度）を明確にする技能が求められています。
| 側面 | 確認すること | 重要度が高くなりやすい例 |
|---|---|---|
| 機密性 | 権限のない者へ漏れた場合の影響 | 顧客情報、人事情報、認証情報、未公表の計画 |
| 完全性 | 誤りや不正な変更があった場合の影響 | 生産指示、会計データ、商品価格、システム設定 |
| 可用性 | 必要なときに利用できない場合の影響 | 受注データ、災害時の連絡先、復旧手順 |
三つが同じ評価になるとは限りません。機密性は低くても、完全性や可用性が高い情報があります。
「漏れたら」「変わったら」「使えなかったら」を一つずつ確認します。
2．「社外秘ではないから重要度が低い」は誤り
工場の生産指示データを例に考えます。
外部へ知られても重大な損害が生じないなら、機密性は高くないかもしれません。しかし、内容を改ざんされれば誤った数量や仕様で生産するおそれがあり、利用できなくなれば生産が止まります。
この場合、完全性と可用性は高く評価する必要があります。
同じ考え方は、公開Webサイトの情報、災害時の連絡先、復旧手順、監査ログなどにも当てはまります。公開情報でも、改ざんや利用不能による影響が大きければ重要です。
利用者の人数、紙か電子かといった条件だけで重要度を決めず、CIAそれぞれが損なわれた場合の業務影響を確認します。
3．評価基準は組織でそろえる
各部門が独自の感覚で評価すると、似た情報に異なる評価が付くおそれがあります。
組織として評価基準を定め、例えば次の影響を確認します。
- 法令・契約への違反
- 顧客、取引先、従業員への影響
- 人の安全への影響
- 金銭的損失
- 業務停止の範囲・時間
- 社会的信用の低下
- 復旧に必要な時間・費用
「高・中・低」で評価する場合も、「影響が大きい」だけでなく、「主要業務が長時間停止する」など判断基準を具体化します。
最終的な重要度のまとめ方は組織の基準に従う
CIAを評価した後、全体の重要度をどう表すかは、組織が定めた方法に従います。
IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の資産ベースのリスク分析例では、原則としてCIAの評価値の最大値を重要度としています。
ただし同じ例では、事故によって法的責任を問われる、事業・顧客・個人へ大きな影響がある、個人情報を含むなど一定の場合は、算定結果にかかわらず重要度を最上位の「3」とします。
これはIPAの同ガイドラインが採用する評価方法です。全ての組織で「CIAの最大値だけ」を共通の公式計算式として使うという意味ではありません。 試験問題で評価方法が示されている場合は、その条件に従います。
4．機密区分は開示範囲と取扱いを整理する
機密区分は、主に誰まで情報を開示してよいか、漏えい時の影響をどの程度とするかを区分するために使われます。
例えば、
| 区分例 | 基本的な考え方 |
|---|---|
| 公開 | 組織外へ公表してよい |
| 社内限り | 原則として組織内部で利用する |
| 機密 | 業務上必要な限られた者だけが利用する |
| 極秘 | 特に限定された者だけが利用する |
といった区分が考えられます。
これは一例です。全ての組織が同じ名称・同じ段階数を使うわけではありません。
なお、「機密区分」という語はSGシラバスVer.4.1の当該用語例には明示されていませんが、令和8年度 情報セキュリティマネジメント試験 科目A 問15では「文書の機密区分」として、極秘・関係者外秘・社外秘・公開の区分と、ラベリング・保管・廃棄のルールが出題されています。
したがって、機密区分と取扱いルールの対応は、実際のSG対策上も重要です。
5．区分は取扱いルールとセットにする
区分名を付けるだけでは、利用者が具体的にどう扱うべきか判断できません。
区分ごとに、例えば次を定めます。
- 区分の表示・ラベリング
- 保存場所
- 閲覧・編集できる者
- 送信・共有の条件
- 印刷・複製の条件
- 社外持出しの承認
- 委託先へ提供する条件
- 保存期間
- 返却・廃棄の方法
具体的な暗号化方式やアクセス制御の設定は、利用環境やリスクに応じて決めます。本記事では、分類結果が実際の取扱いへ結び付いていることを押さえます。
6．重要度と区分は変化に合わせて見直す
情報の価値や開示範囲は、時間や利用状況によって変わります。
例えば次のような場合です。
- 未公表資料を正式に公開した
- プロジェクト・契約が終了した
- 利用目的・利用部門・提供先が変わった
- 法令・契約上の条件が変わった
