真正性とは？情報セキュリティの7要素・完全性との違い・確保方法・AI時代の対策を徹底解説

「真正性ってどういう意味？」「完全性・機密性と何が違うの？」——情報セキュリティの勉強をしていると必ず出てくる「真正性」ですが、他の概念との違いが曖昧なまま理解している方も多いです。

真正性（Authenticity：オーセンティシティ）とは、情報・人・デバイス・通信が「本物である」と確認できる状態のことです。送受信者が正当な主体であり、情報が途中で改ざんされていないことを検証します。なりすましや偽情報の防止に直結する、現代のセキュリティで最も重視される概念のひとつです。

本記事では、真正性の意味・情報セキュリティ7要素における位置づけ・他の概念との違い・確保方法・被害事例・FAQまで徹底解説します。

真正性とは？

真正性（Authenticity）とは、情報や通信の発信元・利用者が「本物・正当である」と確認できる状態のことです。日本語の「真正（しんせい）」は「本物・本当のもの」を意味し、情報セキュリティでは「なりすましや偽装がない状態」を指します。

「身分証明書」のたとえでわかる真正性
真正性は「身分証明書の確認」のようなものです。銀行の窓口で手続きをする際、担当者は本人確認書類（パスポート・運転免許証）で「この人が本当に申請者本人か」を確認します。情報セキュリティでの真正性も同様で、「このデータは本当にAさんが送ったものか」「このシステムにアクセスしているのは本当に許可されたユーザーか」を確認する概念です。

真正性が重要視される背景

クラウド・モバイル・SaaSの普及により、従来の「社内ネットワーク内なら安全」という境界型セキュリティは成り立たなくなりました。また、ディープフェイク・生成AIの普及により文書・画像・音声・動画の真偽を見抜くことがより難しくなっています。電子契約・キャッシュレス決済・行政手続きのオンライン化が進むほど、「誰が・どこから・何をしたか」を確認する仕組みの重要性が増しています。

情報セキュリティの7要素と真正性の位置づけ

情報セキュリティはかつて「機密性・完全性・可用性」の3要素（CIA）で語られていましたが、現在はさらに4要素が加わった「7要素」で管理されます。

要素	英語	意味	主な技術的手段
機密性	Confidentiality	許可された者だけがアクセスできる	暗号化・アクセス制御
完全性	Integrity	情報が改ざん・破損なく正確に保たれている	ハッシュ検証・デジタル署名
可用性	Availability	必要な時に情報・システムを利用できる	冗長化・バックアップ
真正性 ★	Authenticity	情報の発信元・利用者が正当である	認証・電子証明書・デジタル署名
責任追跡性	Accountability	誰がいつ何をしたかを追跡できる	操作ログ・監査ログ
信頼性	Reliability	システムが安定して正しく動作する	堅牢な設計・テスト・監視
否認防止	Non-repudiation	行為を後から否定できないようにする	デジタル署名・タイムスタンプ

真正性と否認防止の違い
真正性は「今アクセスしている人が本人かどうかを確認する」仕組みです。否認防止は「確認した事実を後から当事者が否定できないようにする」仕組みです。真正性の確認がなければ否認防止も成立しないため、両者は密接に関係しています。

真正性と関連概念との違い

真正性と混同しやすい概念を整理します。

概念	守る対象・目的	真正性との違い
真正性	発信元・利用者が「本物か」	主体の正当性の確認
機密性	情報を「誰が見られるか」	アクセス範囲の制限
完全性	情報の「内容が正確か」	データの改ざんや破損の防止
否認防止	行為を「後で否定できないか」	証拠の保全・記録
責任追跡性	「誰がいつ何をしたか」を追跡	行動履歴の記録と追跡

