セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
セキュリティー管理に万全はない。失敗はつきものである。その失敗をどのように消化すべきかについて考える。セキュリティー管理における失敗は、システムを改善するためのキッカケである。この第四回失敗からの学習キッカケをうまく使えるかがセキュリティー管理を豊かなものにするポイントとなる。単に失敗として糾弾するだけでは、システムはよくならない。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

セキュリティー管理は、管理対象であ定することはできないのだ。たとえば、いう認識を持たなければならない。余談

る情報通信システムにおいて、いわゆる未知のセキュリティーホールを用いた不になるが、2002年7月に住民基本台帳ネセキュリティーインシデントが発生しな正アクセス行為というものを考えれば、ットワークの運用開始時に、片山総務大いようにすることが目的である。ここで、これまでの経験から発生の可能性がゼ

臣が「住基ネットワークは100パーセンセキュリティーインシデントとは、各組織ロと言い切ることはできないのである

ト安全です」という談話が、情報セキュで決められているセキュリティーポリシが、しかし具体的対策が立てられるかとリティー専門家の失笑を誘ったのは有名

ーに違反する事象を指すことが一般的

言えば、未知であるがゆえに対策を立な話である。

である。したがって、セキュリティーインてることは不可能に近い。したがって、シデントの実態を考えると、組織ごとにどんなに頑張っても、セキュリティーイ多少の差があるものだ。

ンシデントが発生する可能性はあり、仮しかし、どんなセキュリティー管理をにインシデントが発生してしまったら、で行おうとも、インシデントの発生を想定きる限り影響範囲を最小化し、同時にした対応手順は必ず決めなければなら短期間にシステムを復旧できるようにすない。インシデント発生の可能性をゼロることを目標にセキュリティー管理を設にすることはどんなに頑張っても不可能計するのがあたりまえだ。

戦略１

インシデントの発生の可能性は、セキュリティー管理にどれだけ頑張ってもゼロにはならない。このことをみんなが理解するようにしよう。

「これは誰の責任か?」という愚問
前節で述べたように、インシデントのであるからだ。セキュリティー管理では、また、セキュリティー管理に携わる技発生は避けることができない。もちろん、リスクアセスメントの作業によって、シ術者だけがインシデント発生の可能性顕在化しているリスクについて、それをステムにとってのさまざまなリスクを明に対する認識を持っていては仕方がな看過し放置していたことでインシデントらかにし、顕在化しているリスクに対しい。システムは誰もが使うものであり、が発生したならば、その責任は追及されて対策を立てて対応することになる。しまた、組織運営に直接かかわるものでてしかるべきだと考える。しかし真っ当かし、同時に常に顕在化していない未知ある。したがって、組織トップを含めたな方法と手順でセキュリティー管理を設の原因によって引き起こされるセキュリ

経営陣やユーザーにおいても、「インシ計し、運用していたとしたら、その場合ティーインシデントの発生の可能性を否デントは発生する可能性が常にある」とには責任追及はどれだけ重要だろうか。

188 +++ internet magazine 2003.08 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

インシデントが発生すると、すぐに「イ一方、インシデントが発生した段階で、のが一般的だと思う。しかし、状況によンシデントの発生したことには、誰が責すぐさま誰の責任かを問うことは、言っっては犯人探しに重点をおかなければ任とるのだ？」と詰問する経営者がいる。てみれば火災現場での消火作業に取りならないこともある。

確かに、責任問題をうやむやにするのは組んでいる消防士に対して、「まずは君セキュリティー管理を考える場合、何よくないが、かといって本当に責任追及らの火災防止への取り組みを評価するを守るべきなのかを考えるのが普通でを厳しく行っても、実はいいことはあまから」と言うようなものだ。そんなことはある。つまり、管理対象としての資産はりないのだ。どちらかと言えば、セキュ鎮火してからにしてくれ、というのが本音なんであるのかという問題に結論を出しリティー管理の実務に携わっていたスタだろう。コンピュータネットワークにおけておくことである。多くの場合は、シスッフのモラルハザードを起こしてしまう

