情報セキュリティ対策

要点と定義

情報セキュリティ対策は、情報や情報システムに対するリスクを減らし、人的・技術的・物理的な側面から保護する取り組みです。守る対象と想定する脅威を確かめ、対策の目的に合う手段を選びます。

人的対策は、教育・訓練、認証情報の割当てと管理、秘密保持の取り決めなどにより、人的ミス、不正行為、盗難、ソーシャルエンジニアリングのリスクを軽減します。従業員が個人所有の端末を業務に使うBYODでは、業務で扱う情報や端末の管理方法を考える必要があります。会社所有端末の業務利用や、私物端末の私的利用とは区別します。

技術的対策は、ソフトウェア、データ、PC、サーバ、ネットワークなどに技術的な防御や管理を施し、被害の発生や拡大を防ぐものです。例にはマルウェア対策、脆弱性修正、ネットワーク監視、侵入検知・防止、アクセス制御があります。機能に必要な権限だけを与える考え方は最小権限です。検索・表示だけを行うアプリケーションなら参照権限で足り、登録・変更・削除の権限は不要です。余分な権限は、誤操作や侵害時に可能となる操作を増やします。

公衆無線LANでは、同じアクセスポイントに接続した端末同士の通信を遮断する設定により、利用者が他の利用者の端末へ無断でアクセスするリスクを下げられます。この設定は端末間の到達を防ぐもので、通信相手が必要な環境では業務要件も踏まえて設計します。

技術的対策を考える際は、攻撃が起きる段階や仕組みも見分けます。ドライブバイダウンロードは、Webサイトの閲覧をきっかけに、本人の意図に反してマルウェアをダウンロードさせ、感染させる攻撃です。ポートスキャンは、侵入前に通信可能なポートや稼働サービスを調べ、攻撃対象となり得るものを探す行為です。どちらも技術的セキュリティに関係しますが、前者は感染、後者は事前の情報収集に関わります。

SQLインジェクションへの対策では、入力値がSQL文の一部として解釈されないようにします。プレースホルダを使ってSQL文と値を分けて扱う方法が示されています。文字列連結でSQL文を組み立てる場合には、連結する文字列へのエスケープ処理も対策になります。

情報の保管は、利用目的に必要な期間を考えて定めます。必要以上に長く保持しないことは、流出した場合に影響を受ける情報を減らすことにつながります。ただし、利用目的に必要な情報を早く消去しすぎると、必要な業務を行えません。アクセスログは、事故後にアクセスの状況を調査し、原因や対象範囲を特定する手掛かりです。ログ取得それ自体は攻撃を遮断する対策ではありません。

暗号化を使うファイル受渡しでは、鍵の扱いも安全性を左右します。共通鍵暗号では送信者と受信者が同じ鍵を使うため、暗号化したファイルと復号鍵の両方が盗み見られる状況では、内容を読まれるおそれがあります。公開鍵暗号で受信者の公開鍵を使う場合も、その鍵が意図した相手のものだと確認できる方法で入手する必要があります。方式の費用を比べるときは、機密度などの必須条件を確認して候補を絞った後、利用人数や期間に応じた費用を計算します。

物理的対策は、侵入、盗難、水害、落雷、地震、火災などから情報システムを保護し、信頼性や可用性を確保する対策です。施錠や入退室管理、監視カメラ、耐震・耐火設備、UPS、遠隔バックアップなどが例です。記憶媒体の保管、受渡し、装置の安全な処分や再利用も管理の対象です。機密情報を含む媒体は、箱に入れるだけでは保管・輸送中の盗難や紛失、情報漏えいへの備えとして十分とは限りません。委託先での保管状況の確認、機密保持の取り決め、受渡し記録などを組み合わせます。

適用条件と例

対策を選ぶときは、守る情報・システム、想定する脅威、必要な業務を整理します。たとえば、利用者が同じ公衆無線LANを使う場面で端末への無断アクセスを抑えたいなら、アクセスポイントで端末間通信を遮断する方法が候補です。端末同士の通信が業務に必要なら、その要件を踏まえて範囲や設定を決めます。

権限は、アプリケーションが実際に行う操作から決めます。利用者情報を検索して表示するだけなら参照権限にします。更新機能を追加する場合は、その機能に必要な範囲の権限を追加で検討しますが、管理者権限を一律に与える理由にはなりません。