機密性 (情報セキュリティ)

機密性（きみつせい、英: confidentiality; コンフィデンシャリティ）とは、許可された正規の利用者やプロセス、システムだけが情報にアクセスでき、許可されていない者には情報が漏洩しないように制御されている度合いや特性のことをいう。

機密性の他に完全性（Integrity）・可用性（Availability）があり、それらを合わせて情報セキュリティの三要素（CIA）と呼ぶ。

概要機密性は、英語の confidentiality に対する訳語である。第三者による不正なアクセスから情報を保護し、許可された者だけが情報を閲覧・使用できる状態を示す。

JIS Q 27000:2014では、「認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性。」と定義されている。

CIAの他の2つである完全性と可用性に関しては、完全性は情報が改ざんされておらず正確であること、可用性は必要な時に情報にアクセスできること、機密性は情報が漏洩せず守られていることを指す。この三者は情報セキュリティの基礎となるが、対策の観点ではトレードオフの関係になることも多い。一般には機密性を高めるためにアクセス制限や認証を厳格にしすぎると、正規の利用者がアクセスする際の手間が増え、可用性が低下する。そのため、システムの目的や扱うデータの重要度に応じて、適切なバランスを取る必要がある。

歴史情報セキュリティにおける機密性の概念は、古くは軍事や外交における暗号通信や機密情報の取り扱いに遡る。コンピュータが普及する以前から、特定の情報にアクセスできる人間にクリアランスを設けることは組織防衛の基本であった。その後、コンピュータネットワークの発展とともに情報のデジタル化が進み、アメリカ国防総省（DoD）などが策定したセキュリティ評価基準（TCSEC、通称オレンジブックなど）を通じて、アクセス制御の考え方が体系化された。これがのちに完全性・可用性とともに情報セキュリティのマネジメント規格であるISO/IEC 27000シリーズなどへと統合され、IT・コンピュータ分野に限らず、組織のデータ保護における重要な概念の一つとして広く使われる言葉となった。

実現方法機密性はアクセス制御の確実性や暗号化の強度などによって評価される。機密性を維持・向上させるための技術的・物理的な手段は以下のようになる。

アクセス制御: 適切なパスワード、生体認証、多要素認証（MFA）、パスキーなどによる確実な本人確認。暗号化: SSL/TLSの利用や、保存されているデータベース・ファイルの暗号化。物理的セキュリティ: サーバー室への入室制限や、機密文書・記憶媒体の施錠管理。

脅威

不正アクセスやマルウェア（標的型攻撃など）による情報漏洩。ネットワーク通信経路における盗聴。ソーシャルエンジニアリング（パスワードの盗み見やなりすまし）。従業員のミスによる誤送信やデバイスの紛失。

機密性 (情報セキュリティ)

Źródło i licencja