るセキュリティーインシデントへの対応

テムやネットワークそのものの安定した可能性もあるのだ。

でも同じだ。まずはインシデントの影響稼働に重きを置く。このような場合には、インシデントが発生した場合、本来私を押さえ込み、さらには、再発しないよシステムの運用に影響を与える事態をたちが注視しなければならないことは、うに改善することが、他の何よりも優先発生させないことがセキュリティー管理発生したインシデントをどれだけ短期間順位が高い。の基本的な方針になるだろう。セキュリに沈静化させて被害拡大を抑えることができたかであろう。発生したインシデントがネットワーク伝搬型ウイルスのように被害の拡大を引き起こす可能性が戦
略２

インシデント対応では、被害の拡大を食い止めたことを称えるべきであり、責任追及はモラルハザードを引き起こす可能性が高い。

おそらくその未知の手順によってインシデントが発生させられたと想定してもいいだろう。本来、セキュリティー管理では顕在化しているリスクに対しては何ら高い要因によって引き起こされたのであれば、最初に感染してしまったシステム

ティーインシデントが発生した際には、原因究明と犯人探しかの対応をするのが一般的であるから、インシデントが発生すれば、それは未知はどのシステムなのかを解明することにより、責任を負うべき人間を探すことよ

インシデントが発生してしまった場合、の手法によるインシデントと考えるべきりも、他のシステムにウイルスが伝搬しまずはインシデントの影響を最小化するだろう。したがって、当然原因究明に努て被害が拡大してしまうことをいかに抑こと、つまり、被害の拡大を最小化する

めて再発防止を確実なものにすることがえ込むのかが本当に重要なことだろう。

ことが優先される作業であるが、その作重要になるのだ。

インシデントに対して立ち向かうエン業中にも並行して行わなければならない

一方、システムなどはどうでもよくて、ジニアは、原因がよく見えない状況で被作業がある。それが、原因解明のためのシステムが持っている情報そのものを害の拡大を抑えることに努力する、言っ情報収集と保全である。さらに、場合に保護対象にする場合には、誰が犯人かてみれば消防士と同じである。インシデ

よってはインシデントを引き起こした犯を考えることが本当に重要になる。たとントはまさに火災と同じであり、インシ人を探し出すために司法当局の捜査にえば、オンラインショッピングサービスデントを正しく抑え込むことができれば、委ねるための、いわゆる証拠を確保すを運営していて、どうやらお客さんのクつまり、火災を鎮火することができれば、ることも必要になるかもしれない。

レジットカード番号が盗み出されたようその行為を本来たたえるべきであろう。

この情報収集保全作業をしている段だということが発覚した場合には、どのそして、被害が最小にできれば、賞賛に階で常々考えさせられることは、犯人をような手順で盗み出されたということを値するはずだ。そして、火災の場合と同見つけることに重きを置くのか、それと探求することも重要だが、それ以上に誰じようにインシデントが抑え込まれた後も、なぜそのインシデントが発生したのがどこに持ち出したかが大きな懸念事項に、実際の原因を解明する「現場検証」かを追及する原因究明に重きを置くのとなってしまうのだ。

が行われるというのが納得できる手順でかという、優先順位設定の問題である。

前者の考え方をいわゆるシステムセキあろう。

多くの場合には、原因究明に重きを置くュリティーと呼び、後者を情報セキュリ

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.08 +++189

ティーと呼ぶことも多い。私たちが実施

因究明ができず、原因究明を始めたら、するセキュリティー管理が本来どちらにある意味で研究になってしまうというよ

重点をおいているかを考えることで、どうな難解なインシデントも発生しないわ

う行動すべきかを考える重要な指針をけではない。とはいえ、最終的に原因が与えてくれることに気が付いていなけれわかると、再発を防止するためには、大ばならない。

抵システムを改修する必要が出てくる。

戦略
３

実施するセキュリティー管理の目標
は、システムセキュリティーなのか、情報セキュリティーなのか、あるいは、その両方なのか。これがわかっていないと、緊急対応時の情報収集のやり方を間違うこともありうる。

