【特集2】「個人情報保護法」対策の第一歩

セキュリティー機能で選ぶ
レンタルサーバー「個人情報の保護に関する法律（保護法）」で処罰される前に、駆け込みで個人情報の流出事件が多発している。特にウェブサイトへの技術的・人為的な不正アクセスで情報を持ち出されP.102〜P.105
株式会社大塚商会 セキュリティコンサルタント

小林 健・長野豊佳
P.106〜P.109
大澤文孝

るケースが多い。このような事件を防止するために、ウェブサイトを構築する側は何をすればいいのか。本記事では、保護法とは何かを把握するとともに、レンタルサーバーを利用して個人情報を扱う際に配慮すべき点についてまとめた。今一度自身のウェブサイトを確認してみよう。

たび重なる個人情報流出事件で注目される
インターネット利用の盲点
人情報」になる。

大企業だけの問題ではない！

ろう。もっとも、保護法で直接罰せられな

誰もが保護法を守らなければならない

保護法で罰せられるのは、過去6か月

くても、流出事故や不適切に取り扱って個人情報保護法が、2005年4月1日にに5000件以上の個人情報を持っていた起訴された場合、保護法を参照して裁判完全施行される。個人情報の流出事故をことのある事業者となっている（保護法が不利に進むこともありえる。どんな個起こしたり、勝手に収集・利用・提供した施行令）。ちょっとしたオンラインショッ

人情報でも保護法の要求に従って取り扱

りして、個人情報の表す本人から苦情をプを開設したら、すぐに達成する件数だ

うべきだ。

受けたにもかかわらず適切な対応を怠り、所轄官庁大臣の命令に従わなかった場合などに、担当者や管理者のほか、勤め先の社長や会社にも6か月以下の懲役か30万円以下の罰金が科されることがある。
個人情報保護法は、個人にも適用される。たとえば個人事業でウェブサイトの掲示板を開く、アンケートを採集する、アクセスログを収集するなどの場合は、保護法の要求事項を守らなければならない。
現住所などの連絡先やクレジットカード情報にかぎらず、メールアドレス1つでも「個■個人情報保護法への対策「10項目」
保護法を守り、罰せられないようにするには、最低限、以下の10項目の対策を行う。
1個人情報保護に関する方針をわかりやすい文書（プライバシーポリシー）としてウェブサイトなどで公開する（政府の個人情報保護基本方針6項）。
2個人情報の保護体制を決める（同6項）。
3誰が何のためにどのように個人情報を使うか（利用目的）を決めて文書にまとめ（保護法15条）、本人に知らせて（同18条）、利用目的どおりに使用する（同16条）。
4適正に収集、取得する（同17条）。
5安全に取り扱う（同20条）。
6従業員を監督する（同21条）。
7業務委託先を監督する（同22条）。
8第三者に提供する場合は本人の事前承認を得る（同23条）。
9持っている個人情報の種類を公表し（同24条）、本人の要請に応じて個人情報の内容を開示（同25条）、訂正・削除（同26条）、利用停止（同27条）
をする。
q本人からの苦情の対応に必要な体制を整備し、対処する（同31条）。

■最近の主な個人情報流出事件●内部犯行、重過失
パターン：ノートパソコンなどの盗難、廃棄パ
ソコンのデータ消し忘れ、メール／FAXの送
信先間違い、名簿業者などへの名簿売却
原因：持ち出し・業務委託先などの管理不十分、遺恨退職者や取引先の放置、データファ
イルや記録装置の利用制限不足、ID／パス
ワードの管理不足、システム管理者の恣意、従業員の認識不足、処罰などの抑止不足、
個 人 情 報 やシステム の 放 置 、モ バイル・
PDA・携帯電話の管理不足、私有物管理不足、ルールの未整備、教育不足

102 +++ iNTERNET magazine 2004.06 +++●外部犯行
パターン：不正アクセス、通信パケット盗聴、
なりすまし
原因：アクセス権限の設定ミス、バグの放置、ファイアーウォールや無線LANなどのシステ
ム上のミス、クロスサイトスクリプティング（XSS）やcookie盗聴などのアプリケーショ
ン上の問題、システム管理者の管理不足、
IDS（不正侵入検知）などの対策不足、ログの管理・分析不足、経営層の理解不足による予算と人員の不足●その他
パターン：システム障害による個人情報デー
タの消失、パソコンの盗難、苦情対応ミス、
不適切な利用原因：苦情の軽視と放置、障害・危機・被害
管理不足、情報価値とリスクの認識や管理・対策不足、営利や利便性への傾注、順法意
識の欠落と認識違い、業務統括・統制・牽制・事故発見・報告体制の未整備

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

すべてのウェブマスター必見！
個人情報保護法で変わるウェブサイト

Part.1

個人情報保護法の存在は少なからず知っていても、具体的には何を行うべきなのか、イマイチ理解できていない企業や個人事業者は多いだろう。ここでは主に個人情報を扱うサイトを管理・構築するウェブマ
スターが知っておくべき事項を列挙しよう。

個人情報を扱う際、利用目的をウェブサイトに掲示して、それコレで解決！
一目でわかる個人情報保護法に対して本人から同意を得なければならない。さらに問い合わ
せや苦情の相談方法、安全対策も示して、それらを実施して記録する必要がある。これら具体例をQ＆A式で紹介しよう。

Q「個人情報保護」って何？
A 保護法は1条に法の目的として「個人情報の有用性に配慮しつつ、Q 保護にあたってどのような責任体制が必要か？
A 社長などの代表者以下、社内で保護法の認識を維持・向上させる

個人の権利利益を保護する」と揚げている。また、政府基本方針によための「維持向上体制」と「監査体制」を構築しておこう。維持向上のると「（保護）法第3条は（中略）個人が『個人として尊重される』ことを体制には、保護法の施策を統括する責任者とライン部門やスタッフ部

定めた憲法第13条の下、慎重に取り扱われるべきことを示す」
として門の管理体制、教育・システム管理・相談窓口の体制、不測事態が発いる。

生したときの危機管理体制が必要だ。保護法の施策の立ち上がり段

つまり、①利用目的の明示のうえで個人情報を収集し、開示・訂正・削階では、利用目的の内容や、システムセキュリティーを確保するための除・利用停止の要求に対応するといった「本人の意思の尊重」が確保確認作業や承認を得るような業務手順を設けるべきだろう。

されること、および②事件や事故を招かないように「安全性確保」がな

監査体制は、維持向上体制から独立させて、個人情報を取り扱う業務されていることの2点を適正に行うのが個人情報保護の施策だ。このを行っていない役員クラスの人を監査責任者とする。また、監査に必

個人情報の取り扱いに関する施策によって、個人の尊重を確保する

要な知識と監査技術を持つ人を監査担当者に任命するとよい。監査ことが個人情報保護になる。

担当者を社内で用意できない場合は、社外に委託する必要がある。

Q 安全管理対策は何をどこまでやるのか？
A 個人情報の特性と取り扱う業務によって、対策の内容と深さが変Q 苦情対応は何をすればいい？
A 苦情は、クレーム対応に失敗して収拾がつかなくなった状態と考えわってくる。官公庁や業界団体などのガイドラインや、以下の規範を参られる。また、苦情が来てからも適切に対応していないと、官庁に苦情考にして事業ごとに決める必要がある。

