セキュリティ対策と実装

要点と定義

情報セキュリティ対策は、人的・技術的・物理的な側面から考える。人の行動や手順を整える対策、技術で情報や端末を守る対策、施設や設備を守る対策を、脅威に合わせて使い分ける。相互チェックは人的対策、施設の施錠と鍵の管理は物理的対策である。

技術的対策には、端末管理、アクセス制御、通信の暗号化、脆弱性への対処などがある。MDMは、組織がモバイル端末の状態を監視し、リモートロックや遠隔データ削除などを行って端末を管理する仕組みである。データや文書の統合管理、私物端末の業務利用、削除データの復旧とは目的が異なる。

Webページへの入力に悪意あるスクリプトが埋め込まれ、訪問者のブラウザで実行される攻撃は、クロスサイトスクリプティングである。「どこで何が実行されるか」が判断の手掛かりになる。

ファイルのハッシュ値は、ファイル内容から計算される値である。同じ内容のファイルを探す調査ではハッシュ値を照合する。アクセス権、拡張子、所有者は内容そのものを示さない。

接続を許可する端末を指定するアクセス制御では、MACアドレスを端末の識別に使える。IPアドレスやポート番号は通信先やサービスの識別に使われる。

受信者だけが読めるように公開鍵暗号方式で暗号化する場合、受信者の公開鍵で暗号化し、対応する受信者の秘密鍵で復号する。

電子署名は、作成者の秘密鍵で付与し、作成者の公開鍵で検証する。Webサーバとの暗号化通信でサーバの公開鍵を使う処理とは、目的が異なる。

パスワードの盗聴は通信中の情報を読み取られる脅威なので、暗号化された通信が対策になる。総当たり攻撃には、パスワードの入力試行回数の制限が対策になる。

無線LANでは、WEPに短時間で解読される脆弱性が報告されており、より暗号強度の高いWPA2が推奨される。ネットワーク名やWeb通信の保護方式、メールの暗号化・署名方式とは区別する。

生体認証は、指紋や静脈などの身体的特徴に加え、筆跡やキーストロークなどの行動的特徴も利用する。静脈パターンを登録情報と照合するのも生体認証であり、誤判定の可能性がある。

適用条件と例

脅威に合わせて対策を選ぶ。たとえば、持ち出す業務用スマートフォンの紛失に備えるなら、端末の状態を管理し、必要に応じて遠隔ロックやデータ削除を行えるMDMが候補になる。施設への不正な立入りを防ぎたいなら、区画の施錠や鍵の貸出し管理を行う。