情報処理安全確保支援士 2021年 春期 午後II 問題

共通の文章

インシデント対応体制の整備に関する次の記述を読んで,設問1ー5に答えよ。 N社は,従業員800名のドラッグストアチェーンである。グローバルに事業を展開 する海外の企業B社のブランドライセンスを取得し,同ブランドの下,国内80店舗 の展開,及びN社Webサイト(以下,通販サイトという)での通信販売を行ってい る。N社は,消費者向けの会員制度を設けており,会員は商品購入時に特典を受けら れる。N社の組織図を図1に示す。 |社長 .|内部監査室| |システム部||総務部||人事部||法務部||財務経理部| 図1 N社の組織図 N社は,情報セキュリティ委員会を設置している。同委員会は,経営陣が委員とな り,情報セキュリティについての基本方針(以下,基本方針という)及び重要な課 題を取り扱う。セキュリティ対策は主にシステム部が担っており,セキュリティイ ンシデント(以下.インシデントという)が発生した場合は,対応チームを立ち上 げて対応する。基本方針では,消費者に影響を与えるインシデントの場合,社外に 向けて速やかに情報開示することを挙げている。 B社は,同社がブランドライセンスを提供する店舗運営会社を対象にしたインシデ ント対応ポリシ(以下,B社インシデント対応ポリシという)を定めている。B社イ ンシデント対応ポリシは,インシデントによるB社ブランドの明損を最小限にするこ とを目的として策定された。 N社は,B社インシデント対応ポリシを順守する契約をB社と締結しており,N社 でインシデントが発生した場合は,B社のセキュリティ担当部署(以下,B社セキュ リティ部という)に報告し,指示に基づき対応する。分析対象となかるログは,N社の システム部が取得し,インシデント発生時にはB社セキュリティ部に送信する。 通販サイトは,Z社が提供するクラウドサービス(以下,Zサービスという)上に ーゥーー 構築し,設計,開発及び運用をV社に委託している。Zサービス上には開発用システ ムも構築している。また,各店舗の情報を一元管理し,運営を支援するためのシス テム(以下,店舗管理システムという)をN社に設置しており,RH,開発及び運 用の一部を外部に委託している。N社が利用するシステム及びネットワークの概要を ぜい 図2に,開発用システムの概要を図3に,N社の脆弱性管理プロセスを図4に示す。 通販サイト開発用システム アプリ|Web||Web|アプリ データ|サーパRIサーバサーバ[ens|]データ oP_L2Sw||LasSwo Ee) Saat|||ae L_ っ Ne LFw|Lrssw||選ぶ neーー !人内LAN_|rpsW|}ーー トーーーーーーーーーーーーーーーーニーーーこVAT ra L2SW:レイヤ2スイッチPC|サーバ||"“ FW:ファイアウォール L3SW:レイヤ3スイッチ R1サーバ:開発支援サーバ アプリサーバ:アプリケーションプログラムサーバ 注記1 Zサービス上の機器及びネットワークは,仮想化技術で実現されるものを含む。 注記2店舗管理システムと店舗との間は,IP_VPNで接続されている。一方,店舗管理システムと社 内LANとは,ネットワークが分離されている。N社の関係部門は,管理用PCを操作して店舗 管理サーバを利用する。また,店舗管理システムと社内LANとの間でデータの受渡しが必要な 場合は,USBメモリを用いる。 注記3店舗では,店舗PCからIP-VPN経由で店舗管理サーバを利用する。また,販売促進施策の検 討などのため,店舗PCは,Wi-Fiルータなどでインターネットに接続する。 注記4割り当てられたグローバルIPアドレスの範囲は,次のとおりである。 ・N社:xLyl.z1.0/28 ・V社:x2.y2.2.128/30 ・通販サイト:x3.y3.z3.0/28 ・開発用システム:x4.y4.24.0/28 図2 N社が利用するシステム及びネットワークの概要 ーー3ーー 1)開発用システムの接続制御 ・N社及びV社はインターネットを介して,HTTP及びHTTPSを用いた接続(LAF,HTTP 接続という)AW,システムのテストを行う。 ・N社及びV社はインターネットを介して,R1サーバにSSH接続を行い,開発業務を行う。 R1サーバ以外の開発用システム内にあるサーバ(以下,他サーバ和群という)を操作する場 合は,R1サーバからSSH接続を行う。 ・インターネットからのインバウンド通信は,FW2において,各サーバへのSSH接続及び HTTP接続を許可し,その他の通信を遮断している。また,インターネットへのアウトバウ ンド通信は,R1サーバからの通信だけを許可し,その他の通信を遮断している。 ・開発用システムと通販サイトの間には,通信経路は存在しない。通販サイトにプログラムを 配備する際は,開発用システムから該当するプログラムを取得し,V社環境から配備を行 (2)R1サーバの構成 ・R1サーバに導入されているソフトウェアは,OS,SSHサーバプログラム,及びWebインタ フェースをもつつ開発支援ツール」CHS. ・開発支援ツールJは,OSの一般利用者権限を割り当てた利用者アカウントで動作する。OS の一般利用者権限には,開発支援ツールJが動作するための,必要最小限の権限だけが与え られている。 ・R1サーバには,ソースコード,バイナリコード,テスト用データなどを保存しているが, 会員情報,取引情報などの秘密情報は保持していない。 (3)R1サーバへの接続制御 ・R1サーバの『/etc/hosts.allow"ファイルの設定において,SSH接続の接続元をN社とV社 に限定している。このファイルの変更には,管理者権限が必要である。 ・SSH接続でR1サーバにログインするための認証情報は,“/etc/shadow”ファイルに格納され ている。具体的には,利用者アカウント,利用者アカウントごとに異なるソルト値,及びソ ルト値と平文パスワードから計算したハッシュ値が含まれている。 ・HTTP接続で開発支援ツール」を操作できる。接続制限は行っていない。 (4)他サーバ和群の概要 ・他サーバ和群では,それぞれの目的に必要なソフトウェアに加え,SSHサーバプログラムが動 作している。他サーバ群それぞれの“/etc/hosts.allow”777 IV Clt,SSH接続の接続元を R1サーバに限定している。また,他サーバ和群それぞれには,複数の利用者アカウントが登 録されている。 5)開発用システムにおけるセキュリティ対策 ・WAFや改ざん検知の仕組みは,各種テストに支障を来す可能性があり,導入していない。 ・開発用システムで作成されたソフトウェアは通販サイトに配備する前に脆弱性診断を行う。 図3開発用システムの概要(抜粋) (ア)4日に1回以上の頻度で脆弱性情報を収集する。 (イ)(ア)で収集した脆弱性情報を基に,脆弱性が悪用される可能性を評価する。 (ウ)(イ)で,悪用される可能性が高いと判断した場合は,悪用されたときのN社のシステ ムへの影響を評価する。 (エ)(ウ)の評価の結果,対応が必要であると判断した場合は,対応方法,対応の優先度, 対応期限を決定する。 図4 N社の脆弱性管理プロセス ニュ4— 【インシデントの発生と対応〕 ある日,複数の会員からN社のお客様相談室に,身に覚えのない商品購入を知ら せる電子メールが届いたという連絡があった。N社は,対応チームを立ち上げて調査 した結果,通販サイトが不正アクセスを受けたと判断した。N社は,直ちにこのイン シデント(以下,インシデントPEWS)をB社セキュリティ部に報告した。N社と B社セキュリティ部が協力して対応したが,問題が幾つか発生し,対応を終えるまで に1か月掛かった。 インシデントPについて,判明した被害状況及び対応の概要を図5に示す。 ①)被害状況 ・16名の利用者IDが不正ログインされ,総額130万円の商品が不正に購入されたことが判明 した。 ・ログの調査から,①パスワードリスト攻撃と推定された。 ・攻撃の接続元IPアドレスは五つであった。 ②対応 ・不正に購入された商品の半数は,注文及び発送を取り消した。 ・不正ログインされた16名の利用者IDについて,パスワードを強制的にリセットした。 ・②パスワードリスト攻撃の被害を防ぐ上で必要な,パスワードの安全な設定方法を全会員に 案内した。 ・通販サイトに不正アクセスがあったことを情報開示した。 ・認証に対する攻撃を検知するため,次の二つの仕組みを通販サイトに導入した。 -同じIPアドレスから行われる多数のログイン試行を攻撃と判断する。 -一定時間ごとの認証失敗数を記録し,特定のしきい値を超えた場合は,攻撃と判断する。 ・③ログインが普段と異なる環境から行われた場合,会員が事前に登録した電子メールアドレ スにその旨を通知する仕組みを通販サイトに導入した。 (3)対応を通じて顕在化した課題 ・B社セキュリティ部がログを分析した際に誤解が生じた。N社が提供したログの大半は,記 録されていた時刻情報の|。|が日本標準時であり,協定世界時に対し時刻情報が [5}|時間進んだ値で記録されていた。しかし,協定世界時で記録されていたログ や,La|を示す情報が記録されていなかったログも存在した。 ・B社インシデント対応ポリシでは,インシデントに関わる情報を不特定多数に情報開示する のは法令に規定されているなどの幾つかの場合だけであった。