真正性を構成する3つの要素

真正性は「認証・暗号技術・デジタル署名」の三位一体で成り立ちます。

認証（Authentication）

認証とは、システムを利用する主体が正当な利用者であることを確認する仕組みです。

知識認証：パスワード・PIN（知っていること）
所持認証：スマートフォン・ICカード・パスキー（持っているもの）
生体認証：指紋・顔・虹彩（本人の身体的特徴）

現在のベストプラクティスは、これらを組み合わせた多要素認証（MFA）です。さらにFIDO2・WebAuthnを使ったパスキー認証はフィッシング耐性が高く、次世代の認証標準として急速に普及しています。

暗号技術

暗号技術は、通信とデータの秘匿性・完全性を守ります。

TLS（Transport Layer Security）：通信経路を暗号化し盗聴・改ざんを防ぐ
AES（共通鍵暗号）：保存データの暗号化
PKI（公開鍵基盤）：電子証明書の発行・管理で通信相手の正当性を確認
ハッシュ・MAC・AEAD：データの改ざん検知に使用

デジタル署名

デジタル署名は、送信者が秘密鍵で生成した署名値をデータに付与し、受信者が公開鍵で検証する仕組みです。

途中で内容が変わっていないことを証明できる（完全性の担保）
誰が送信したかを証明できる（真正性の担保）
当事者が後から関与を否定できない（否認防止）

電子契約・社内稟議・ソフトウェア配布の正当性確認などで広く利用されています。失効確認（OCSP・CRL）とタイムスタンプを組み合わせることで、署名の有効性をより確実に保てます。

真正性の確保方法

自己証明と第三者証明

真正性を確認する方法は「自己証明」と「第三者証明」に分けられます。

種類	内容	活用シーン	信頼性
自己証明	発信者・作成者が自らの責任で真正性を示す	社内システムのログイン・組織内の電子署名	比較的低い（当事者のみ）
第三者証明	認証局（CA）などの第三者が正当性を証明	外部との電子契約・公的申請・HTTPS通信	高い（第三者が保証）

ソフトウェア面での対策

IAM・PAMの整備：多要素認証・SSO・条件付きアクセスをゼロトラストの方針で一貫運用する
メール認証（DMARC・SPF・DKIM）：正当な送信元のみ通過させ、なりすましメールを防ぐ
コード署名：アプリ配布・更新時に署名を必須化し、改ざんされたソフトウェアの配布を防ぐ
統合ログ・アラート：不正なアクセスや操作の逸脱を早期に検知する

ハードウェア面での対策

TPM・Secure Enclave：端末の秘密鍵をハードウェアに格納し、セキュアブートを有効化する
HSM（ハードウェアセキュリティモジュール）：サーバー側で証明書鍵を分離保管し、鍵のローテーションを自動化する
FIDOセキュリティキー：フィッシング耐性の高い物理認証デバイスを配布する
MDM・UEM：モバイルデバイスと端末を一元管理し、紛失時はリモートワイプを実施する

継続的な運用管理

アカウントの棚卸し：退職者・異動者のアカウントを速やかに無効化する。不要な休眠IDを定期的に削除する
操作ログの記録と監査：誰がいつ何をしたかを記録し、定期的にレビューする
証明書の有効期限管理：電子証明書の更新漏れを防ぐため、有効期限を一元管理する
フィッシング訓練・教育：疑わしいリンクを開かずに報告する行動を定着させる

AI時代・ゼロトラストにおける真正性

生成AIやディープフェイクの普及により、文書・画像・音声・動画の真偽を見抜くことが難しくなっています。これに対応するため、以下の技術が注目されています。

コンテンツ認証（C2PA）：画像・動画・テキストに改変履歴や作成者情報を付与して検証できる来歴情報を埋め込む国際標準
行動的生体認証：ログイン後もユーザーの行動パターン（タイピング・マウス操作など）を継続的に分析して本人性を確認する
デバイスアテステーション：デジタル証明を使い、端末が信頼できる状態かを証明する
SBOMの署名：ソフトウェア部品表（SBOM）に署名し、ビルドから配布までの改ざんを抑える

ゼロトラストセキュリティモデルでは「何も信頼しない・常に検証する」が基本原則です。真正性の確保はゼロトラストの根幹をなす概念として、より重要な位置を占めています。

