情報保証

情報保証（IA ）は、情報の使用、処理、保管、伝送に関連する情報を保証し、リスクを管理する実践です。情報保証には、ユーザーデータの完全性、可用性、真正性、否認不可性、機密性の保護が含まれます。 ^{[1] IAは、デジタル保護と物理的手法の両方を網羅しています。これらの方法は、}転送中のデータ（物理的および電子的形式の両方）と保存中のデータに適用されます。IAは、情報セキュリティのスーパーセット（つまり包括的な用語）として、また情報リスク管理のビジネス成果として考えるのが最適です。

概要

情報保証（IA）は、適切な情報を適切な人に適切なタイミングで処理、保存、送信するプロセスです。^[1] IAは、セキュリティ制御の作成と適用ではなく、情報および関連システムのビジネスレベルおよび戦略的リスク管理に関連しています。IAは、情報リスク管理、信頼管理、回復力、適切なアーキテクチャ、システムの安全性、およびセキュリティの使用を通じてビジネスに利益をもたらすために使用され、許可されたユーザーのみに情報の有用性を高めます。

悪意のあるハッカーやコード (ウイルスなど)に対する防御に加えて、IA 実務者は、情報システムに関連するプライバシー、規制および標準のコンプライアンス、監査、事業継続性、災害復旧などの企業統治の問題を考慮します。さらに、IA は、コンピューターサイエンスに加えて、ビジネス、会計、ユーザーエクスペリエンス、不正調査、法医学、経営科学、システムエンジニアリング、セキュリティエンジニアリング、犯罪学の専門知識を必要とする学際的な分野です。

進化

通信ネットワークの成長に伴い、ネットワークへの依存度も高まり、コミュニティはサイバー攻撃に対してますます脆弱になり、重要なサービスが中断、低下、または破壊される可能性があります。^{[2] 1950年代から、情報保証の役割と使用は拡大し、進化してきました。これらのフィードバックループの実践は、}WWMCCS軍事意思決定支援システムの開発中に採用されました。

当初、情報保証はデータのバックアップのみを対象としていました。^[3]しかし、情報量が増加すると、情報保証の行為は自動化され始め、オペレータの介入が減り、即時のバックアップの作成が可能になりました。^[3]情報保証の最新の主な発展は、SANやNASなどの技術とクラウドコンピューティングの使用により、データの処理と保存のための分散システムを実装することです。^[4]^[5]^[3]

情報保証のこれら3つの主な発展は、情報技術の3世代と並行しており、第1世代は侵入を防ぐために使用され、第2世代は侵入を検知するために使用され、第3世代は生存性のために使用されました。^[6]^[7]情報保証は、自由で平等なアイデアの交換を可能にするために、生活のすべてのセクターが協力して取り組むものです。^[要出典]

柱

情報保証は、可用性、整合性、認証、機密性、否認防止の5つの柱によって構築されます。^[8]これらの柱は、システムを保護しながら効率的にサービスを提供するために考慮されています。ただし、これらの柱は互いに独立して機能するのではなく、他の柱の目的を妨げます。^[8]これらの情報保証の柱は徐々に変化し、サイバーセキュリティの柱と呼ばれるようになりました。管理者としては、サービスとプライバシーの側面のバランスを取りながら、情報システムに望ましい結果をもたらすために必要な柱を重視することが重要です。

認証

認証とは、情報システム内の送信、発信者、またはプロセスの有効性を検証することを指します。^[9]認証は、受信者にデータ送信者の有効性とメッセージの有効性に対する信頼を提供します。^[8]認証を強化する方法は多数ありますが、主に個人を特定できる情報（個人の名前、住所、電話番号、キートークンへのアクセスなど）または既知の情報（パスワードなど）の3つに分類されます。^[10]