- 業務上の重要性が変化した
公開後も最上位区分のままにすれば過剰管理になる場合があり、反対に重要性が高まった情報を低い区分のままにすると保護不足になります。
見直しの時期、変更権限、承認方法などを組織で定めます。
7．科目Bでの使われ方
科目Bでは、分類表の様式ではなく、機密性だけで重要度を決めていないかを判断する材料として使われます。
| 事例文の合図 | 確認すること |
|---|---|
| 社外秘ではないので重要度は低いと判断した | 完全性・可用性の影響も評価したか |
| 部門ごとに独自の感覚で重要度を付けている | 組織共通の基準で評価しているか |
| 区分のラベルを貼ったので管理は完了した | 保存・共有・持出し・廃棄のルールと結び付いているか |
| 公開した後も最上位の区分のままにしている | 状態の変化に応じて見直す仕組みがあるか |
担当者としては、CIAのどれが損なわれた場合の話かを切り分けてから重要度を判断します。区分の変更が必要だと気づいた場合は、独断で下げず、組織が定めた変更権限と承認方法に従って申請します。委託先へ提供する情報の区分に関わる場合は、契約担当者と協力して条件を確認します。
次の順で確認します。
- 漏えいした場合の影響を確認する
→ 機密性
- 改ざん・誤りが生じた場合の影響を確認する
→ 完全性
- 必要なときに利用できない場合の影響を確認する
→ 可用性
- 組織共通の基準で評価しているか確認する
→ 部門の独自判断だけで決めない
- 区分と取扱いルールが対応しているか確認する
→ 表示だけで終わっていないかを見る
- 情報の状態が変化していないか確認する
→ 公開、用途変更、契約終了などに応じて見直す
重要度評価とリスク評価そのものの違いは「リスクアセスメントの全体像」の記事で扱います。本記事では、リスクアセスメントの前提となる情報資産の価値の明確化に集中します。
よくある取り違え
| 誤った理解 | 正しい整理 |
|---|---|
| 社外秘ではないので重要度は低い | 完全性・可用性も評価する |
| 利用者が少ないので重要ではない | 利用人数と業務影響は別 |
| 機密区分が低ければCIA全てが低い | 機密性が低くても完全性・可用性が高い場合がある |
| CIAの最大値が全組織共通の公式計算式 | 評価方法は組織や問題文の基準に従う |
| 全組織が同じ四段階を使う | 区分名・段階数は組織が定める |
| 区分名を付ければ管理は完了 | 表示、保存、共有、廃棄等のルールと結び付ける |
| 一度決めた重要度・区分は変更しない | 状況や業務影響の変化に応じて見直す |
まとめ
- SGでは情報資産の価値（重要度）を機密性・完全性・可用性から明確にする
- 秘密ではないことと、重要ではないことは別
- 公開情報でも完全性・可用性が高い場合がある
- 評価基準は組織で統一する
- IPA第4.0版の資産ベース例では原則CIAの最大値を重要度とするが、一定の重大影響等では重要度3とする
- 重要度の集約方法は全組織共通の一つの公式計算式ではない
- 機密区分の名称・段階数は組織によって異なる
- 区分は表示、保存、共有、持出し、廃棄等の取扱いルールへ結び付ける
- 令和8年度 情報セキュリティマネジメント試験 科目A 問15でも、機密区分と取扱いルールが出題されている
関連記事
- C1-T01：情報セキュリティの3要素と拡張要素
- C3-T02：情報セキュリティポリシーと諸規程
- C4-T01：情報資産の洗出しと台帳
- C4-T03：リスクアセスメントの全体像
- C5-T06：アクセス制御と権限管理
- C5-T10：データ保護とバックアップ
- C7-T02：委託契約とセキュリティ要求事項
- C8-T01：個人情報保護法の用語ピラミッド
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- IPA「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
- IPA「中小企業の情報セキュリティ対策ガイドライン 付録6 資産管理台帳（サンプル）」
関連する問題
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第1問〜第5問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 択一式（応用） 第6問〜第10問
- 情報セキュリティマネジメント 情報資産・リスクマネジメント 一問一答 第6問〜第10問
コメント