ぞうログ情報セキュリティマネジメント試験では、まず「情報セキュリティとは何を守ることか」を要素分解して押さえておく必要がある。JIS Q 27000では、情報セキュリティを機密性・完全性・可用性の3要素を維持することと定義し、あわせて真正性・責任追跡性・否認防止・信頼性などの特性を維持することを含む場合があるとしている。
3要素（CIA）
情報セキュリティの中心となるのが、頭文字を取って「CIA」と呼ばれる次の3つの性質である。
- 機密性（Confidentiality）：認可された者だけが情報にアクセスできる状態を保つこと。アクセス権の設定や暗号化などが代表的な対策。
- 完全性（Integrity）：情報が破壊・改ざん・消去されず、正確かつ完全な状態を保つこと。デジタル署名やハッシュ値による改ざん検知が代表的な対策。
- 可用性（Availability）：必要なときに、認可された者が情報や情報資産に問題なくアクセスできる状態を保つこと。冗長構成やバックアップが代表的な対策。
CIAはそれぞれ対策とセットで覚えると定着しやすい。機密性→アクセス権設定・暗号化、完全性→ハッシュ値・デジタル署名、可用性→冗長構成・バックアップ、という対応を押さえておこう。
周辺の4要素
CIAに加えて、次の4つの特性も情報セキュリティの一部として扱われることがある。
- 真正性（Authenticity）：利用者・プロセス・情報などが、主張どおりの本物であることを確実にする特性。多要素認証やデジタル証明書が関係する。
- 責任追跡性（Accountability）：ある行動や事象の結果について、それを行った主体まで追跡できるようにする特性。アクセスログや操作履歴の記録が該当する。
- 否認防止（Non-repudiation）：後になって「自分はやっていない」と主張できないよう証明する特性。電子署名やタイムスタンプが代表的な仕組み。
- 信頼性（Reliability）：システムが意図した動作を、矛盾なく一貫して行う特性。設計どおりに動作し続けることを指す。
真正性（Authenticity）と責任追跡性（Accountability）は混同しやすい。真正性は「本人や情報が主張どおりの本物であること」を確認する特性、責任追跡性は「誰が何を行ったか」を後から追跡できる特性であり、証明の対象が異なる点に注意する。
試験では、事例や対策の説明文からこれらの用語のどれに該当するかを選ばせる問題が頻出する。用語同士の違いを取り違えないよう、「誰が」「何を」守る／証明する特性なのかで整理しておくとよい。