誠実さ

整合性とは、情報を不正な変更から保護することを指します。^[3]情報整合性の目標は、データがその存続期間全体にわたって正確であることを保証することです。^[11]^[12]ユーザー認証は、情報整合性の重要な実現要因です。^[8]情報整合性は、情報交換の両端に存在する信頼度の数の関数です。 ^[12]情報整合性のリスクを軽減する1つの方法は、冗長チップとソフトウェア設計を使用することです。^[13]認証に失敗すると、権限のない当事者がコンテンツを変更できるため、情報整合性にリスクが生じる可能性があります。たとえば、病院のパスワードポリシーが適切でない場合、権限のないユーザーが患者への投薬を管理する情報システムにアクセスし、特定の患者に不利益をもたらす治療コースを変更するリスクがあります。^[12]

可用性

可用性の柱は、許可された個人から取得または変更されるデータの保存を指します。ストレージシステムまたはチャネルの信頼性を高めることで、より高い可用性が維持されます。^[8]情報の可用性の侵害は、停電、ハードウェア障害、DDOSなどによって発生する可能性があります。高可用性の目標は、情報へのアクセスを維持することです。情報の可用性は、バックアップ電源、予備データチャネル、オフサイト機能、および継続的な信号の使用によって強化できます。^[12]

機密保持

機密性は本質的に完全性の反対です。機密性は、誰がデータにアクセスできるかを保護するセキュリティ対策であり、情報にアクセスできる人を隠すことによって行われます。^[8]完全性は、誰が情報を変更できるかを隠すため、完全性とは異なります。機密性は、データの暗号化とステガノグラフィーの使用によって確保されることがよくあります。^[3]機密性は、NATOなどの国際的な活動における分類と情報の優位性の中に見ることができます。 ^[14]米国における情報保証機密性は、情報の非開示を確実にするために、HIPAAと医療提供者のセキュリティポリシー情報ラベル付けと必要情報規制に従う必要があります。^[12]

否認防止

否認防止とは、データの完全性がその出所に忠実であることであり、アクションが行われたことを否定されることを防ぎます。^[3]^[1]否認防止性を高めると、情報が特定のソースから来たことを否定することが難しくなります。言い換えれば、データのソース/真正性に異議を唱えることができなくなります。否認防止には、データが転送されている間にデータの完全性が低下することが含まれます。これは通常、中間者攻撃やフィッシング攻撃によって行われます。^[15]

柱の相互作用

前述のように、これらの柱は互いに独立して相互作用するわけではなく、ある柱は他の柱の機能を妨げたり、逆に他の柱の働きを後押ししたりする。^[8]たとえば、情報の可用性を高めることは、他の3つの柱である完全性、認証、機密性の目標に直接反する。^[8]

プロセス

情報保証プロセスは、通常、保護する情報資産の列挙と分類から始まります。次に、IA 担当者はそれらの資産のリスク評価を実行します。^[16]情報資産の脆弱性は、資産を悪用する可能性のある脅威を列挙するために特定されます。次に、評価では、脅威が資産の脆弱性を悪用する可能性と影響の両方を考慮します。影響は通常、資産の利害関係者のコストの観点から測定されます。^[17]脅威の影響と発生確率の積の合計が、情報資産に対する総リスクです。

リスク評価が完了すると、IA 担当者はリスク管理計画を作成します。この計画では、リスクの軽減、排除、受け入れ、移転を含む対策を提案し、脅威の防止、検出、対応を考慮します。

NIST RMF、 Risk IT、CobiT、PCI DSS、ISO/IEC 27002などの標準化団体が発行したフレームワークが開発の指針となる。対策には、ファイアウォールやウイルス対策ソフトウェアなどの技術ツール、定期的なバックアップや構成の強化などの管理を要求するポリシーや手順、セキュリティ意識を高めるための従業員のトレーニング、専任のコンピュータ緊急対応チーム（CERT）やコンピュータセキュリティインシデント対応チーム（CSIRT）への人員編成などが含まれる。各対策の費用と利点は慎重に検討される。したがって、IA実践者はすべてのリスクを排除しようとするのではなく、最も費用対効果の高い方法でリスクを管理しようとする。^[18]