が行って、保護法の罰則を科される恐れがある。

・個人情報保護に関する認証制度であるプライバシーマーク制度の審などに迅速に報告する必要がある。普段から相談窓口で対処方法の苦情が来てしまった際には、誠意を持って対応し、社内や所轄官公庁
査基準（JIS Q 15001）

マニュアルを作成し、スタッフに対して対処方法の訓練を行おう。

・情報セキュリティーに関する認証制度であるISMS（情報セキュリティーマネジメント）
適合性評価制度の認証基準

そもそもクレームや苦情を招かないように、あらかじめ適正な利用目的を的確に定めて本人の同意を得たうえで個人情報を取り扱い、事件が・情報セキュリティー管理基準

起きないように安全管理や委託先などの監督を適切に行うべきだろう。

Q 従業員をどう監督するか？
A 社員の採用時、派遣社員の受け入れ

Q 委託先をどう監督するか？
A 委託先は委託元の目が行き届かないた

Qどのログを残すのか？
A 収集から利用、提供、業務委託、返却、時、退職や離職時に、個人情報保護の重め、調査して選定するとともに守秘契約を消去、廃棄にいたるまでの個人情報の取要性や施策などに関する説明を行ったうえ締結する。委託業務を開始したあとも、個り扱いや承認などの記録と、データベース

で誓約書に署名押印してもらう。実際の業

人情報の取り扱いに関する査察を定期的やファイルサーバー、ファイアーウォールな務でもOJT教育によって実務的な注意をに行い、問題があれば指導して改善を依頼

どのログ、施設やシステムへの出入り記録、促す。教育後は、テストや効果測定を行う

し、改善状況を確認する。

ドアの開施錠の記録が必要になる。

べきだ。

プライバシーマークやISMS（情報セキュリ

レンタルサーバーなどで社外のサービスをまた、業務作業の内容やアクセスログ、入ティーマネジメント）認証を取得している企

利用する場合は、業務委託先でログが保退室管理などあらゆる場面で
「記録」
を残し

業に業務を委託することが望ましい（105ペ管される。これらのログのうち自社の分をておくようにする。

ージ参照）。

入手できるようにしておく。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2004.06 +++

103

セ
キ
ュ
リ
テ
ィ
ー
機
能
で
選
ぶ

レ
ン
タ
ル
サ
ー
バ
ー

アンケート収集も細かな配慮が必須！
個人情報収集の際の注意点
ウェブサイト構築における

ウェブサイトにおける個人情報収集の注意点

一般的な注意事項
ウェブサイトでは、以下のようなさまざま

その 1 あらかじめ利用目的を明示して本人から同意を得るな場面で個人情報を収集している。

・ウェブサイトで個人情報を入力させる際、登録内容の確認ページにある登録ボタンの近くに利用目的を記載し、内容を読んだうえで登録させるようにしよう。利用目的が長文の場合は、登録・電子商取引での注文

ボタンの近くに「利用目的に同意したうえで登録してください」と表記して、利用目的へのリンクを・会員ページなどのログイン・認証

張るといい。

・ページ移動・単に目に触れただけでは同意したという確実な証拠が残らない。別途、契約書などの書面や・パスワードリマインダー

登録内容の確認メールに利用目的を明記するなどして、利用目的が確実に登録者の目に触れる・アンケート入力

ようにする。

・資料・情報請求・登録後もいつでも利用目的を登録者が確認できるようにウェブサイトに掲示しておく。利用目
的の内容を変更した場合は、以前の利用目的も保管して履歴として掲載しておくとベストだ。

・ウェブメール
・掲示板、チャット
・アクセスログ・cookie

その 2 登録情報の安全性を確保する

ほか

・個人情報を収集する際の安全性は、登録情報を覗き見や改ざんがされないようにSSL暗号化などによって確保する必要がある。登録に際して、個人情報を会社内で使うのか、あるいはこれを見ると、ウェブサイトやページの数

第三者に提供するのかを利用者にわかるようにする。フレームを使ったページ構成では利用者

だけ個人情報を収集する場面があるともが登録先を認識しにくいかもしれない。

言える。しかし、サイトの訪問者に、個人情・アプリケーション上、クエリストリング（URLに表示される ？ 以降のパラメーター）に個人情報を含まない、cookieに重要情報を含まない、セッションタイムアウトを短く設定するといった報が収集されているということが意識できことが必要だ。データベース関連のセキュリティーホールについても、データベース用のアカウているとはかぎらない。

ントを用意してアクセス制限を管理する、クロスサイトスクリプティング対策を行うほか、一定時オンラインショッピングなどの電子商取間ごとに自動でログオフするような機能などを設けたほうがいい。

引では、入力内容の確認ページで［OK］
ボ・パスワードを外部に漏らさないために定期的に変更するといった、登録者側で行うべきこと

タンがクリックされた時点で注文意思を最を登録者に通知しておきたい。

終的に確認している。注文内容の送信も、SSLの暗号化などによって機密性を保っている。この暗号化はもはや当たり前だ。
しかし、アンケートや資料請求のページ
でSSLを実装しているものはまだまだ少な
い。まして、あらかじめ断ってからcookieな

その 3 委託業者を利用する場合もその旨を明記する

・利用目的に、業務を委託することを明記して登録者が見られるようにする。
・委託業者には、経営状態や個人情報保護、情報セキュリティーの対応状況、サーバーや端末の管理状態、マシンルームを含む施設の管理状況、メインテナンス体制、リモートメインテナンス
上のセキュリティー状況などを確認しておこう。また、委託業者がサーバー管理などを再委託してどを利用して情報の登録を行わせている

いないかを確認し、再委託している場合は再委託先を適切に管理しているか確認する。

ページは少ない。さらに、ニュースなどの報・委託業務が行われていたら、個人情報の取り扱い状況を確認するためにできるだけ現地視察を道でしばしば取り上げられているにもかか行うようにする。業務委託が1年以上にわたるのならば、取り扱い状況を再確認するべきだろう。

わらず、クロスサイトスクリプティング（ウェ・これらの確認結果は、調査記録として文書化して保管しておこう。

ブサービスなどにアクセスしてきた人に対して意図しないプログラムをダウンロード
させるようなセキュリティーホール）
やクエリて消していくほか、ウェブサーバーのセキュ的に侵害されないように、サーバーマシン

ストリング（URL表記に理解しやすいパラ

リティー対策を行う。これには、たとえばサルームの入退室管理を行ったり、盗難に遭メーターを表示してページ間でやり取りすーバーOSのバグフィックスパッチの適用、わないように夜間を含む警備や従業員のるとページ改ざんの被害に遭いやすい）のウイルスチェックツールの運用、セキュリテ

監督を行ったり、ビデオカメラで記録した対策を行っていないページも多い。

ィー侵害の防止や検出ツールの利用などりする必要もある。さらに、データバックアがある。

ップテープなどの記録媒体の保管やデー

このようなコンテンツ作成上の問題をチェックリストにして管理し、1つ1つ対処し104 +++ iNTERNET magazine 2004.06 +++また、サーバーのセキュリティーが物理

