セキュリティ対策と実装

要点と定義

情報セキュリティ対策は、守る対象と脅威に応じて、人的・技術的・物理的な手段を組み合わせます。ネットワークの区画では、社外との通信や公開が必要なサーバをDMZに置き、社外秘情報を保存するファイルサーバは企業内LANに置くのが基本です。設置場所を判断するときは、外部からのアクセスが必要かを確かめます。

技術的対策には、通信やデータを守る仕組みがあります。S/MIMEは電子証明書を用いてメールの暗号化や電子署名を行う規格です。メールの送受信方式や転送方式そのものとは役割が異なります。

暗号化は、鍵がない第三者にデータの内容を読まれにくくする対策です。保存データの漏えいを防ぎたいときは、データを暗号化して保存します。電子署名は作成者や改ざんの有無の確認を支援し、バックアップやRAIDは主にデータの保全や可用性に関わるため、目的を区別します。

利用者認証では、認証情報の種類と仕組みを見分けます。虹彩・指紋・静脈など身体的特徴を使うものが生体認証で、PINのように本人が知っている情報は生体情報ではありません。 シングルサインオンは、最初の認証後、許可された複数のサービスを利用できる仕組みです。 マトリクス認証は、利用者が覚えている位置に対応する数字や文字を表から入力する方式です。ワンタイムパスワードや生体認証とは、認証の仕組みが異なります。

公開鍵基盤では、公開鍵と秘密鍵の組に対応する電子証明書を使います。秘密鍵が漏えいしたときは、その鍵に対応する証明書を認証局に失効申請し、第三者による悪用を防ぐ必要があります。

適用条件と例

脆弱性への修正や対策が公開される前に、その脆弱性を悪用する攻撃がゼロデイ攻撃です。修正プログラムが出るまでの時間条件や、感染後にすぐ発症するかどうかで定義するものではありません。

ウイルス感染リスクを下げるには、ソフトウェアへのセキュリティパッチ適用と、利用者へのセキュリティ教育が役立ちます。パッチは脆弱性を悪用される危険を減らし、教育は不審な添付ファイルやリンクを開く行動を避ける助けになります。対策の効果は脅威に応じて判断します。

無線LANでは、暗号化方式の強さだけでなく、接続後に許される通信範囲も確認します。WEPを使うネットワークは脆弱性を突かれて不正接続されるおそれがあり、接続後にインターネット通信が許可されていれば、回線を不正利用される被害が起こりやすくなります。LAN内機器への通信制限や別のネットワークの暗号化キーは、被害の広がりを考える際の条件です。