リスク管理計画が実施された後、多くの場合は正式な監査によってテストおよび評価されます。^[16] IAプロセスは反復的なプロセスであり、リスク評価とリスク管理計画は、その完全性と有効性について収集されたデータに基づいて定期的に改訂および改善されることを目的としています。^[2]

情報保証には監査とリスク評価という2つのメタ技術がある。 ^[16]

ビジネスリスク管理

ビジネスリスク管理は、リスク評価、リスク軽減、評価の3つの主要なプロセスに分かれています。^[要出典]情報保証は、組織がビジネスリスク管理を実施するために使用する方法論の1つです。「BRICK」フレームワークなどの情報保証ポリシーの使用を通じて。^{[1]さらに、ビジネスリスク管理は、}HIPAAなどの情報の公開とセキュリティに関する連邦法と国際法に準拠する必要もあります。^[19]

情報保証は、トレーニングと意識向上、上級管理職の関与とサポート、組織内コミュニケーションを通じて企業戦略と整合させることができ、より優れた内部統制とビジネスリスク管理が可能になります。^[20]

企業のセキュリティ担当役員の多くは、知的財産を保護し、潜在的なデータ漏洩を防ぎ、ユーザー自身を保護するために情報保証に依存するようになっています。^[17]情報保証の使用は、機密性、否認不能性などの特定の柱を確保するのに効果的ですが、それらの相反する性質のため、セキュリティの向上はスピードを犠牲にすることがよくあります。^[8]^[17]ビジネスモデルで情報保証を使用すると、信頼性の高い経営判断、顧客の信頼、事業継続性、および公共部門と民間部門の両方での優れたガバナンスが向上します。^[21]

標準化団体と標準

情報保証の実践、方針、手順に関する標準を発行する国際機関や国内機関は数多くある。英国では、情報保証諮問委員会や情報保証コラボレーショングループなどがこれに該当する。^[4]