タ保全を図ることも重要だ。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

明確なプライバシーポリシーの必要性
レンタルサーバーのあり方も変わる業者を選定することが望ましい。

保護法に対応した
プライバシーポリシーを掲載する
現在、プライバシーポリシーを掲載して個人情報を適切に取り扱っているとして認定を受けた事業者は、プライバシー

いるウェブサイトもあるが、技術的な内容

マークをウェブサイトや印刷物に掲載できのみで、政府基本方針が要求している要る。保護法はプライバシーマークの取得件を満たさないものがほとんどだ。

を強制していないが、取引先の安全性のまずは、十分な内容を盛り込んだプラ

確認や適正な事業を行っているかの判断

イバシーポリシーを策定し、ウェブサイトに基準となるため、プライバシーマークを取掲載する必要がある。

得していない事業者よりも安心して個人情報の取り扱いを依頼できる。

レンタルサーバー選定の評価基準に

なお、レンタルサーバーは業務委託に

情報セキュリティーの観点を盛り込む

該当するので、これまで述べてきた、委託

レンタルサーバー選定の際、従来は価■プライバシーポリシーとは自分たちが個人情報をどう使うかを明文化したもので、社長などの代表者が社内・社外に表明する。
内容は、政府基本方針に規定された、目的外での利用禁止や第三者への提供の有
無、苦情処理の方針、順法、利用目的の通知・公表・変更の有無、開示・訂正・削除・利用停止の要請先と手順、事故発生時の対応計画などになる。保護法が要求する安全管理対策や従業員・委託先の監督についても書くべきだろう。また、ウェブ
サイトに掲載する場合は cookie 情報やア
クセスログ
（利用統計など）、子供や未成年者への注意についても記載すべきだ。

時に行うべき事項にも留意しておこう。

格や帯域（レスポンス）、ディスク容量、稼働率、障害復旧時間、サポート機能とメニ
ュー、サーバーを置いている場所などを評価して選定していただろう。
今後は、これらを確認するのはもちろん、情報セキュリティーの観点に基づく評価も行おう。1つのサーバーを複数のクライアントが共用している場合、アクセス権限を適切に設定して、他のクライアントが悪さをしないように管理している事業者を選ぶべきだ。
サーバーの管理状況を査察できない場
合もあるだろう。この場合は、プライバシーマークやISMS認証などを取得している■ウェブサイトの個人情報保護として留意すべき主な法令と規範など【主な法令】
http://law.e-gov.go.jp
・個人情報保護法（個人情報の保護に関する法律）
・個人情報保護法施行令（個人情報の保護に関する法律施行令）
・プロバイダー責任法（特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律）・IT書面一括法（書面の交付等に関する情報通信技術の利用のための関係法律の整備に関する法律）
・電子契約法（電子消費者契約及び電子承諾通知における民法の特例に関する法律）
・電子署名法（電子署名及び認証業務に関する法律）・特商法（特定商取引に関する法律）
・迷惑メール防止法（特定電子メールの送信の適正化等に関する法律）
・景品表示法（不当景品類及び不当表示防止法）
・不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）※ほかに対面・訪問販売、通信販売、著作権、営業機密などに関する従来の法令にも留意する。

【主な規範など】
http://www.meti.go.jp/kohosys/press/0004141/0/030613denshishotorihiki.pdf
・電子商取引等に関する準則
http://privacymark.jp/ref/jisq15001.html
・JIS Q 15001「個人情報保護に関するコンプライアンス・プログラムの要求事項」
http://www.jsa.or.jp
・JIS X 5080（ISO/IEC 17799）「情報技術−情報セキュリティマネジメント実践のための規範」
・JIS Z 9920「苦情対応マネジメントシステムの指針」■安全性を表現する各種制度
通称

プライバシーマーク制度

ISMS認証

正式名称

プライバシーマーク制度

情報セキュリティマネジメントシステム適合性評価制度

オンラインマーク制度

運営

財団法人日本情報処理開発協会

財団法人日本情報処理開発協会

社団法人日本通信販売協会、日本商工会議所

URL

http://privacymark.jp

http://www.isms.jipdec.jp

http://www.jadma.org/ost/（日本通信販売協会）
http://mark.cin.or.jp (日本商工会議所)

対象者

日本国内に事業拠点を持つ民間事業者

すべての業種・業務分野の事業者

インターネットを利用して消費者向けの通信販売を行っている事業拠点を国内に有し、1年程度の活動歴がある事業者

申請範囲

全社的な申請が原則組織の必要に応じて適用範囲を決定する

消費者向け電子商取引事業

保護対象

組織が取り扱う個人情報保護すべき情報資産を組織が識別して対策する

消費者の電子商取引に関する取引

管理範囲

社内および委託先の安全管理、提供の管理、個人情報の主体の権利への対応

組織の情報資産の管理

電子商取引に関する取引行為

内容

JIS Q 15001:1999 に基づいて個人情報の取り扱いを適切に行っている民間事業者に、「プライバシーマーク」の使用を認める制度。民間事業者が積極的に推進する自主的な規制、努力にインセンティブを与えるとともに、消費者などの個人が民間事業者の個人情報の取り扱いが適切であることを容易に判断できるようにするもの

英国規格BS 7799-2：2002に基づくISMS認証基
準（Ver.2.0）への適合性を評価して認証するもの。
技術的なセキュリティー対策と組織全体のマネジメン
トの両面から情報セキュリティーマネジメントに対する
第三者評価を行う

消費者向け電子商取引（BtoC）
を行う事業者を審査し、適正な取引を行っていると認めた場合にオンライ
ンマークを付与する制度。ただし、事業者が提供する商品・サービスなどの内容や品質を保証したり、事業者の経営内容を保証したりするものではない

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

オンライントラストマーク制度+++ iNTERNET magazine 2004.06 +++

105

セ
キ
ュ
リ
テ
ィ
ー
機
能
で
選
ぶ

レ
ン
タ
ル
サ
ー
バ
ー

個人情報守秘に不可欠
セキュリティー対応で選ぶサーバー

Part.2

ウェブサイトで集めた個人情報はサーバーに保存される。このためレンタルサーバーを選ぶときには、機能の豊富さだけでなく、セキュリティー機能も重視すべきだ。ここでは、個人情報守秘のために不可欠な
レンタルサーバーの機能とサービス内容を見ていこう。

サーバーの規模や種類で異なる
安全性への落とし穴
共用型のレンタルサーバーは■共用型レンタルサーバーの場合事業者の管理体制が最重要

A社の領域

自社でサーバーを管理しなくてよい
セキュリティーの強度は、
レンタルサーバー業者の管理体
制次第

レンタルサーバーでもっとも手軽な共用サーバーでは、レンタルサーバー業者

B社の領域

自社でサーバーの設定変更はできないの管理体制がポイントとなる。たとえばセキュリティーホールが発見されたとき、そC社の領域れを修復するのはレンタルサーバー業者

セキュリティーホールが見つかっても、自社では直せず、
レ
ンタルサーバー業者が直すのを待つしかない。業者が誤った設定をすると、他のユーザーにデータを参照されてしまう恐れもあるだ。各ユーザーはサーバーの設定権限を持たないため、セキュリティーホールが発見されても修復できず、レンタルサーバー■バーチャルサーバーの場合
A社のroot権限領域

