変化するセキュリティ管理の実情
山口 英
奈良先端科学技術大学院大学

Dec. 1st, 2004

Security Day @ IW2004

1

概要･･多くの組織では、IT化を進めてくる中でセキュリティ管理についても同時に取り組みを深めてきた。しかし、最近になって、急激にセキュリティ管理の方法、目的、使用する技術などが変化してきている。同時に、その変化は組織運営にも大きく影響を与えるようになっている。今回の講演では、どのような変化があり、その目的はなんであるかを概観し、どのような方針に基づいてセキュリティ管理を設計すべきかを述べる。

Dec. 1st, 2004

Security Day @ IW2004

2

システムを守る

情報資産を守る

最近の言葉
個人情報保護
事業継続性計画 (BCP: Business Continuity Planning)
情報保証
情報化

Dec. 1st, 2004

Security Day @ IW20044

情報のライフサイクル
紙で考えてみれば実は簡単!
適切な保管方法は何か
利用の形態は何か

書類作成

ファイリングシュレッダー

閲覧

誰が作成できるかどのように作成するか組織としての認知方法

廃棄期限の設定
廃棄方法は何か
誰が閲覧できるか
閲覧の方法は何か
閲覧の記録は残すのか

Dec. 1st, 2004

Security Day @ IW2004

5

一般的な対策
情報の区分け– CIA (Confidentiality, Integrity, Availability) に注目

人の区分け– Qualification, security clearance

情報と人のマッピング– Access privilege management– Enforcing mechanism

ネットワーク環境での実装努力– PKI, service server– Audi trail の設定と監査運用
Dec. 1st, 2004

Security Day @ IW2004

6外部から守る

どこでも守る

復習：これまでのネットワーク環境
境界防衛（Perimeter Defense / Boarder Protection）

Internal network

Area of “under control”
FEBA: Fighting Edge of Battle Area, perimeter / boarderDec. 1st, 2004

Security Day @ IW20048モーバイルコンピューティングの本質
Perimeterを無視した移動（３）資源の盗難Internal network（１）資源の侵入（２）資源の持ち出し

Dec. 1st, 2004

Security Day @ IW2004

9

情報、人、システムを分離する

注意万全エリア
通常活動エリア
取り扱う情報に応じて、使うシステムと、使うユーザを限定し、明示する。（特別作業室のイメージ）
Dec. 1st, 2004

Security Day @ IW2004

10

情報処理機器全部

Desktop PC

Internet for Everything
Always connected with global address
New services with various kind of devices

Dec. 1st, 2004

Security Day @ IW2004

12難問：家電が攻撃元に!?
2004年9月に発覚– 家庭用ビデオレコーダーが攻撃を中継してしまった– 東芝HDD/DVD recorder RD-XS40• HTTP proxy機能をもったWebサーバ内蔵で、open proxyだった• 録画予約などのUIをユーザに提供• LAN機能内蔵

iEPGサイト
録画予約・確認

攻撃対象
掲示板などへのSPAM

Dec. 1st, 2004

限定的リスク管理

Security Day @ IW2004

13

総合リスク管理情報システムを取り巻くリスク
情報漏洩

破壊

個人情報漏洩

なりすまし

改ざん

Information
Information
Management
Management

詐欺犯罪

踏み台

Network
Network&&System
SystemOperation
Operation

システム
ダウン

略取

Business
Business
Operation
Operation
訴訟

サービス
妨害攻撃

不正侵入
盗聴

持ち出し

地震・自然災害

Dec. 1st, 2004

Asset
Asset
Management
Management

カントリーリスク

物理的破壊

Security Day @ IW2004

15

明確な目標設定
情報通信技術から得られる恩恵は最大化する– セキュリティ管理原理主義に陥らない– そもそもＩＴ投資は何のために行ったのか

システムが抱えるリスクは最小化する– セキュリティ対策– 情報管理対策– しかし、だれも見向きもしないようなシステムにしてはいけない

この二つの目標は両立可能– 相当知恵をしぼらなければいけない– Moving target– セキュリティ対策の「万能型紙」は無い
Dec. 1st, 2004

Security Day @ IW2004

16

Two extremes
原理主義的自由放任主義的• 開放ネットワーク• ユービキタス意識• ホスト単位の管理徹底強化• ネットワークのパイプ化• サービスの徹底監視• 事業活動優先• 閉鎖ネットワーク• 物理的持ち出し阻止• 厳重な入退出管理• ネットワーク全体の防護• ユーザの挙動監視• 厳格な運用の徹底

Dec. 1st, 2004

Security Day @ IW2004

17

PDCAサイクル：合理性確保
Plan
情報管理体制の設計
リスクに基づいた設計
統一性、整合性
合理性、実効性Act

Do

問題点の除去維持管理作業
新たな課題の抽出対策実施
システム運用管理

Check
対策の検証
監査・検査の実施
問題発券

Dec. 1st, 2004

情報セキュリティの特質から “P” の弾力化必須→新たな脅威が顕在化する時は予見できない
Security Day @ IW2004

18

主役はIS部門

組織全体

セキュリティ管理に必要となる人的資源
技術者は必要– セキュリティの実際的な管理の多くが技術的対策– セキュリティ技術を運用できる人材が必須となる– 場合によってはアウトソースしても大丈夫

技術者以外も必要– セキュリティについての教育を実施する人材確保– セキュリティ管理におけるポリシとガイドラインの開発・更新– 予算管理– 人的資源管理

Dec. 1st, 2004

Security Day @ IW2004

20

誰が関わらなければいけないのか
ユーザ
技術開発
製品開発

システム構築運営（ＳＩ＆オペレータ）

情報システムセキュリティ

規制・法制
ヘッジとリスク評価
Dec. 1st, 2004

Security Day @ IW2004

司法機関・警察
21

チームワークの大切さ
まだまだやることは沢山ある
あきらめたくなることも沢山あるけどみんなで力を合わせれば怖くない

Dec. 1st, 2004

Security Day @ IW200422

職員のマインド
成果が目に見えにくい部門
施策実施のためのシステム作り
既存機構の改善
情報通信システムの運用・保守
教育・研修
検査・監査
発掘して評価しない限り認められない
支援・環境構築

組織トップ
当然両方の部門が円滑に機能するために、全ての職員のマインド向上に尽力することが必要→ 事故防止につながる
Dec. 1st, 2004

成果が目に見えやすい部門
政策・施策立案と予算策定
施策の具体的な実施
新たな法律作成と改正
新たな組織作り直接評価可能Security Day @ IW2004

23