そのため,N社は速やかな情 報開示を要望したものの,当初,B社から認められなかった。N社社長からB社の経営陣に 特別な要請を行うことによって,ようやく情報開示が認められた。しかし,情報開示のタイ ミングが遅くなり,N社の基本方針にはそぐわなかった。 図5判明した被害状況及び対応の概要 ーー5ーー [インシデント対応方法の変更] インシデントPの対応が一段落した後,N社の経営陣は,N社で今後インシデント が起きた場合には,N社の基本方針に従って対応する契約に変更したいとB社に申し 入れた。B社は,この申入れに対し,次の条件を満たすことを前提として了承した。 条件1:N社は,ISO/IEC 27001を利用して,自社の情報セキュリティ対策を評価し, その結果と対策案についてB社の了承を得る。 条件2:N社は,B社の支援なしにインシデント対応を行う体制を整備し,その体制 についてB社の了承を得る。 条件3:N社は,インシデント対応後,B社に事後報告を行う。ただし,両社で別途 定める基準によって,B社ブランドを著しく明損するインシデントと判断さ れた場合は,直ちにB社に報告し,対応を協議する。 N社は,条件1ご3を含め,包括的なインシデント対応体制を実現するプロジェク トを発足させた。システム部のG部長を責任者に,システム部のHさんを担当者に それぞれ任命するとともに,情報セキュリティ分野でコンサルティングサービスを 展開するE社に支援を依頼した。E社のコンサルタントである情報処理安全確保支援 t(登録セキスペ)のT氏がN社を支援することになった。 〔条件1への対応〕 条件1に対応すべく,Hさんは,情報セキュリティ対策の評価をT氏に依頼した。 T氏は,ISO/IEC 27001附属書Aを基に評価し,指摘事項と対策案を表1のとおりに 整理した。 表1 T氏の指摘事項と対策案(抜粋) デンロ る。 RTS ATUHS, アが侵入した場合,店舗管理サーバにもマルウェアが侵入するリスクがあ N社は,T氏の対策案を参考に,N社としての対策をまとめ,B社の了承を得た。 a 〔条件2と条件3への対応〕 条件2と条件3に対応すべく,HSA,図6に示すN社インシデント対応ポリシ 案を作成し,T氏のレビューを受けた。 (1)取り扱うインシデントの範囲 サイバー攻撃,不正行為,及びその他の情報セキュリティに関する事件事故を対象とする。 (2)インシデント対応のための組織 インシデント対応を行うためにCSIRTを設置する(以下,N社に設置するCSIRTをN-CSIRT という)。システム部長をN-CSIRT OBES(LAF,N-CSIRT REVS)とし,表2に示す部 門で構成する。インシデントを発見した時点で初期調査を行い,重大なインシデントの可能性 があるとN-CSIRT長が判断した時点で,その重大なインシデントに対応するチーム(以下 PTという)を発足させる。 (3)N-CSIRTの権限 N社の全てのシステムについて,停止又は変更を指示できる。その他の権限が必要な場合 N-CSIRT長は,情報セキュリティ委員会の承認を得る。 (④インシデントの深刻度と対応方針の基準 (省略) (5)情報開示方針 N-CSIRT長は,別途定める基準に従い,対象となるインシデントについて,情報開示の内容 を決定する。不特定多数への情報開示は,事前に情報セキュリティ委員会の承認を得る。 図6 N社インシデント対応ポリシ案(抜粋) 表2 N-CSIRTの構成部門 インシデント対応における技術面を担当する。 従業員による不正が発覚した場合,その対応を担当する。 HAT HOME?N社インシデント対応ポリシの承認を担当する。 運用委託先|各委託先が担当するシステムについて,N-CSIRTと協力し,インシデントの調 査,証跡の取得,システムの停止,復旧などを行う。 Rik,レビューの際のT氏と耳さんの会話である。 TH:インシデント対応プロセスも整理すべきです。NISTの文書SP 800-61 Rev.2 に記載されているインシデント対応のライフサイクルを図7に示します。 —7— 準備事後活動 ーーし|復旧ーー 図7インシデント対応のライフサイクル Hさん:分かりました。図6の一部として整理します。ところで,今後のインシデン ト対応における技術面について不安があります。 THK:インシデント対応サービスを提供し,登録セキスペが多数在籍する専門事業 者が幾つかあります。そのような事業者に支援を依頼するとよいと思いま Oe Hさん:分かりました。表2に専門事業者とその役割を追加します。 N社は,検討結果を取りまとめ,B社の了承を得た。 [新たなインシデントの発生と対応〕 N社インシデント対応ポリシの運用を開始してから約1か月後の11月22日,V社 は,不審な利用者アカウント(以下,AC-Xという)がR1サーバに作成されている ことを見付け,N-CSIRTに報告した。G部長は,インシデントであると判断し,初期 調査をHさんに指示した(以下,。このインシデントをインシデントQという)。Hさ んは,V社と協力してインシデントQについて調査した。その結果を図8に示す。 ・利用者アカウントの作成には管理者権限が必要である。AC-Xは11月19日の深夜1時に作成 された。V社ではその時間帯に誰も作業していなかったことから,不正アクセスの可能性が高 い。 ・R1サーバに一部残っていたアクセスログとFW2のログから,AC-Xが作成されてから発見さ れるまでの4日間,N社でもV社でもない複数のIPアドレスからSSH接続があり,合計10回 以上AC-Xを利用して不正ログインが行われていたことが判明した。 NERO V社からの通信は正規のものだけであった。 図8インシデント0の調査結果(抜粋) ーー8 pe 9は,FW2において,AC-Xが作成されてから発見されるまでの4日間,通信に 成功した全てのパケットを対象とし,通信方向,接続元及び宛先のIPアドレス,サ ービスの組合せで通信量を集計し,降順に並べたものである。Hさんは,⑤図9を基 に,不正ログインを行ったと推測される接続元IPアドレスを割り出した。 インバウンド通信 接続元IPアドレス宛先IFアドレスサービス通信量(kバイト) x2.y2.22.130 R1サーバHTTPS 492 x2.y2.z2.129 R1サーバHTTP 382 x2.y2.22.129 R1サーバHTTPS 379 x2.y2.z2.130 R1サーバSSH 320 x2.y2.z2.129 R1サーバSSH 232 xl.y1.z1.10 R1サーバHTTP 228 x1.yl.z1.200 RLサーバHTTPS 123 x1.y1.z1.100 R1サーバSSH 112 xl.y1.z1.240 R1サーバHTTPS 69 x2.y2.z2.60 R1サーバSSH 48 x1.y1.z1.240 R1サーがSSH 37 xl.y1.z1.10 R1サーバHTTPS 14 x2.y2.22.58 R1サーパSSH 12 a2.b2.c2.d2 R1サーバSSH 6 アウトバウンド通信Y 接続元IPアドレス宛先IPアドレスサービス通信量(kバイト) R1サーバa2.b2.c2.d2 HTTP 960 R1サーバal.b1.c1.d1 HTTP 320 注”"アウトバウンド通信には,R1サーバ上のファイルの持出しに使われたと推測され,かつっ,通 信量が大きいものだけを示す。 図9 FW2での通信量の集計 Hさんから調査結果について報告を受けたG部長は,R1サーバの隔離を指示した EC,インシデントQは重大ながインシデントの可能性があると判断し,PTを発足さ せた。PTは専門事業者の支援を受けて調査を行い,R1サーバには,脆弱性L ROM 弱性Mが残っていることが判明した。脆弱性Lと脆弱性M OMB,及びそれぞれの 対応を見送った経緯とその理由を表3に,PTによる調査結果を図10に示す。 ーー9ーー 表3脆弱性Lと脆弱性Mの概要,及びそれぞれの対応を見送った経緯とその理由 脆弱性L OSコマンドAの脆弱性である。|脆弱性修正プログラムが9月末に公開された OSコマンドAは,指定したプ|が,R1サーバでは適用が見送られた。 ログラムを起動する。脆弱性L|理由:脆弱性Lの悪用には,0SコマンドAを を悪用すると,一般利用者権限実行する必要がある。OSコマンドAを でOSコマンドAを実行した場実行するには,R1サーバにSSH接続し 合でも,指定したプログラムをてログインする必要があり,脆弱性Lが 管理者権限で起動できる。悪用される可能性は低い。さらに,R1 サーバは会員情報及び秘密情報を保持し ないので,影響は小さい。 脆弱性M開発支援ツールJの脆弱性であ|脆弱性修正プログラムが11月10日に公開され る。細工されたHTTPリクエス|たが,R1サーバでは11月末に予定されている トを送信することによって,開|月例メンテナンスで適用することにした。 発支援ツールJを実行している|理由:開発支援ツール」は,OSの一般利用者権 利用者アカウントの権限で任意限で動作しており,変更可能なファイル のコマンドを実行できる。及びディレクトリが限定されている。さ らに,R1サーバは会員情報及び秘密情 報を保持しないので,影響は小さい。 次の(1)て(3)に示す順でR1サーバに攻撃されたことを確認した。 (1)“/etc/shadow”ファイルの参照 ・⑥脆弱性Lと脆弱性Mを悪用して,"/etc/shadow”ファイルを参照した。 (2)利用者アカウントの作成とSSH接続 ・管理者権限でAC-Xを作成した。 ・⑦R1サーバをインターネット経由で操作するために設定を変更した。 ・AC-Xを利用してSSH接続でR1サーバにログインした。 (3)外部へのスキャン ・SSH接続でR1サーバにログインした後,脆弱性スキャンを行うツールXを使って多数のIP アドレスをスキャンし,スキャン結果を二つのファイル(以下,F1ファイルとF2ファイル という)に格納して,攻撃者のサーバにアップロードした。 ・コマンド履歴とフォレンジック調査結果から次に示す内容が判明した。 -ツールXはR1サーバにダウンロードされていた。 -F1ファイルは,ACXのホームディレクトリに配置された後,IPアドレスal.b1.c1.d1 OF ーバにアップロードされ,その後ホームディレクトリから削除されていた。F1ファイル はフォレンジック調査によって復元でき,サイズは320kバイトであった。F1ファイルに ik,ツールXが8個のIPアドレスをスキャンした結果が格納されており,IPアドレスご との出力結果は固定長であった。 -OF2ファイルは一部しか復元できなかったが,F1ファイルと同様の形式で,ツールXに よるスキャン結果が格納されていると考えられた。 図19 PTによる調査結果 引き続いて,R1サーバハ以外への侵入拡大の有無を確認した。 (4)他サーバ和群への侵入拡大の有無 ・他サーバ和群には,開発支援ジール]がインストールされていない。したがって,脆弱性Mが 悪用されることはなく,上記(Q①)~て(3)の攻撃は発生しない。 ・他サーバ和群に登録されている利用者アカウントには,十分な複雑慎をもち,異なるパスワー ドが設定されていた。また,SSH接続による不審なねログイン試行が行われていないことをロ グから確認した。 (5)通販サイトへの侵入拡大の有無 ・通販サイトには,脆弱性Lが残っているサーバも,開発支援ツール]がインストールされて いるサーバも存在しない。また,開発用システムの接続制御から,R1サーバから通販サイ トへの侵入拡大も困難である。したがって,通販サイト内への侵入はないと判断した。 図19 PTによる調査結果(MX) この報告を受けたG部長は,幸いにも被害が限定的であり,顧客への影響が全く ないことから,インシデントQについて情報開示する必要はないと判断し,情報セ キュリティ委員会に報告し承認を得た。 COR,G部長は,利用者アカウントのパスワード変更,R1サーバの復旧,脆弱 MEL及び脆弱性Mを解消する脆弱性修正プログラムの適用,⑨SSH接続及びHTTP 接続を使った攻撃から開発用システムを保護するための措置などを指示した。 [脆弱性管理プロセスの改善 インシデントPと比較してインシデントQの対応は迅速に行われ,N-CSIRTのイ ンシデント対応は有効であると,N社の経営陣からもB社からも一定の評価を得た。 一方,インシデントQでR1サーバが不正にログインされたことを考えると,OMS (イ)及び(ウ)において,悪用される可能性の評価についての観点の不足,又は 影響の評価についての観点の不足があり,悪用される可能性又は影響を過小評価し たのではないかという指摘があった。そのため,脆弱性管理プロセスを見直すこと だした。 インシデントPの終息から1年後,表1の指摘事項及びインシデントQで明らか になった課題は全て解決できた。N-CSIRTは,関係者の訓練を進め,更に迅速かつ 効果的なインシデント対応が可能になった。

共通の文章

クラウドセキュリティに関する次の記述を読んで,設問1ー6に答えよ。 C社は,従業員150名の個人向けの投資コンサルティング会社である。金融商品や 不動産投資に詳しいファイナンシャルプランナ60名からなる事業部,50名の営業部, 20名の企画部,20名の経営管理部がある。顧客の投資診断や運用の提案を行うロボ ットアドバイザサービスが好調で,創立5年目で売上高が30億円を超える会社に成 長を遂げた。 CEOは,顧客満足度と従業員満足度の向上を目指して,次期ITに関して次のよう な方針を示している。 次期ITの方針1:サービスを更に向上させるために積極的にITを活用する。特に SaaSを活用する。 次期ITの方針2:働き方改革及びパンデミック対策の観点から,テレワーク環境を 整備する。 C社では,経営管理部内の総務グループ(以下,総務Gという)の5名が情報シス テムの管理を担当している。 