事例2：Emotet感染により取引先へなりすましメールが送信された事例

山一商事株式会社では、Emotet感染により、同社や実在する従業員を名乗るなりすましメールが取引先などへ送信されたことが確認されました。Emotetは感染端末のメール情報を悪用し、過去のやり取りを引用した自然な文面で不審メールを送るため、受信者が本物のメールだと誤認しやすい特徴があります。

この事例は、メールの差出人名や過去の文脈だけでは真正性を判断できないことを示しています。添付ファイルやURLを開く前に、送信元ドメイン、メール認証結果、本文の不自然さ、別経路での確認を行うことが重要です。

山一商事株式会社がEmotet感染か、関係先に同社従業員を名乗るメール

2020.9.9

画像：

よくある質問（FAQ）

Q. 真正性・完全性・機密性はどう違いますか？

機密性は「誰が情報にアクセスできるか（許可された人だけ）」、完全性は「情報の内容が正確かどうか（改ざんされていないか）」、真正性は「情報の発信元・利用者が本物かどうか（なりすましでないか）」を指します。3つは異なる観点で情報を守る概念であり、セキュリティ対策ではすべてを組み合わせることが重要です。

Q. 真正性を確保しないとどのような被害が起きますか？

なりすましによる不正ログイン・不正送金・契約の無効・マルウェアの混入・ブランド毀損などが発生します。特にビジネスメール詐欺やフィッシングによる金銭被害、サプライチェーン攻撃による悪意あるソフトウェアの配布が近年急増しています。

Q. 真正性と否認防止は何が違いますか？

真正性は「今アクセスしている人が本当に本人かどうか」を確認する仕組みです。否認防止は「確認した事実を後から当事者が否定できないようにする」仕組みです。真正性の確認がなければ否認防止も機能しないため、両者はセットで考えることが重要です。デジタル署名は両方の目的に対応できます。

Q. 中小企業が最初に取り組むべき真正性対策は何ですか？

まず多要素認証（MFA）の導入が最も効果的です。パスワードだけの認証はフィッシングやリスト型攻撃で突破されやすいため、Microsoft Authenticatorなどのスマートフォン認証アプリとの組み合わせが有効です。次に退職者・異動者のアカウントの速やかな無効化、そしてDMARC・SPF・DKIMによるメール認証の設定を順番に進めることをおすすめします。

Q. ゼロトラストセキュリティと真正性はどう関係しますか？

ゼロトラストは「社内外を問わず、すべてのアクセスを信頼せず常に検証する」モデルです。このモデルの中核にあるのが真正性の継続的確認です。ユーザー・デバイス・アプリケーション・ネットワークのそれぞれについて「本物か」を常に検証し、条件が満たされた場合のみアクセスを許可します。真正性はゼロトラスト実現の前提条件といえます。

まとめ

真正性（Authenticity）とは、情報・人・デバイス・通信が「本物・正当である」と確認できる状態のことです。情報セキュリティの7要素の一つとして、機密性・完全性・可用性と並ぶ重要な概念です。

真正性は認証・暗号技術・デジタル署名の三位一体で確保されます。具体的には多要素認証・パスキー・電子証明書・コード署名・メール認証（DMARC）・操作ログの管理などを組み合わせることで実現されます。自己証明と第三者証明を状況に応じて使い分けることも重要です。

生成AIやディープフェイクが普及するAI時代においては、コンテンツ認証（C2PA）や行動的生体認証など、真正性を確保するための新技術が登場しています。ゼロトラストモデルの普及とともに、真正性の確保はデジタル社会の信頼の根幹を支える概念としてますます重要性を増しています。

真正性とは？情報セキュリティの7要素・完全性との違い・確保方法・AI時代の対策を徹底解説｜サイバーセキュリティ.com

真正性とは？情報セキュリティの7要素・完全性との違い・確保方法・AI時代の対策を徹底解説

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！