情報セキュリティ対策

要点と定義

情報セキュリティ対策は、人的・技術的・物理的な側面から、情報や情報システムを脅威から守るための措置である。技術的対策には、ソフトウェア、データ、端末、サーバ、ネットワークに対する対策が含まれる。例として、アクセス制御、ログ管理、脆弱性管理、ネットワーク監視、侵入検知・防止、DMZ、マルウェア対策がある。脆弱性管理では、OSやソフトウェアの更新、セキュリティパッチの適用などを行う。人的対策には教育・訓練や認証情報の管理、物理的対策には入退室管理や設備の保護などがある。

適用条件と例

対策は、守る対象と脅威に合わせて選ぶ。内部端末からインターネットへ接続する場合、NAPTはアドレスとポート番号を変換し、対応する変換情報のない外部通信が内部端末に届きにくくなる。Web閲覧では、DMZ上のVDIサーバでブラウザを動かし、端末には画面情報だけを送ることで、受信ファイルが端末へ直接届くのを防ぐ効果が期待できる。機器やソフトウェアの脆弱性には、更新方法や更新機能を整え、必要なアップデートを実施する。情報ネットワークと制御ネットワークの両方と通信する更新用サーバは、境界のDMZに配置する構成がある。対面決済の本人確認では、ICチップによるオフラインPIN照合が適用例となる。Webシステムでは、ログアウト時にサーバ側のセッションIDを無効化する。

NAPTは、内部端末のプライベートIPアドレスとポート番号を変換し、内部から開始した通信の応答を変換情報に基づいて端末へ戻す。対応する変換情報がない外部からの通信は内部端末へ届きにくくなる。この節では、ネットワーク上の技術的対策の適用例として扱う。

VDIを用いたWeb閲覧では、ブラウザをDMZ上のサーバで動かしてWebサイトからのデータをサーバ側で処理し、利用者端末へ画面情報だけを送る構成がある。受信したファイルが端末へ直接ダウンロードされるのを防ぐ効果が期待できる。

機器やソフトウェアを安全な状態に保つ技術的対策として、アップデート方法を検討し、更新機能を備え、必要な更新を実施する。これは本節で扱う脆弱性管理やソフトウェア更新の適用例である。

製品の脆弱性が発見された場合、製品開発者は脆弱性情報の公表時期を関係機関と調整する。この節では、脆弱性が判明した際の対応の一例として扱い、制度全般には踏み込まない。