情報セキュリティの世界で、最も厄介なのは攻撃そのものより
事故後の言い逃れです。

こうした主張が通ってしまうと、
セキュリティも、法務も、組織の統治も成立しません。

そこで登場するのが 否認防止（Non-Repudiation） です。

否認防止（Non-Repudiation） とは、

ある行為（送信・操作・承認・署名など）について
「誰が・いつ・確かに行ったか」を、後から本人が否定できないようにする性質

を指します。

ポイントは 本人の証言ではなく、第三者が検証できる証拠が残ること。
「信じる」ではなく「証明する」ための概念です。

否認防止は、よく知られる CIA三要素（機密性・完全性・可用性）とは
別の軸に存在します。

実務や試験では、次の関係で理解すると非常に整理しやすくなります。

真正性（本人確認）
＋ 完全性（改ざん防止）
＋ 証拠性（第三者検証）
＝ 否認防止

紙と印鑑の時代と違い、デジタル社会では「形」が残りません。
その代わりに 証明できる仕組み が必要です。

否認防止がなければ、これらはすべて 法的・業務的に不安定になります。

インシデント対応で最初に問われるのは次です。

否認防止が不十分だと
👉 責任の所在が不明になり、再発防止もできません。

ゼロトラストでは「信頼しない」が原則です。
代わりに必要なのは すべての行為を証跡で語らせること。

否認防止は、ゼロトラストの裏側を支える必須要素です。

否認防止の中核技術

ログがなければ、事件は起きなかったことになる
—— セキュリティ業界あるある

「本人である」ことを高い精度で保証

❌ ログがあれば否認防止
→ 改ざん可能なら意味がない

❌ パスワード認証だけで十分
→ 本人性が弱すぎる

❌ 暗号化しているから安心
→ それは機密性であって否認防止ではない

否認防止は派手ではありません。
普段は存在感ゼロです。

でも、
トラブルが起きた瞬間に「命綱」へと変わる
――それが否認防止。

保険と同じで、
「使わないのが理想、無いと詰む」。