参照

参考文献

注記

^ abcd Sosin, Artur (2018-04-01). 「情報化時代における情報保証の向上方法」.国防資源管理ジャーナル. 9 (1): 45–57. ISSN 2068-9403.
^ ab McConnell, M. (2002年4月). 「21世紀の情報保証」.コンピュータ. 35 (4): supl16–supl19. doi :10.1109/MC.2002.1012425. ISSN 0018-9162.
^ abcdef Cummings, R. (2002年12月). 「情報保証の進化」. Computer . 35 (12): 65–72. doi :10.1109/MC.2002.1106181. ISSN 0018-9162.
^ ab Pringle, Nick; Burgess, Mikhaila (2014 年 5 月)。「分散型フォレンジッククラスターにおける情報保証」。Digital Investigation 11 : S36–S44。doi : 10.1016/j.diin.2014.03.005。
^ チャクラボルティ、ラジャルシ;ラミレディ、シュリラクシュミ。ラグー、TS; Rao、H.Raghav (2010 年 7 月)。「クラウドコンピューティングベンダーの情報保証慣行」。ITプロフェッショナル。12 (4): 29–37。土井：10.1109/mitp.2010.44。ISSN 1520-9202。S2CID 8059538。
^ Luenam, P.; Peng Liu (2003). 「適応型侵入耐性データベースシステムの設計」侵入耐性システムの基礎、2003 [有機的に保証され、存続可能な情報システム]。IEEE。pp. 14–21。doi : 10.1109/ fits.2003.1264925。ISBN 0-7695-2057-X.S2CID 14058057 。
^ Liu, Peng; Zang, Wanyu (2003)。「インセンティブベースの攻撃者の意図、目的、戦略のモデリングと推論」。第 10 回 ACM コンピュータおよび通信セキュリティ会議の議事録。米国ニューヨーク州ニューヨーク: ACM プレス。p. 179。doi : 10.1145 / 948109.948135。ISBN 1-58113-738-9. S2CID 3897784。
^ abcdefghi Wilson 、Kelce S. (2013年7 月)。「情報保証の柱間の対立」。ITプロフェッショナル。15 (4): 44–49。doi : 10.1109 /mitp.2012.24。ISSN 1520-9202。S2CID 27170966 。
^ Sadiku, Matthew; Alam, Shumon; Musa, Sarhan (2017). 「情報保証の利点と課題：入門」。procon.bg 。2020年11月28日閲覧。
^ San Nicolas-Rocca, Tonia; Burkhard, Richard J (2019-06-17). 「図書館における情報セキュリティ」.情報技術と図書館. 38 (2): 58–71. doi : 10.6017/ital.v38i2.10973 . ISSN 2163-5226.
^ Boritz, J. Efrim (2005 年12 月)。「情報整合性の中核概念に関する IS 実務者の見解」。International Journal of Accounting Information Systems。6 ( 4): 260–279。doi :10.1016/j.accinf.2005.07.001。
^ abcde Schou, CD; Frost, J.; Maconachy, WV (2004 年 1 月). 「バイオメディカルインフォマティクスシステムにおける情報保証」. IEEE Engineering in Medicine and Biology Magazine . 23 (1): 110–118. doi :10.1109/MEMB.2004.1297181. ISSN 0739-5175. PMID 15154266. S2CID 7746947.
^ Yan, Aibin; Hu, Yuanjie; Cui, Jie; Chen, Zhili; Huang, Zhengfeng; Ni, Tianming; Girard, Patrick; Wen, Xiaoqing (2020-06-01). 「冗長設計による情報保証: 過酷な放射線環境向けの新しい TNU エラー耐性ラッチ」. IEEE Transactions on Computers . 69 (6): 789–799. doi :10.1109/tc.2020.2966200. ISSN 0018-9340. S2CID 214408357.
^ハンナ、マイケル; グランゾウ、デイビッド; ボルト、ビョルン; アルバラド、アンドリュー (2017)。「NATOインテリジェンスと情報共有：安定化と復興活動のためのNATO戦略の改善」。コネクションズ：季刊誌。16 (4): 5–34。doi ：10.11610 /connections.16.4.01。ISSN 1812-1098。
^ Chen, Chin-Ling; Chiang, Mao-Lun; Hsieh, Hui-Ching; Liu, Ching-Cheng; Deng, Yong-Yuan (2020-05-08). 「位置情報ベースのモバイルエッジコンピューティングにおけるウェアラブルデバイスによる軽量相互認証」. Wireless Personal Communications . 113 (1): 575–598. doi :10.1007/s11277-020-07240-2. ISSN 0929-6212. S2CID 218934756.
^ abc Such, Jose M.; Gouglidis, Antonios; Knowles, William; Misra, Gaurav; Rashid, Awais (2016 年 7 月)。「情報保証技術: 認識されたコスト効率」。Computers & Security。60 : 117–133。doi : 10.1016/j.cose.2016.03.009 。
^ abc Johnson , ME; Goetz, E .; Pfleeger, SL (2009 年 5 月)。「情報リスク管理によるセキュリティ」IEEE セキュリティプライバシー。7 (3): 45–52。doi : 10.1109 /MSP.2009.77。ISSN 1558-4046。S2CID 30062820 。
^ Singh, R.; Salam, AF (2006 年 5 月)。「安全な分散知識管理のためのセマンティック情報保証: ビジネスプロセスの観点」IEEE Transactions on Systems, Man, and Cybernetics - Part A: Systems and Humans。36 ( 3 ): 472–486。doi : 10.1109 /TSMCA.2006.871792。ISSN 1083-4427。S2CID 10191333 。
^ Park, Insu; Sharman, Raj; Rao, H. Raghav (2015-02-02). 「災害体験と病院情報システム: 認識された情報保証、リスク、回復力、および HIS の有用性の検討」MIS Quarterly . 39 (2): 317–344. doi :10.25300/misq/2015/39.2.03. ISSN 0276-7783.
^ McFadzean, Elspeth; Ezingeard, Jean-Noël; Birchall, David (2011-04-08). 「情報保証と企業戦略: 将来に向けた選択、課題、開発に関するデルファイ研究」.情報システム管理. 28 (2): 102–129. doi :10.1080/10580530.2011.562127. ISSN 1058-0530. S2CID 11624922.
^ Ezingeard, Jean-Noël; McFadzean, Elspeth; Birchall, David (2005 年3 月)。「情報保証のメリットのモデル」。情報システム管理。22 (2): 20–29。doi : 10.1201/1078/45099.22.2.20050301/ 87274.3。ISSN 1058-0530。S2CID 31840083 。