C社の現在の情報システム概要は,図1のとおりである。 レンタルWebサービス ~ 1C社AN Com]|AP:無線LANアクセスポイント Ls ae y.{|L2SW:レイヤ2スイッチ !|ES:共有ファイルサーバ C社オフィスC-PC:総務Gが管理するPC M1 C社の現在の情報システム概要 ー14一 UTMは,ステートフルパケットインスペクション型ファイアウォールに複数のセ キュリティ機能を統合したものである。DHCPサーバの機能も備えており,APに接 続する機器に192.168.1.20て192.168.1.240の範囲のTPアドレスを配布している。 C社内LANのネットワークセグメントは一つだけである。AMT L2SWに接続し ている機器には固定のIPアドレスを割り当てている。無線LANはWPA2パーソナル で運用しており,SSID及び事前共有鍵を従業員に開示している。 C社は,従業員に1人1台のC-PCを貸与している。O0Sのドメインコントローラは 導入しておらず,従業員は貸与されたC-PCにローカルログインする。C-PCはAPに 接続し,インターネットへのアクセスが可能である。事業部及び企画部では,MA への提案や企画の立案時にインターネット上にある多くの情報を収集,取捨選択, 加工することによって付加価値を生み出すことが不可欠であると誰識している。そ の他の部門では,取引先などの企業情報検索と出張先への経路の検索にインターネ ットを利用している。 PC,スマートフォンなどの個人所有の機器(以下,個人所有機器という)のC社 内LANへの接続は統制しておらず,多くの従業員は,個人所有機器をAPに接続し て使用している。また,業務で新たにSaaSを利用する際,会社で統一された承認ル ールはなく,各部の判断でSaaSの利用契約を締結している。 [一つ目のトラブル〕 新入社員が配属されたある日,C-PCで障害が発生しているという連絡が総務Gに Lok,総務GのAさんが調査したところ,次のような状況であった。 ・朝の時点では,C-PCや個人所有機器の利用について特に異常を感じた従業員はい なかった。 ・営業部のUさんが13時に出張から戻りC-PCを起動したところ,C-PCへのローカ ルログインはできたが,業務サーバにアクセスできず,メールの送受信もインタ ーネット上のWebサイトの閲覧もできなかった。 ・この後に起動したC-PCや接続しようとした個人所有機器の多くで同様の障害が発 生していたが,何台かのC-PCや個人所有機器では障害が発生していなかった。障 害が発生していたものと発生していなかったものとで,障害原因になるような違 いは見当たらなかった。 =物= Aさんは,障害が発生していたC-PCのネットワーク設定を調べたところ,①上位 2オクテットが169.254に設定されたIPアドレスで動作していることに気付いた。C 社は雑居ビルの中にあって誰でもC社オフィスに近づくことが可能なので,偽の DHCPサーバが立ち上げられたなど,何らかのサイバー攻撃を受けているのではない かと心配になり,経営管理部のE部長に報告した。E EMR,専門家の助言が必要と GA,C社内LANの構築で支援を受けたD社に依頼した。 D社のセキュリティコンサルタントである情報処理安全確保支援土(登録セキスペ) のKKさんは,Aさんから説明を受け,次のようにコメントした。 コメント1:障害が発生したC-PCのIPアドレスは,DHCPサーバが正常に動作し ていない場合にしばしば確認される。偽のDHCPサーバの設置ではな <,⑫C社内LANでの個人所有機器の利用が原因で問題が引き起こさ れた結果である。個人所有機器の利用が原因であれば,DHCPサーバの 設定変更で当面の障害に対処し,C社内での個人所有機器の利用を見直 していくのがよい、。 コメント2:念のために,⑧UTM以外にDHCPサーバが稼働しているかどうかも調 査するとよい。 コメントを受け,Aさんが調査したところ,UTM以外にDHCPサーバは確認でき なかった。このことから,サイバー攻撃を受けているわけではないと判断し,DHCP サーバの設定を変更した。 〔二つ目のトラブル〕 DHCPサーバに起因するトラブル(以下,トラブル1という)が解決した直後,企 画部が最近利用し始めたビジネスチャットサービスR(QR,サービスRという)と いう無料のSaaSにおいて,別のトラブル(以下,トラブル2という)が発生した。 トラブル2の報告を受けたAさんが調査したところ,次のような状況であった。 状況1:企画部の部員がサービスRに開設したチャットエリアにおいて,模造サング ラス販売の不正サイトに誘導するチャットが,部員のVさんのアカウントか ら連続して書き込まれた。