業者に任せることになる。

自社でサーバーを管理しなくてよい
セキュリティーの強度は、
レンタルサーバー業者の管理体
制次第

よって迅速な管理体制がとられていな
いと、長い間セキュリティーホールが放置

B社のroot権限領域

されて、そこを狙った不正アクセスによってデータを盗まれてしまう可能性があるC社のroot権限領域し、誤った管理が行われると、他のユー
ザーに自社のデータが見えてしまうという自社で自分のroot権限領域内の変更はできる
新たなアプリケーションをインストールしたり、設定を変更したりするとセキュリティーホールとなる危険性がある

自社でサーバー全体の設定変更はできない
セキュリティーホールが見つかっても、自社では直せず、
レ
ンタルサーバー業者が直すのを待つしかない

事故も起こりうる。
■専用型のレンタルサーバーの場合

すべて自社で管理するのが基本

サーバーは1社占有

A社の領域

専用型のレンタルサーバーはA社のサーバー

B社の領域

一方で、1台のサーバーを1社で占有すすべての設定を自社で行うサーバーの運用管理は自社の責任。セキュリティーホールの修正なども含め、すべて自社で対応する。新たなアプ
リケーションをインストールしたり、設定を変更したりするとセキュリティーホールとなる危険性があるる専用型のレンタルサーバーは自社専用であるため、他のユーザーにデータを見らC社のサーバー

れてしまう心配はない。専用サーバーでは、root 権限を持ち、構成を自由に変更できるのが一般的だ。

同居する他のユーザーは存在せず、それらのユーザーにデータを見られてしまう心配はない

B社のサーバー
C社の領域

しかしroot権限を持つ専用サーバーでは、サーバーを自社で管理するということを忘れてはならない。セキュリティーホー

いないならば、むしろ共用型のレンタルサの仮想的なroot権限を持てるバーチャルルの修復や攻撃から守るセキュリティーのーバーやroot権限を持てない専用サーバ

サーバーサービスもある。サーバーの管構成などの管理を怠れば、たちまちデー

ーを選び、管理をレンタルサーバー業者

理はしたくないが、root権限は必要という

タ流出などの事故が起こりかねない。

に任せてしまったほうが安全だ。

場面では、バーチャルサーバーを使うと管よって社内にサーバーに詳しい人材が106 +++ iNTERNET magazine 2004.06 +++近年では、共用サーバーではあるもの

理の手間を軽減できる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

なりすまし行為からソーシャルクラックまで
不正アクセスを未然に防ぐ
暗号化でパスワード漏洩やユーザーごとにアカウントを分けて

パスワードが漏洩することもある。悪意のデータの盗聴を防止する

アクセスログを記録する

ある社員がパスワードを漏洩させたりデー

サーバーのセキュリティーというと、セパスワードが万一漏洩したときの対策

タを盗み出したりするだけでなく、外部のキュリティーホールについて語られることとして有効なのが、アクセス元ホストの限

誘惑などいわゆるソーシャルクラックで、が多いが、データ流出という面で考える定 だ 。たとえ ば 、ウェブ サ イト で はパスワードを口にしてしまう恐れもある。

と、パスワードが漏洩してしまったという.htaccessを使ってアクセス元のホストを

このような内部からのパスワード漏洩を事例のほうが多い。サーバーは人ではな制限できる。またいくつかのレンタルサー

防ぐ手段は、ユーザーごとにアカウントをくパスワードで認証するため、パスワード

バーでは管理画面へのログオンを特定の作り、最小限のアクセス・設定権限しか与が漏洩すると、その人になりすましてどの

ホスト（IPアドレス）だけに制限できる機能

えないようにすることだ。誰がどのファイような操作でもできてしまう。

を提供するものもある。自社の回線からルにアクセスしたのかはログに記録されしかアクセスできないようにしておけばパるので、個々のユーザーでアカウントを使

スワードが漏洩しても安心だ。

い分ければ誰がいつどのファイルを参照

たとえば、FTPやメールの受信、telnet
でのログオンにはパスワードが必要だ。しかし、これらは暗号化されていない通信のしかし、外部から盗聴によってパスワー

ため、使用中に盗聴されるとパスワードがドが漏洩するのではなく、内部の人間からしたのかがわかり、どこから流出したかを知る手がかりになる。

漏洩する危険がある。よって、FTPを使わず に S S L と H T T P 拡 張 プ ロトコル の■サーバーを取り巻くセキュリティー関連の危険活動

WebDAVを組み合わせて使う、メールのセキュリティーホールを狙った不正なアクセス

受信にはAPOPを使う、telnetの代わりにSSHを使うなど暗号化通信が不可欠だ。
またパスワードの漏洩だけでなく、内容

レ
ン
タ
ル
サ
ー
バ
ー

パスワードの漏洩（データ）の盗聴に関しても考える必要がデータの盗聴ある。たとえば入力フォームをSSLで暗号化しているものの、それをメールで担当者に転送するようになっているとメールを盗内部犯によるデータ盗難

聴される危険性がある。FTPも暗号化さ漏洩したパスワードを使ったなりすましでのログオンれないので、ファイルをFTPでアップロー
ドやダウンロードするのも厳禁だ。

■不正アクセスへの対処法
不正アクセスの要因

発生理由

対策

セキュリティーホールを悪用したサーバーへの侵入

サーバーOSやアプリケーションのセキュリティー
ホールを塞がなかったため・サーバーやアプリケーションの管理を徹底する・IDSを使い外部からの攻撃を検知する

通信行程での盗聴

メール、FTP、telnetなど暗号化されていない通信を使ったため・サーバーのファイルを参照したり管理したりするときには、必ず暗号化された通信を使う

パスワードの漏洩（1）通信行程上でパスワードが漏洩したため（2）社内の誰かがパスワードを流出したため・通信を暗号化する・ユーザーごとにアカウントを分けて流出元を明らかにする・何ごとがあってもパスワードを口にしないように運用を徹底する・サーバーの管理を行えるアカウントは特に厳格にし、不必要な人にそのパスワードを教えない
・定期的にパスワードを変更する
・万一パスワードが漏洩したときのために、アクセス元ホストを制限しておく

CGIのミスによる、本来は閲覧できてはいけないファイルの閲覧許可

CGIのプログラムや運用上のミス・CGIプログラムのセキュリティーを見直す
・クロスサイトスクリプティングなどを防止するため、ユーザーが入力したデータは必ず書式チェッ
クするようにする・CGIが読み書きするファイルやディレクトリーのアクセス権限を念入りに設定する・CGIが読み書きするファイルはウェブサイトから参照できないところに配置する

アクセスログの流出

ファイルやディレクトリーのアクセス権限の設定ミス

・ログファイルはウェブサイトから参照できないようにアクセス権限を設定する
・ログ管理機能や集計機能のCGIプログラムを使っているのであれば、それらのCGIにパスワードをかけたりアクセス元ホストを制限したりするなどして特定の人しか参照できないようにする