戦略４

インシデント再発防止のために、システム改修のための資金調達が必須。
突発事故の事後対応に資する資金をどのようにプールするかは、かならずCIOは考えなければならない。

このシステム改修では、最悪の場合、システムを廃棄するというかなり大掛かり

内部犯行は大きな課題

で乱暴なオプションから、単純にセキュリティーパッチを適用するという典型的

セキュリティー管理で本当に頭の痛いな軽微な作業で改修が終わるものまで問題は、組織構成員によって内部から引ある。しかし、どんな改修改善であれ、き起こされるセキュリティーインシデンその場合にはお金が必要となる。

手直しにはお金が必要ついても議論が必要となる。

トをどのように取り扱えば適切なのかと前節で火災の話をしたが、火災が発生いう問題だろう。実際、日本ネットワーしてしまった場合には、大抵の場合に火クセキュリティー協会の平成 14 年度にセキュリティーインシデントが発生し災保険によって火災が発生したことによ

行われた調査によれば、近年発生したてしまったということは、セキュリティーる損害を補償してくれる費用を確保する

セキュリティーインシデントの43パーセ

管理において失敗が発生したことと等しことができる。この意味で、インシデンント程度が内部犯行であったことが報告い。発生したインシデントの被害拡大をトが発生した場合に、それに対応するたされている。また内部犯行問題は年々阻止することが短時間にできず、かなりめの原資として「保険」が存在している大きくなっていると言ってもいい。

大きな被害を発生させてしまったら、セと言ってもいい。ところが、コンピュー内部犯行の本質的に嫌なところは、シキュリティー管理においては大失敗の醜

タネットワーク系のインシデントの場合ステム内部から身内に裏切られる構造態を晒したことになる。このような失敗には保険制度が一般化しているわけでである。

を引き起こしてしまった場合には、失敗はない。このため、二度と同種のインシ本来、セキュリティーインシデントはを反省するとか後悔するとかいったことデントを発生させないために行われるシ

組織外部からの攻撃によって起こるといは一般的には重要だろう。しかし、セキ

ステム改修のための資金調達のオーバう仮定が正しいとすれば、外部とのネッュリティー管理においては、失敗がなぜーヘッドは大きなものになる。下手をすトワーク接続点にファイアーウォールや起きてしまったのか、そして、失敗を再れば、インシデントは何とか押さえ込んIDSなどのセキュリティー機器を十分に発させないためには何をしたらよいのかだとしても、その先で改修のための資金設置し、そこで外部からやってくる「悪いを考える、つまり、失敗から学ぶことがを手にできないため、リスクは顕在化し、こと」をまとめて管理下に置いてしまうと一番重要なのだ。

そのリスクの発生の可能性も確認していいうことであろう。これにより、投資のインシデントが発生した場合には、さる段階で、そのリスクに対応したセキュ一点集中が行われ、小さなシステム投資まざまなログ情報を解析することで何がリティー管理施策が実施できないことにによって大きな成果を得られるのだ。

起きたのかを調べてシステムを再構築もなってしまうのだ。実際、期中での追ところが、内部犯行に対応する場合にすることにある。そして、その再構築の加的な予算を支出することが難しい組は、組織内部のユーザーは悪人だと仮過程で原因を究明することなる。

織も、官公庁・地方公共団体で数多くあ定して、ネットワークの構造、サービス提もちろん、簡単に解決してしまうインる。この意味で、いざというときにはシ供の構造、サービスそのものの内容にシデントも数多くあるし、一方簡単に原ステムの改修ができる資金のプールについて吟味を行い、各組織構成員に割190 +++ internet magazine 2003.08 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

