改竄を防ぐ方法にはアクセス制御があります。完全性や責任追跡性(ログに残したのに、ログ自体改竄されましたとかを防ぐ)を守れますね。それから第三者機関の利用。公の機関に真実を保証させるシステムがいくつか存在します。Authority)に証明させますし。今だとシマンテック(旧ベリサイン)なんかが有名ですね。僕がいまいち理解できなかった否認防止性の実現方法の例だけ書いておきます。タイムスタンプというのを使う方法です。(完全性証明と存在証明にも使用できます)例えば文書ファイルを作成する。このとき、文書のハッシュ値を取得する。(ハッシュ値の詳細はハッシュ関数を参照)ハッシュ値を時刻認証を行う第三者機関(時刻認証局)へ送る。受け取った第三者機関は、そのハッシュ値と時刻から、さらにハッシュ値を作成して秘密鍵で暗号化する(暗号化の仕組みは公開鍵認証を参照)。これをタイムスタンプトークンという。第三者機関はタイムスタンプトークンを、文書作成者へ発行する。以降、文書とタイムスタンプトークンをセットで扱います。必要に応じて公開鍵でタイムスタンプトークンの内容を確認します。タイムスタンプトークンは文書と時刻の内容を保証する(同じトークンは同じ文書と時刻からしか作れない)。これで文書を作った事実を否定できなくなる。これは鵜呑みにしないでください。試験対策としては、上記の単語を覚えればOKです組織で運用する、となると。(特に初めて運用する場合)たいてい最初は「機密性」から手を付けることになります。取引先とのやりとりや顧客情報の類は超機密(?)情報ですよね。完全性や可用性が「なくてもいい」情報は滅多にないので、考えるのは機密性からかな、という訳です。どんな情報を守るのかが決まってから、どうやって守るのか、という次のステップに進めます。*2そもそもどんな情報資産があるのか洗い出すだけでも相当大変な作業なので、そういったコンサルティングの需要(と値段?)は高いのだと思います。補足しておくと、例えばホームページで会社紹介をしているだけなら(=公開情報のみ)、極端な言い方をすれば、有事の際はページを即閉鎖するだけなので楽ちんです。ホームページ上で取引もするとなると(=機密情報あり)、それらが盗聴・改竄・詐称されないように認証・暗号化諸々の対策が必要になる、といったイメージです。使用して作成しています。使用しています(このサイトについて)。