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2004.06 +++

セ
キ
ュ
リ
テ
ィ
ー
機
能
で
選
ぶ

107

危険を回避する
レンタルサーバー10の機能＆サービス
レンタルサーバー業者は、それぞれが特色ある機能を提供している。ここではサーバーの機能やサービスのうち、特にセキュリティーを高めるのに有用なものを紹介する。今後、サーバーを選定する際にはぜひ参考にしてほしい。

暗号化通信でのサーバー管理

共 用

レンタルサーバーの設定変更は、通常、を使うことも多いが、パスワードの漏洩やコントロールパネルと呼ばれるウェブペー

データ転送時の盗聴を考えると、この部ジから行う。コントロールパネルが暗号化分も暗号化されていると安心だ。レンタされていないと、パスワードが盗聴され、ルサーバーの中には、暗号化したFTPで

誰でもサーバーの設定変更ができてしま

ある「SFTP」を提供したり、前述のようにうので極めて危険だ。

SSLで暗号化されたコントロールパネル

さらに安全性を高める機能として、IPアを使ってファイルのアップロードやダウン

ドレスフィルタリングなど、コントロールパロードができたり、そしてSSL＋WebDAV

ネルへのログオンを特定のホストからでしのファイル共有がサポートされていたりす

か許可しない機能を備えているものもあ

るものもあるので、盗聴を防止するためにる。社内からしかログオンできないように

それらの機能を用意するレンタルサーバ

すれば、インターネット経由で不正な第三ーを使うとよい。

者によってサーバーの設定を変更されてしまう心配がない。

共 用

社内

コントロール
パネルなど
レンタルサーバー

暗号化通信
OK

指定のホスト

NG

社外からの
アクセスを
禁止する

またメールも暗号化されていないので、最低限パスワードを暗号化するAPOPにまたコンテンツのアップロードにはFTP

専 用

社外

対応しているサーバーを選ぶべきだろう。

自動監視と改ざん防止（24時間365日対応）

専 用

許可していないホスト

共 用

専 用

レンタルサーバーは管理体制が行き届いているものを

複数アカウントの対応選びたい。24時間の電話対応だけでなく、障害を24時間

1つのアカウントを数人で共有して使監視し、即座に復旧対応するところがよい。多くの事業者

うとセキュリティーに対する意識が低くは障害の発生や復旧の履歴をウェブサイトで公開していなる。パスワードの漏洩を最小限に抑える。管理体制は見えにくいものだが、それらを参照すればるためには、複数アカウントの対応は必目安がわかるだろう。

須だ。複数アカウントの対応状況は、

また、ディレクトリーを監視して、不正なファイルの書き「メールだけ」「メールとFTPだけ」「管理

換えを発見するとバックアップされているファイルから自動者権限の有無まで」などレンタルサーバ

的に内容を書き戻す「改ざん防止機能」を備えるレンタルーによって差がある。管理者が複数いる

サーバーもある。この機能があれば、セキュリティーホー

ならば、管理者権限においても複数アカルやCGIプログラムの不具合などを利用されてファイルがウントを設定できるものを選ぶとよい。

書き換えられても安心だ。

CGIプログラムのセキュリティー対応

共 用

CGIはサーバー上でプログラムを動かすものなので、セキュリティー上の問題がよく発生しがちだ。そこで多くの共用サーバーで改ざんを修正したページ

公開ページ
異常が発見されると自動でページを書き戻す
改ざんされていないか定期的に自動でチェック

バックアップファイル

セキュリティーホールへの対応やアドバイス

専 用

ユーザーにroot権限を渡す専用サーバーの場合には、自社で責任を持ってセキュリティーホールに対応するのが基本だ。

はsuExecなどでCGIをサーバーの所有者権限でしか動作しない

しかし専用サーバーであっても、セキュリティーホールが発見さように制限し、サーバーの破壊行為や他のユーザーのファイルをれたときに、それをレンタルサーバー業者側で修復してくれるサー

読み書きできないように保護している。

ビスもある。ただし、セキュリティーホールを正す際には、サーバ

また、さらに安全性を高めるため、CGIを設置するサーバーとコーを再起動する必要があったり、サーバー上で一部のアプリケー

ンテンツを設置するサーバーとを分けて構成しているレンタルサ

ションが動作しなくなったりする危険性もあるので、すべてを任せーバーもある。分離して構成されていると、万一CGIが不具合をっきりにはできない。そこでレンタルサーバー業者からセキュリテ

起こしてもコンテンツの書き換えが起こらないので安心だ。
CGIを使わないなら、あえてCGIを許可しないサーバーを使うとィーホールを正すためのアドバイスを受けて自社で直すという選択肢もあるのが一般的だ。

いう手もある。そうすれば共用サーバーでも、他のユーザーが作社内にサーバーに詳しい人材がいない場合には、ある程度の管成したCGIのセキュリティーホールの巻き添えを食う恐れがない。

理を担い、運用面の相談を受けてくれる事業者を選ぶのが賢明だ。

108 +++ iNTERNET magazine 2004.06 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

ファイアーウォールとIDS機能

共 用

共用サーバーの多くは、明示されていなく

ルとウェブ以外のアプリケーションを実行し、ても、ファイアーウォールまたはIDS（不正侵インターネットからの通信をすべて受け付ける

入検知）の設備の下に配置されていて、何らようにしていることも考えられる。このように、かの保護を受けているのが一般的だ。しかし

インターネットからの通信を受け付けるアプリ

ごく一部のレンタルサーバーでは、セキュリテ

ケーションを利用しているユーザーがいると、ィー対策がとられていないこともある。

サーバー全体のセキュリティーが弱まる。

共用サーバーでは、基本的にメールやウェ

専用サーバーの場合には、各社が自由にブ機能だけが使えればよいというスタンスなサーバーを構成することになるので、レンタル

ので、通常はメールやウェブに利用するポートサーバー業者がファイアーウォールを共通でしか開けていないはずだ。もし共用サーバー

設けていないことが多い。よって専用サーバ

をすでに契約しているのであれば、使用中のーに自社でファイアーウォールを構成すること

共用サーバーに対してポートスキャンをかけてになる。

みれば、どの程度保護されているのかがわか

しかし一部のレンタルサーバーでは、オプシるはずだ（契約前にレンタルサーバーにポートョンとして汎用的なファイアーウォールやIDS

スキャンをかけると攻撃とみなされるので避け機能を適用したり、自社専用のファイアーウォること）。

ールを構成してくれたりするサービスもある。

ただしシェルを利用できるサーバーでは、同専用サーバーのセキュリティーを高めたい場合

じサーバーを利用する他のユーザーが、メーには、それらのオプションを活用するとよい。

バックアップ機能と保管体制

共 用

専 用

レンタルサーバーの中には、万が一サーバーが壊れたときに専 用■共用型のレンタルサーバーの場合
メール
ウェブ
FTP
その他

フ提レ
ァ供ン
イすタ
ア ル
ーるサ
ウ ー
ォ バ
ー ー
ル 業
者
が

A社
B社
C社

メール、
ウェブ、FTPなど、共用サーバーが提供するサービスだけ通す
ファイアーウォールが構成されるのが一般的■専用型のレンタルサーバーの場合
︵フレ
オァン
プイタ
シアル
ョーサ
ンウー
のォバ
場ーー
合ル業
が 者
多 が
い 提
︶ 供
す
る

