# セキュリティの考え方 — 何をどう守るかの原則

> レベル: 初級 ／ 対象: 大人
> 出典: Kotowary — https://kotowary.com/learn/units/security-principles?level=beginner&audience=adult
暗号や攻撃の話に入る前に、守りを支える**基本の考え方**を押さえます。細かい技術は、この原則の上に乗っています。

## 守る3つの性質（CIA）

- **機密性** — 見られてはいけないものを、見られないように
- **完全性** — 勝手に書き換えられないように
- **可用性** — 使いたいときに使えるように

この3つが「何を守るのか」の軸。暗号は機密性、ハッシュ・署名は完全性、冗長化は可用性、と対応づくと整理できます。

::diagram{name="cia-triad"}

## 守りの基本原則

- **最小権限** — 必要な分だけ権限を渡す（漏れても被害を小さく）
- **多層防御** — 1つ破られても次で止める（重ねる）
- **既定は拒否** — 迷ったら「許可しない」から始める
- **単純に保つ** — 複雑な仕組みは穴を生む
- **人が最弱点** — 技術だけでなく、教育と仕組みで人を守る

## 便利さとのトレードオフ

セキュリティは、たいてい**使い勝手と綱引き**します。厳しくしすぎると使われず、緩めると危ない。だから「守る価値」に見合った強さを、バランスで選びます。

「全部を最高強度で」ではなく、「**大事なものほど厚く**」が現実的な設計です。

## ⚠️ ありがちな失敗

- **面倒で無効化** — 厳しすぎてルールが破られる（結局守られない）
- **一点集中** — 1つの対策に頼る
- **人の油断** — 使い回し・だまされ・設定放置