文献

データ暗号化、長庚大学の科学者がデータ暗号化をターゲットに。(2011 年 5 月) Information Technology Newsweekly、149。2011 年 10 月 30 日に ProQuest Computing から取得。(文書 ID: 2350804731)。
スティーブンソン (2010)。「認証: 情報保証の柱」SC マガジン21 ( 1): 55。
カミングス、ロジャー (2002)。「情報保証の進化」(PDF)。コンピュータ。35 (12): 65–72。doi : 10.1109 /MC.2002.1106181。^{[永久リンク切れ]}

外部リンク

ドキュメント

英国政府
- HMG INFOSEC STANDARD NO. 2 情報システムのリスク管理と認定 (2005)
IA 参照
情報保証 XML スキーママークアップ言語
国防総省指令 8500.01 情報保証
DoD IA ポリシーチャート DoD IA ポリシーチャート
情報保証アーカイブ情報保証アーカイブ

ソーシャルメディアによって情報保証も進化した

[:1-1] Sosin, Artur (2018-04-01). 「情報化時代における情報保証の向上方法」.国防資源管理ジャーナル. 9 (1): 45–57. ISSN 2068-9403.

[:4-2] McConnell, M. (2002年4月). 「21世紀の情報保証」.コンピュータ. 35 (4): supl16–supl19. doi :10.1109/MC.2002.1012425. ISSN 0018-9162.

[:2-3] Cummings, R. (2002年12月). 「情報保証の進化」. Computer . 35 (12): 65–72. doi :10.1109/MC.2002.1106181. ISSN 0018-9162.

[:7-4] Pringle, Nick; Burgess, Mikhaila (2014 年 5 月)。「分散型フォレンジッククラスターにおける情報保証」。Digital Investigation 11 : S36–S44。doi : 10.1016/j.diin.2014.03.005。

[5] チャクラボルティ、ラジャルシ;ラミレディ、シュリラクシュミ。ラグー、TS; Rao、H.Raghav (2010 年 7 月)。「クラウドコンピューティングベンダーの情報保証慣行」。ITプロフェッショナル。12 (4): 29–37。土井：10.1109/mitp.2010.44。ISSN 1520-9202。S2CID 8059538。

[6] Luenam, P.; Peng Liu (2003). 「適応型侵入耐性データベースシステムの設計」侵入耐性システムの基礎、2003 [有機的に保証され、存続可能な情報システム]。IEEE。pp. 14–21。doi : 10.1109/ fits.2003.1264925。ISBN 0-7695-2057-X.S2CID 14058057 。

[7] Liu, Peng; Zang, Wanyu (2003)。「インセンティブベースの攻撃者の意図、目的、戦略のモデリングと推論」。第 10 回 ACM コンピュータおよび通信セキュリティ会議の議事録。米国ニューヨーク州ニューヨーク: ACM プレス。p. 179。doi : 10.1145 / 948109.948135。ISBN 1-58113-738-9. S2CID 3897784。

[:0-8] Wilson 、Kelce S. (2013年7 月)。「情報保証の柱間の対立」。ITプロフェッショナル。15 (4): 44–49。doi : 10.1109 /mitp.2012.24。ISSN 1520-9202。S2CID 27170966 。

[9] Sadiku, Matthew; Alam, Shumon; Musa, Sarhan (2017). 「情報保証の利点と課題：入門」。procon.bg 。2020年11月28日閲覧。

[10] San Nicolas-Rocca, Tonia; Burkhard, Richard J (2019-06-17). 「図書館における情報セキュリティ」.情報技術と図書館. 38 (2): 58–71. doi : 10.6017/ital.v38i2.10973 . ISSN 2163-5226.