フ自
ァ社
イで
アサ
ーー
ウバ
ォー
ー自
ル
を身
構に
成
す
る

A社の専用サーバー

どちらか一方を導入する
デフォルトではファイアーウォールは用意されない

サーバールームの立地条件と
入退室管理

共 用

専 用

備え、バックアップだけでなくRAID構成（複数のハードディスク

レンタルサーバーに物理的に近づいて直接サーバーを操作す

領域を 1台のハードディスクにまとめて構成）でミラーリングし、れば、レンタルサーバー内のデータを根こそぎ持って行くことがで

ハードディスクが故障してもサーバーを止めず、そのまま継続しきる。よって、レンタルサーバーのサーバールームの入退室管理て運営できるようにしているものも多い。また地震などの天災には厳しければ厳しいほどよい。このため、レンタルサーバーのユー

備え、日本と海外など異なる拠点でバックアップ設備を用意すザーであっても入室を禁止したり、サーバールームの所在地すらるサービスもある。バックアップは、「データの複製」であるため、明らかにしていなかったりすることが多い。所在地を明らかにしな

バックアップから個人情報が流出する懸念もある。すなわち、バいのはセキュリティー面で優れるが、サーバールームの環境が整

ックアップしたデータの保全管理も重要だ。

備されているかどうかの情報は必要だ。

流出が許されない重要な情報を扱うときには、レンタルサーバ

ちなみにレンタルサーバーの管理は、レンタルサーバー業者が行

ー業者によってバックアップデータがどのように保管されている

うことになるので、事業者はレンタルサーバー内のデータを参照でのか、どのような人物が触れることができるのか、そして、どの程きる。つまり信用できる事業者でなければならない。前述したよう度の期間でどのように破棄されるのかなども調べる必要があるに、信頼できるかどうかの目安として、プライバシーマークを取得しだろう。

ているかどうかなどを参考にするといいだろう（105ページ参照）
。

■書籍紹介

共 用

専 用

サーバーウイルススキャン機能

共 用
シェル／telnetの不許可

レンタルサーバーにウェブサーバーだ

自由度を高めるため、シェルアカウント

けでなくメールサーバーも任せるならば、をユーザーに与えているレンタルサーバー

ウイルススキャン機能があると安心だ。

もある。telnetでログインでき、コマンドラ

ウイルススキャン機能は、プロバイダー

インからサーバーを操作できて便利だ。

のメールサービスでは提供されているこ

しかしtelnetは暗号化されていないのとが多いが、近年になって、レンタルサ

で、代 わりに 、暗 号 化 され た S S Hーバーでも対応してきている。

（Secure SHell）
を使うようにしよう。

ウイルススキャン機能がレンタルサーとはいえ、telnetが本当に必要かどう

バー側にあれば、最新のウイルス定義のかは疑問だ。特に共用サーバーの場合

パターンファイルもレンタルサーバー業には、シェルによって他のユーザーに不者によって適用されるので、管理の手間正に操作されてしまう可能性もある。

も省ける。また、受信にかぎらず、送信

telnetを必要としないならば、telnetをサ

メールも保護されるため、ウイルス付き

ポートしないレンタルサーバーを選んだ

メールの送信を事前に防ぐ効果もある。

ほうがセキュリティー的には優れる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

本記事では、個人情報保護法について、要点をまとめて紹介したが、より詳しく知りたい情報システム担当者
や企業の管理部門の担当者には、インプレス発行の『個人情報保護法対策 セキュリティ実践マニュアル』
がおすすめだ。プライバシーポリシーの文例や保護法対策のチェックリストなども掲載している。

『個人情報保護法対策
セキュリティ実践マニュアル』

著者：特定非営利活動
法人日本ネットワークセ
キュリティ協 会（ N P O
JNSA）、個人情報保護
ガイドライン作成ワーキ
ンググループ
価格：3,675円（税込み）
ISBNコード：
4-8443-1858-6
サイズ・判型：B5正寸
ページ数：224P

http://internet.impress.co.jp/books/+++ iNTERNET magazine 2004.06 +++

109

セ
キ
ュ
リ
テ
ィ
ー
機
能
で
選
ぶ

レ
ン
タ
ル
サ
ー
バ
ー

事
事

故
故

に
に

遭
遭

っ
っ

て
て

か
か

ら
ら

で
で

は
は

遅
遅

い
い

セキュリティー対策を積極的に提案する
レンタルサーバーガイド
一般的にレンタルサーバーが用意するとはいえ、ここ最近はウイルスの流行やセキュリティー対策の機能は、オプション

不正アクセスによる被害がニュースで頻として提供されていることが多い。そうす

繁に取り上げられるようになり、若干意識ると、せっかく安価に提供しているレンタが向上している。このような被害に遭った

ルサーバーも、追加料金が発生すると一経験のある企業なら、レンタルサーバーを見割高に見えてしまう。結果、企業は、毎選ぶ際にもセキュリティー対策や運営体

月かかるコストと機能を天秤にかけた場

制が選択基準の筆頭に挙がるが、経験が合、オプションならばすぐには必要ないだ

ないとそうもいかない。しかし、セキュリテ

ろうと判断しかねない。

ィー対策は被害に遭ってから導入したの

レンタルサーバー業者に話を聞いたとではまったくもって遅いのだ。被害に遭う

ころ、企業であってもセキュリティー対策

ことで社会的な評価が下がる可能性も大の重要性に対する意識がまだまだ低く、きく、損害も計り知れない。

レンタルサーバーのスペックや動作する

セキュリティー対策は、できるかぎり導アプリケーション、ソフト周りにばかり目が入すべきだ。レンタルサーバー業者にま行きがちだという。そして、セキュリティー

ずは相談し、適切に構成することで、自ら対策は二の次になってしまう。

利用するサーバーを危険から守ろう。

セキュリティー対策機能

安心を提供するサービス

・サーバーウイルスチェック

・24時間365日監視・サーバーOS／アプリケーション
ソフトのアップデート

・RAID、二重化

・ファイル改ざん対応■協賛企業

・AT-LINK専用サーバ・サービス
・シーサイドネット
・ドリーム・トレイン・インターネット（DTI）

・自動バックアップ
・データ復旧・ファイアーウォール
・不正侵入検知（IDS）
・アクセスログ記録
・アクセス制限・SSL証明書発行サービス
・サーバールーム入退室管理

110 +++ iNTERNET magazine 2004.06 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dhttp://www.at-link.ad.jp
多彩なメニューでセキュリティーレベルが細かく設定できる

AT-LINK専用サーバ・サービス
OSを最新の状態に保つことがセキュリティー対策の根幹 という考え方で、Red
Hat 7.3/8.0/9.0の無償サポートを継続して行うAT-LINK専用サーバ・サービス（at+link）。それに加えてファイアーウォールほか多彩な対策メニューも用意された同サービスのセキュリティー事情に迫る。
セキュリティー情報デスク チーフ 浅野祐司氏（左）と取締
役営業本部長 永井浩和氏