Vさん本人は,身に覚えがないとのことだった。 状況2:企画部では,以前からサービスWというSNSを使って公開情報を発信して いる。Vさんを含む部員の数名は,会社のメールアドレスをサービスRとサ ービスWの利用者IDとして登録し,両方のサービスで同じパスワードを設 定していた。サービスWでは,パスワード漏えいの事故があり,企画部の 部員は全員がサービスWのパスワードを変更したが,誰もサービスRのパ スワードは変更しなかった。 状況3:外部の何者かがサービスR内の情報に不正にアクセスし情報を持ち出してい ないかを調査するため,サービスRの提供会社にアクセスログを提供しても らえないかと問い合わせたが,無料のサービスについては提供できないと いう回答だった。 状況1て3から,Aさんは,サービスRのアカウントが乗っ取られている可能性が 高いので全員のパスワードをすぐに変更すべきであることと,サービスRでどのよう な情報にアクセスされたかはログが入手できないのてで調査が困難であることを部長 に報告した。E部長は,状況3について,仮に情報漏えいがあった場合,最大でどの 程度の被害となり得るかを判断するために,アクセスログの調査以外に実施でき る調査を指示した。Aさんは,総務Cのほかの部員にも協力を仰ぎ,指示された調査 を実施して結果をまとめた。 E部長は,調査の結果を確認し,今回は大きな被害はなかったと判断したが,情報 セキュリティ対策の強化が急務であると感じた。そこで,業務における個人所有機 器及びSaaSの利用を統制すべきとCEOに提言した。CEO ld,統制の必要性に合意 したが,一方で,過剰に統制すると従業員のビジネスマインドを阻害しかねないの で,統制レベルを慎重に検討するよう指示した。 次期ITのセキュリティ要件] E部長は,トラブル1及びトラブル2の再発防止策,並びに次期ITの方針を踏ま えて,統制の実現に向けた次期ITのセキュリティ要件を表1のように整理した。 =jf e 表1次期ITのセキュリティ要件 APには,C-PCだけを接続できるようにする。 業務での個人所有機器の利用を禁止する。テレワークに必要なPCは貸与する。 要件|パスワードの使い回しを防ぎ,従業員がパスワードを管理する負担を軽減するため, SaaSへのログインを統合する。 要件4|業務で利用するSaaSは,総務Gが契約したSaaSだけに制限する。また,業務に不要な Webサイトへのアクセスを制限する。ただし,業務での情報収集は妨げないようにす る。 要件5|総務Gが契約したSaaSには,総務Gが管理するアカウントでアクセスする。C-PCか らは,従業員が個人で管理するアカウントでのアクセスができないようにする。 業務で利用するSaaSは,その安全性を総務Gが判断した上で契約する。 業務で利用するSaaSからの情報漏えいを防ぐための技術的対策を導入する。 (BYE 1の検討 APへの接続方式をWPA2エンタープライズにし,APへの接続時にIEEE 802.1X (以下,802.1Xという)でのディジタル証明書による認証を行う。 802.1Xのシーケンスを図2に示す。 サプリカント 1.認証要求の開始 2.認証方式の通知 3.BAPメッセージのやり取り 4,認証の成功を通知4.認証の成功を通知 6.暗号鍵の配布 図2 892.1Xのシーケンス(概要) 図2中のサプリカントには図1中の| 』|が,図2中の認証装置には図1中 の| b|が該当する。C-PCのIPアドレスは,図2中の|c|,DHcPサ ーバから割り当てられる。 [要件2及び3の検討] 要件2については,業務で利用するC社の情報システムやSaaSへのアクセスの際, 機器をクライアント認証することにした。また,要件3については,SaaSへのアク セスにおける認証と認可に,インターネット上の認証サービスであるIDaaSを利用す ることにした。 代表的なIDaaSであるサービスQについて調査した。サービスQの概要を表2に 示す。 表2サービス0Qの概要 提供形態クラウドサービスとして機能を提供している。 2|接続元の認証|次の方式又はその組合せで認証することができる。 -利用者ID及びパスワード -ディジタル託明書によるTLSクライアント認証リ -ワンタイムパスワードデバイス又はSMSを使ったワンタイムパスワ ード -生体認証 3|SaaSとの連携|SAMLを採用しているSaaSと連携できる。連携したSaaSにはシングル サインオンできる。 注!ディジタル証明書は,クレデンシャルとともに検証する。 C社の各部と議論を重ねた結果,幾つかのSaaSを総務Gで契約し,管理して提供 すれば,ほとんどの業務が行えることが分かった。