[11] ^ Boritz, J. Efrim (2005 年12 月)。「情報整合性の中核概念に関する IS 実務者の見解」。International Journal of Accounting Information Systems。6 ( 4): 260–279。doi :10.1016/j.accinf.2005.07.001。

[:3-12] Schou, CD; Frost, J.; Maconachy, WV (2004 年 1 月). 「バイオメディカルインフォマティクスシステムにおける情報保証」. IEEE Engineering in Medicine and Biology Magazine . 23 (1): 110–118. doi :10.1109/MEMB.2004.1297181. ISSN 0739-5175. PMID 15154266. S2CID 7746947.

[13] Yan, Aibin; Hu, Yuanjie; Cui, Jie; Chen, Zhili; Huang, Zhengfeng; Ni, Tianming; Girard, Patrick; Wen, Xiaoqing (2020-06-01). 「冗長設計による情報保証: 過酷な放射線環境向けの新しい TNU エラー耐性ラッチ」. IEEE Transactions on Computers . 69 (6): 789–799. doi :10.1109/tc.2020.2966200. ISSN 0018-9340. S2CID 214408357.

[14] ^ハンナ、マイケル; グランゾウ、デイビッド; ボルト、ビョルン; アルバラド、アンドリュー (2017)。「NATOインテリジェンスと情報共有：安定化と復興活動のためのNATO戦略の改善」。コネクションズ：季刊誌。16 (4): 5–34。doi ：10.11610 /connections.16.4.01。ISSN 1812-1098。

[15] Chen, Chin-Ling; Chiang, Mao-Lun; Hsieh, Hui-Ching; Liu, Ching-Cheng; Deng, Yong-Yuan (2020-05-08). 「位置情報ベースのモバイルエッジコンピューティングにおけるウェアラブルデバイスによる軽量相互認証」. Wireless Personal Communications . 113 (1): 575–598. doi :10.1007/s11277-020-07240-2. ISSN 0929-6212. S2CID 218934756.

[:5-16] Such, Jose M.; Gouglidis, Antonios; Knowles, William; Misra, Gaurav; Rashid, Awais (2016 年 7 月)。「情報保証技術: 認識されたコスト効率」。Computers & Security。60 : 117–133。doi : 10.1016/j.cose.2016.03.009 。

[:6-17] Johnson , ME; Goetz, E .; Pfleeger, SL (2009 年 5 月)。「情報リスク管理によるセキュリティ」IEEE セキュリティプライバシー。7 (3): 45–52。doi : 10.1109 /MSP.2009.77。ISSN 1558-4046。S2CID 30062820 。

[18] Singh, R.; Salam, AF (2006 年 5 月)。「安全な分散知識管理のためのセマンティック情報保証: ビジネスプロセスの観点」IEEE Transactions on Systems, Man, and Cybernetics - Part A: Systems and Humans。36 ( 3 ): 472–486。doi : 10.1109 /TSMCA.2006.871792。ISSN 1083-4427。S2CID 10191333 。

[19] Park, Insu; Sharman, Raj; Rao, H. Raghav (2015-02-02). 「災害体験と病院情報システム: 認識された情報保証、リスク、回復力、および HIS の有用性の検討」MIS Quarterly . 39 (2): 317–344. doi :10.25300/misq/2015/39.2.03. ISSN 0276-7783.

[20] McFadzean, Elspeth; Ezingeard, Jean-Noël; Birchall, David (2011-04-08). 「情報保証と企業戦略: 将来に向けた選択、課題、開発に関するデルファイ研究」.情報システム管理. 28 (2): 102–129. doi :10.1080/10580530.2011.562127. ISSN 1058-0530. S2CID 11624922.

[21] ^ Ezingeard, Jean-Noël; McFadzean, Elspeth; Birchall, David (2005 年3 月)。「情報保証のメリットのモデル」。情報システム管理。22 (2): 20–29。doi : 10.1201/1078/45099.22.2.20050301/ 87274.3。ISSN 1058-0530。S2CID 31840083 。