2006年末までRed HatのーバーOSの環境は常に最新の状態を保セキュリティーパッチを無償で提供

ち、必然的に高度なセキュリティーが維持

信メールにウイルスチェックを実施する「ウ

AT-LINK専用サーバ・サービスは、そのできるという考え方だ。営業窓口である

イルスチェッカー」も提供され、共用ゲー

名が示すとおり専用レンタルサーバーにリンク「セキュリティー情報デスク」チーフ

トウェイを使うものから専用のものまで、特化したサービスだ。提供開始から7 年の浅野祐司氏も「さまざまなセキュリティ

ユーザーのメールアカウント数などに応じ

半、この事業での経験が深いだけに、セー対策を講じることも大切だが、サーバーて複数のコースがある。このほかにも「フキュリティー関連サービスの提供に対するのセキュリティーホールをなくすことが先ァイル改ざん通知サービス」「不正侵入検考え方にも特徴と真摯な姿勢が伺える。

決」と付け加える。5月にはRed Hatのパ知サービス」など、さまざまなセキュリティ

同サービスの技術責任者である株式会

ッチモジュールの最新版が自動アップデー対策用のメニューが用意されている。

社エーティー・ワークス 取締役営業本部

ートできる仕組みもリリースするという。

セキュリティーとは異なるが、「安心」のサーバー環境にも触れておきたい。最近、長の永井浩和氏は「弊社のユーザーは、
Red Hatの無償サポートが継続して受け運営形態により最適なものが選べる

人為的要因による個人情報流出事件のニられる。実はこれがセキュリティー的に最セキュリティーメニューの数々

ュースを耳にするが、「サーバーはすべて

大の強み」と胸を張る。理由はこうだ。

at+linkのサーバーメニューは、あらゆるケーブル＆ワイヤレス IDC の専用フロア

Red Hat 7.3/8.0/9.0に関するパッチ提要求に応えるべく多様なサービスで彩らに設置されており、厳格な入出管理が行

供は昨年末から今年4月末にかけて打ちれており、そうした特徴はセキュリティー関われているため、当サービス以外の人間

切られ、テンアートニ社が年額6万円の有連のメニューにも受け継がれる。

がサーバーを操作することはありえない」

償 サービスとして 引 き 継 いでい るが、

まず、サーバーへのアクセス手段を規（永井氏）と語る。また、「サービスの開始

at+linkは同社との一括契約に基づいて、定した「セキュリティーレベル」では、標準から7年、情報流出事故は一件も起きて2006年末までユーザーへの無償サポートで提供される「TCP Wrapper」によるア

いない。多発する事故を契機に制度の強を継続する。このためセキュリティーホー

クセス制御から最高レベルの「専用ファ化も行っている」（浅野氏）とも。その言葉ルが見つかってもユーザーは無償でパッ

イアーウォール」まで運用形態により4段の節々からは、専用サーバーサービスでチ当てサービスが受けられる。つまり、サ階の対策を選べる。また、すべての送受業界をリードする自信が垣間見える。

AT-LINK専用サーバ・サービスのセキュリティー対策
AT-LINK専用サーバ・サービスには、ユーザ

し込み、導入すべきか迷うほどだ。だが、セキーのコスト、ニーズ、技術レベルなどに応じ、ュリティー対策とコストの両方をバランスよく

以下のような複数のセキュリティー対策メニュ

調和した「オススメ」
メニューもあるので、契約ー（オプション）が用意されている。あまりにも時に迷うようであれば、これを参考にするとい

多彩で選択肢が多いため、契約時に何を申いだろう。

Red Hat無償サポート

Red Hat 7.3/8.0/9.0においてセキュリティーホールが見つかった場合は、同サービスのユーザーは無償でパッチ当てサービスを受けられる（2006年末まで）。

セキュリティーレベル

「TCP Wrapper」
から「専用ファイアーウォール」まで、ユーザーは運用形態、技術ス
キル、コストなどを見ながら4段階のアクセス制御レベルを選ぶことができる。TCP
Wrapperによるアクセス制御は無償。

ウイルスチェッカー

共用ゲートウェイを使うものから専用のものまで、ユーザーのメールアカウント数やコストなどに応じて複数のコースが用意されている。アカウント無制限のアプライアンス
提供も開始した。

ファイル改ざん通知「Tripwire」を導入し、コンテンツの改ざんが行われた場合にメールで通知するサービス。コンテンツの自動復元機能もある。

不正侵入検知サーバーに到達するパケットを監視するサービス。あらかじめ登録されている侵入パ
ターンに基づいて不正パケットを検知した場合にアラートメールが送信される。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

問い合わせ先AT-LINK専用サーバ・サービス
TEL 03-5785-0555（営業日9:30〜23:00・休業日0:00〜24:00）

pr-info@at-link.ad.jp+++ iNTERNET magazine 2004.06 +++111

http://www.cssv.jp
SSL証明書や不正検知機能を標準搭載した共用型サーバー

C'S SERVER Professional
シーサイドネットとセコムトラストネットの業務提携で実現した高セキュリティーレン
タルサーバー「C'S SERVER Professional」は、SSL証明書（セコムパスポート
for Web）やセキュリティー診断、不正侵入検知、ウイルス検知機能などを標準搭載した、セキュリティーを重視するサイト運営にジャストフィットするサービスだ。

株式会社シーサイドネット
代表取締役 小尾英樹氏

SSL証明書を標準で搭載してSSL証明書は企業にとって必要最低限の証明書抜きで、個人情報を扱うのはおす

高いセキュリティーを確保

備えだ」
と語る。

すめできない」と付け加える。

シーサイドネットが4月から新設した事業

これまでもシーサイドネットは、Cside2

者向けのレンタルサーバーメニュー「C'S

NDという独自ドメイン型のレンタルサー

厳格な情報管理体制を導入するため

SERVER Professional」では、セコムト

バーメニューで SSL証明書には対応して今夏にオフィスを移転

ラストネットが提供するSSL認証サービス

いたが、ユーザーが別途証明書を取得す

シーサイドネットはこの夏、東京池袋に「セコムパスポート for Web」が標準で提る必要があり、コスト面を考えると「決してある高層ビルのサンシャイン60にオフィ

供されている。これにより、ユーザー企業

おすすめできるものではなかった」（同氏）

スを移す予定だ。小尾氏はその理由をは、高額な費用や手間をかけることなく、という。だ が、今 回 の C'S SERVER「最近ニュースで個人情報の持ち出しといSSL 暗号化通信を使って自社サイトを運Professionalによって中小企業には敷居う人為的なセキュリティーホールが話題に営できる。また、セコムトラストネットが発の高かったSSL証明書がぐんと身近なもなっているが、同ビル内のサーバールーム

行するSSL証明書の搭載およびウェブサのになったと言える。また、このサービスまで構内 LANを使って弊社の LANを結イトの実在証明を表現するWebステッカ

では「不正侵入検知サービス」「セキュリ

び、生体認証による入退室管理システムーをサイトに貼り付けられるため、自社サ

ティー診断サービス」「ウイルス検知機能」を導入するなど、厳格な情報管理体制をイトへの訪問者に セキュリティーに気をも月額 8,800 円の料金内で提供される。

構築するため」と説明する。また、それに遣っている企業 というイメージをアピー

セキュリティー重視のサイトをリーズナブ

より個人情報の取り扱いを適切に行ってルできる。

ルに構築したい企業にはうってつけのメ

いる民間事業者に対して認定される「プラ

ニューだろう。

イバシーマーク」
を取得する予定でもある。

このようにSSL証明書を標準提供としたわけを、株式会社シーサイドネット 代表

ただし、従来の個人向けサービス C'S

このようにシーサイドネットでは、ネット取締役の小尾英樹氏は「これからは企業

SERVER Personal（Cside2ND改め）に上のセキュリティー機能を提供するだけでの大小にかかわらずインターネットに情報おいても「第三者の監視こそ入らないが、なく、同社自身の情報管理・運営面を強を出す場合、セキュリティーを意識せずにProfessional版と同等のセキュリティーレ化することで、ユーザーに安心のサービス

