マインドマップで学ぶ－技術者のためのシステムセキュリティ対策入門（第７回）

梅原伸行

システム的なセキュリティ対策周辺を図解していく本連載ですが、今回は「不正アクセス」に対するセキュリティ対策を取り上げたいと思います。

「不正アクセス」と聞くと、技術者の方であれば、外部からネットワークに侵入して機密情報を盗んだりデータを破壊する「クラッカー」などの仕業を連想されるかもしれません。また、「不正アクセス」対策として、外部から内部ネットワークを保護する「ファイアウォール」の設置、ネットワーク接続やサービス利用許可を管理する「アクセス制御」・「認証」が思い浮かぶと思います。実際、これらは「不正アクセス」に対するシステムセキュリティ対策の「基本」また「前提」として欠かすことはできません。

しかし、最近のインシデント４の状況を見ると、それだけでは十分ではないことが分かってきました。例えば、NPO日本ネットワークセキュリティ協会（JNSA)の「2009年情報セキュリティインシデントに関する調査報告」５によると、前述のようなシステム的な対策で防ぐことができると思われる「不正アクセス」は漏洩原因のわずか0.6%、「バグ・セキュリティホール」（1.3%）および「ワーム・ウィルス」（0.5%）を含めても2.4%にしか過ぎず、むしろ「目的外使用」（1.0%）・「内部犯罪・内部不正」（1.0%）・「不正な情報持ち出し」（3.4％）といった「人的」要因の方が上回っています。

このことは、どんなに鍵を複雑にしても、鍵を持っている本人が犯行を行えば防犯とならないのと同じように、「不正アクセス」対策もシステム的なセキュリティ対策だけでは内部犯行までは完全に防ぐことはできないということを意味しています。

では、どうしたら不正アクセスを防ぐことができるでしょうか？

2004年1月に大規模情報漏洩事件を発生させたソフトバンクBBでは、その後、100億円近く投資して、全社員の電子メール送受信や閲覧したインターネットサイト、使用ソフトなどパソコン操作履歴をすべて監視する「社員監視体制」を設立し、データ管理センターの安全性をいわば「米国防総省級」に高める総合的なセキュリティ対策を実施しました。

しかし、通常、そこまで膨大な費用をかけて対策を行うことは難しいですし、手順を複雑にしずぎると業務効率が低下してしまう可能性もあります。

一方、近年、「インシデントマネジメント」という枠組みで、「不正アクセス」を含めたインシデントの未然防止およびインシデント発生時の被害拡大防止に取り組む考え方があります。

これは、ちょうど企業や組織で行っている「防災訓練」のように、(1)自社で想定し得るインシデントの「シナリオ」（例：情報漏洩）とその対策を計画（Plan）、(2)インシデントが発生した際の対応（インシデントハンドリング）を訓練（Do）、(3)インシデント対応のレビュー（Check）、(4)インシデント計画の見直し（Act）と繰返すことにより、インシデント発生の原因究明および再発防止を図るものです。

「インシデントハンドリング」において、鍵となるのが「トリアージ」という考え方で、インシデント発生時、すぐに復旧作業に取り掛かるのではなく、まず作業の対象や優先順位を決めることで、完全復旧までの時間を最短にすることを目指します。例えば、「不正アクセス」による情報漏洩が発覚した場合、情報漏洩による被害が拡大しないようサービスの停止を行いつつ、不用意な操作によってシステム上に残された証拠を消してしまわないよう、踏み台にされたサーバの電源を入れたままネットワークから遮断するなどの応急処置を行うことができます。

いずれにしても、「人為的」であるだけに「不正アクセス」対策がセキュリティ対策のうち最も難しいかもしれません。

次回は、「ウィルス感染」に対するシステムセキュリティ対策のポイントを取り上げたいと思います。