これらのSaaSは全てSAML認証 に対応しており,サービスQと連携できることも確認できた。また,ディジタル証 明書だけで認証することもでき,従業員がパスワードを管理する負担の軽減につな がるので,サービスQを採用することにした。 C社オフィス外での業務については,モバイルPCを追加で購入し,モバイルPC を持ち出し用のC-PC(以下,持出C-PCという)として貸与することにした。 [要件4及び5の検討] 要件4を満たすためには,総務Gが契約したSaaSへのアクセスについてサービス Qでの認証を必須にするだけでなく,総務Gが契約していないSaaSやインターネッ ト上の様々なWebサイトへのアクセスも制御する必要がある。しかし,総務Gが契 約したSaaS,企業情報検索,出張先への経路検索及びC社の情報システムへのアク セスだけを許可し,それ以外へのアクセスを全て遮断すると,⑤支障が出る業務が ある。 調査を更に進めた結果,要件4及び5の実現に利用できそうなサービスがあること が分かった。機器からインターネットへの通信を中継するプロキシ型のクラウドサ ービスである。その一つにサービスNがある。サービスNを利用するには,機器か らインターネットへの通信を全てサービスN経由で行うなどの制御を行う端末制御 エージェントソフトウェア(以下,Pソフトという)を機器に導入する必要がある。 管理者は,Pソフトを,一般利用者権限では動作の停止やアンインストールができな いように設定することができる。 サービスNの機能を表3に示す。 表3サービスNの機能(抜粋) 1利用者IDによ|・Pソフトで,SaaSへのログイン時に,許可された利用者IDの場合だ るフィルタリけ通信を許可し,その他の利用者IDの場合は通信を遮断する。 ング機能・許可する利用者IDは,管理者がSaaSごとに設定できる。 2|URLフィルタ|・サービスNが中継する際に,アクセス可能なURLを制限する。 リング機能・制限するURLのリストはベンダから提供され,例えば,"ショッピン グ",“犯罪・暴力",“金融・経済"などWebサイトの内容による分類 や,“オンラインストレージ”,“アップローダ"などのWebサービス の機能による分類がされており,管理者が選択できる。 ・制限するURLは,管理者が追加及び削除できる。 3|可視化機能・中継する通信を監視し,統計情報をログとして提供する。 ・一部のSaaSについては,そのSaaSが提供するAPIを使って,アクセ スログを収集できる。 4|保管時の自動|・一部のSaaSに対し,そのSaaSが提供するAPIを使って,特定フォル 暗号化機能ダに保管するファイルを自動的に暗号化することができる。 ・暗号鍵は,利用者ごと又は社内共通にすることができる。 要件4及び5は,サービスQとサービスNを組み合わせて実現する。サービスQ| とサービスNを利用した場合の動作の概要を図3に示す。 1.サービス要求 ml。| 3.リダイレクト指示 come| 5.認証要求 camdome fragt| 応答 送信 注記1図中の"処理"には,先行するシーケンスを入力とした条件判断などの処理と,そのまま次 のシーケンスにリダイレクトする処理がある。 注記2サービスNの処理などは記述を省略している。 注'総務Gが契約しているSaaSである。 図3サービスQとサービスNを利用した場合の動作の概要 図3において,ORB Gが管理していない機器からのサービス要求があった場合 は,シーケンスが途中で遮断される。 調査の結果.,サービスQとサービスNを利用することで要件4及び5を実現でき ると判断し,サービスNを採用することにした。 〔要件6及び7の検討] 要件6については,C社では,SaaSを契約するに当たって,⑦SaaS又はSaaS事業 者が何らかのセキュリティ規格に準拠していることの第三者による認証を確認する か,SaaS事業者が自ら発行するホワイトペーパを確認することにした。 要件7については,SaaSで重要な情報を扱う場合,当該SaaSで利用可能ならば表 3中の番号|q|の機能を利用する。それによって,サービスNを経由しない 不正アクセスによるSaaSからの情報漏えいを防ぐことで,要件7に対応することに した。 (RHA ITへの移行 C-PCは管理者権限による管理を総務Gが行い,従業員には一般利用者権限だけを 与えることにした。また,OH CPC le,セキュリティ設定とソフトウェアなどの 導入を行ってから従業員に貸与することにした。 検討を進めた次期ITへの移行計画は承認され,C社の情報システムは次期ITに移 行された。