はいられない。特に個人情報を扱うなら、ベルは維持している」（同氏）。ただ「SSLを提供していく。

C'S SERVER Professionalのサービス概要「セコムパスポート for Web」によるSSL認合、通常は ハガキ 程度のセキュリティーレ

証サービスを標準装備した事業者向けの独ベルでしか提供されていない。しかし C'S

自ドメイン型レンタルサーバー。これにより低SERVER Professionalでは、メールの送受コストでセキュアーなサイトを構築できる。ま信を暗号化するため、この問題を解消。社内

た、レンタルサーバーでメールを利用する場

メールの安全が確保される。

初期費用

12,000円

月額利用料金6か月契約8,800円／12か月契約8,000円

ウェブスペースのディスク容量

1GB

メール容量

500MB

メールアドレス

100個

転送量

3GB／日

ウェブサーバー定員

40契約／サーバー

SSL証明書標準添付（セコムパスポート for Web）

主な機能

サブドメイン4個まで設定可能、PHP/Perl対応、アクセス解析、アクセス制限、

問い合わせ先株式会社シーサイドネット

アクセスカウンター、アクセスログ（生ログ）、ウェブメール、メーリングリスト、メールマガジン、メール転送（転送機能）、メールセキュリティー対策

112 +++ iNTERNET magazine 2004.06 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

TEL 03-5960-2282
info@cssv.jp

http://magic.dti.ad.jp
標準でファイアーウォールとIPフィルタリングサービスを提供

DTI-Magic 1U Server
DTI-Magic 1U Serverは、標準でファイアーウォールとIPフィルタリングサービ
スが提供される信頼性重視の専用サーバーサービスだ。2種類の管理者権限を用意しており、あらゆるアプリケーションを取り込んでヘビーに使いたい企業だけ
でなく、ウェブサイトやメールだけで十分な企業にも最適な環境を提供する。
IPフィルタリングと暗号化でMagic 1U Serverでは、root権限を与え堅固な運用体制を実現

るコースのほか、root権限をDTIが預かり、株式会社ドリーム・
トレイン・インターネット セールス本部
ビジネスセールスグループマネージャ 小山幸春氏（左）と同 エキスパート 藤巻弘章氏

DTI-Magic 1U Serverは、1Uラックマ

セキュリティーパッチの適用や標準ソフトには、導入までにある程度の検証期間がウント型のハードウェアを使用したドリー

ウェアのインストールをDTIが代行する準必要になる。DTI-Magic 1U Serverには

ム・トレイン・インターネット
（DTI）
が提供

root権限コースも用意する。準root権限

そうした制約がなく、ユーザーの要望に合する専用サーバーサービスだ。サーバー

は、ウェブサイトやメール、メーリングリス

わせて比較的短い期間で導入できる。こはIX（Internet eXchange）と同一のデートといった標準的な機能だけで十分なユのため、ファイル改ざん対策などの、なかタセンター内に設置することで14Gbps超ーザーに適した管理者権限で、root権限にはオプションでも対応していない機能まのバックボーンに直結している。帯域はのようにユーザー側でアプリケーションをで、ユーザーの裁量で対応が可能になる。

最低でも2Mbps（最大10Mbps）
を確保し、自由にインストールできるわけではないた

特に商用サイトを運営するような企業にと転送量は無制限で利用できるといった安め、システム破壊を含む管理リスクを軽減って、すぐに対応してほしい状況が生じた

定と信頼の環境を用意する。

できるメリットもある。

場合を考えても、この自由度の高さは重要なポイントだ。

セキュリティー機能を随時拡張しており、現在は標準でファイアーウォールを提要望に合わせて短期間に対応できる

同グループ マネージャの小山幸春氏が供している。このほか、上流でIPアドレス

専用サーバーならではの柔軟さが鍵指摘するように「プロバイダー、ユーザー、によるフィルタリングを行い、SSHやSSL

DTI-Magic 1U Serverのセキュリティ

サイトの運営を行うSI（システムインテグ

による通信の暗号化と組み合わせることー面のメリットについて、株式会社ドリー

レーター）の間で役割分担が明確にならで、堅固な運用体制を実現できる。ウイ

ム・トレイン・インターネット セールス本部

ない部分が増えてきている」こともあり、ルス対策はメールアカウントのライセンス

ビジネスセールスグループ エキスパート

柔軟に対応できるサーバー環境が望まれ数に応じてオプションで対応している。

の藤巻弘章氏は「専用サーバーならではている。DTIとしては「標準化できるもの

近年、専用サーバーサービスでは、サの自由度の高さでセキュリティーを追求しは順次サービスに追加するなど、プロバていけること」を挙げる。

イダーの立場でできることについてはそのーバーの管理者権限（root権限）をユーザ専用型サーバーを自社で構築するため

ーに与えるところが増えている。DTI-

つど対応していく」（小山氏）とのことだ。

DTI-Magic 1U Serverのサービス概要
DTIで は 、以 前 より「 Magic 1U Server

ドウェアを導入。同時に、ポートフィルタリン

RaQ4／RaQ550」の名前でサン・マイクロシ

グサービスと24時間365日体制のサポート対ステムズ（Sun）の Cobalt RaQ4／ RaQ550

応を開始する。コントロールパネルは HDEを使ったサービスを提供してきたが、SunによController 3.0を採用し、IPアドレス数に応るCobaltの提供終了に合わせて、新規ハー

じて2種類のプランが用意される。

プラン名
初期費用
IPアドレス取得代行費用（初回のみ）
月額費用
通信帯域
CPU
メモリー
ハードディスク容量
OS
管理ツール
IPアドレス名義
IPアドレス数
ファイアーウォール
ポート監視
管理者権限
ソフトウェアアップデートパッチ

Magic 1U Server ES3.0/32

Magic 1U Server ES3.0/29
105,000円

なし
73,290円

10,500円
78,540円
最大10Mbps（2Mbpsを確保）
Intel Pentium4 2.4GHz
512MB
80GB×2（RAID1）Red Hat Enterprise Linux ES3.0
HDE Controller 3.0 ISP Edition
DTI
ユーザー
1個
（最大2個）
5個
標準サービスで提供
標準サービスで提供
lcadmin（準root権限）
もしくはroot権限
lcadmin（準root権限）時のみDTIで対応

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

問い合わせ先株式会社ドリーム・トレイン・インターネット
TEL 03-3505-3647（月〜金9:00〜18:00・祝祭日除く）

corp@dti.ad.jp+++ iNTERNET magazine 2004.06 +++113

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバー
アーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ
番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.