り当てられている業務と情報アクセス権

フィードバックのかけ方を逸脱することがない合理的なシステム

キュリティー問題が何も珍しい問題ではなく、日常的に意識を持って対応すべきを実装することが必要になる。さらに、発生したインシデントについて、どの事項であることを認識する機会として使そのシステム利用状況をいつでも監査ように発生し、どのように沈静化し、さらできるような情報収集体制も合わせて構に、再発防止をどのように行ったのか、ってもいいだろう。
どちらにしろ、うまい形でのフィードバ築することが必要になる。これだけを書という情報は、実務に携わるエンジニアックをかけることが重要である。そして、き下しただけでも、内部犯行に対応するだけが共有すべきものではない。これは実際に経営者、あるいは、エンドユーザためにはより多くの投資が必要になるこ経営トップから末端のユーザーに対してーを自分たちの味方にするために、あるとがわかるだろう。

もフィードバックをかけることが重要であ程度の見識を持ってもらうことを目指すのが大事だろう。

同時に、内部犯行が発生した場合に、る。これはセキュリティー管理が機能しなぜその内部犯行が発生したのかを解ていることを示すという意味もあり、ま今回はセキュリティーインシデント発明することは複雑になってしまう。

た、同時に合理的な行動を経営者からエ生という、セキュリティー管理での失敗ンドユーザーまで促すことにつながる。

が発生してしまった状況で、この失敗かたとえば、最近いろいろな組織で多発しているセキュリティーインシデントが、本来持ち出してはならないデータが内部者によって外部に持ち出されてしまうものである。このインシデントが発生した

戦略
６

発生したインシデントについては、経営者からエンドユーザーに対してまで必要に応じて事実をうまくフィードバックすることが重要。

場合、どこに原因があるのかを考えると、ら何を学ぶのか、この失敗をどのようにうまく利用するのかについて、私なりの考えを述べた。最近、失敗学というのがブームで、多くのビジネス書で失敗からいかに学ぶかを伝えている。これらの失本当に多くの可能性があるのだ。情報セキュリティー管理は、実際には利益敗学系ビジネス書は大変興味深いこと

システムのアカウント管理と情報に対すを直接生み出すものではなく、また、いが書かれている。しかし、情報通信シスるアクセス権の管理の方法が悪い場合ざというときに機能することが求められテムのセキュリティー管理においてはイもあるだろう。しかし、アカウントシステているものである。したがって、何事もンシデント発生は情報通信システムのムに対して何でもできるシステム管理者

発生しなければ経営者としては経費カッ

運営における本来不確実性の現れと考であれば、実際にはアカウントシステムトを目標にセキュリティー管理にかかわえるべきである。不確実性をもった系のは無力であるので、別の方法で情報をる資金を切り詰めることを考え出すこと

制御は、単純な失敗からの復旧とは違守らなければならない。では、実際にども十分予想される。また、経営者はセキうという点は強く認識すべきだ。このたんな方法で保護しているのか。システム

ュリティーの専門家でもないので、実際め、実際には多くのビジネス書は適用可に対する物理的なアクセス制限は正しには情報通信システムのセキュリティー能な知識を伝えていない。また、セキュ

くかけられていたのだろうか。とりとめな管理がおろそかになった場合に、どれだリティー管理では極めて合理的な結論へくここに書いてしまったが、本当に知恵けの被害が発生するかという面に対しての誘導が必要になる。しかし、多くの失をめぐらすことが必要だ。

適切な判断を下せる能力があることは敗学では、精神論がしばしば展開されて少ない。このため、セキュリティー管理いる。この2点に注意しながら巷の「失が正しく機能していて、正しく機能でき敗学」を学んでみるのもいい経験となるている理由を経営者に対して伝えることだろう。

戦略５

内部犯行を防ぐためには、本当に知恵を絞ってシステムを構築する必要がある。さらに、そのシステムとは単に情報通信システムだけではなく、服務規程、手引きやガイドラインなどの記述や、さらには、教育制度、人事給与制度などにも影響される。多面的に検討すべし。

は大きな意味があり、さらに、セキュリテ
ィー管理の実務グループに対する信頼感の醸成が可能となる。
また、エンドユーザーにとっても、セインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.08 +++191

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.