セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
セキュリティー管理の多くの場面で文書化が行われる。さらに、運用においては誰が何をしたのかという記録が大量に作られる。
この文書化の作業における考え方、さらに蓄積される記録をど第三回文書化して記録するのように活用していくのかについての考え方をまとめる。

text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

情報通信システムの管理に限らず、一い。セキュリティー管理を遂行するうえで、な説明をするセキュリティーコンサルタン

般的にシステム管理作業では、そのシス管理に資する情報の集積は必須である。

トがいるが、セキュリティーポリシーの策テムに関係する情報を十分に得て初め一方、具体的にセキュリティー管理に定をそんなに難しく言う必要はない。何て管理作業を実施できる。システムの構資する情報とはどのような情報なのかをのためにセキュリティー管理をするのか、成、現状、稼働状態、システムが抱える考え出すと､その実態、つまりセキュリテ

目標はなんであるのか、誰が具体的にセ課題、担当者、開発者、開発記録、過去ィー管理を行って何を達成しようとしていキュリティー管理をするのか、といったこの運用記録といった、種々のシステムにるかによって、必要となる情報は大きく変とを記述することである。そしてセキュリかかわる情報を得て初めて管理作業とし化する。たとえば組織内の情報流通管理

ティー管理を、誰もがわかるように5W1Hて何をしたらいいかを考えられるだろうと情報漏洩防止がセキュリティー管理のの視点で書き下すことである。これによし、具体的な管理作業の計画立案にも目標である場合と、外部にサービスを提り、セキュリティー管理作業を具体的に着手できるというものだ。的外れな管理供しているネットワークサーバーにおける設計していくために必要な共通認識を形作業をいくらやっても、システムの運用に不正アクセス排除が目標になっている場成できるのだ。この共通認識を基盤とし資するところはなく、お金と時間の無駄に合では､必要となる情報の種類が大きくて、セキュリティー管理のためにどんな情なってしまうだろう。的外れな管理作業を異なることは読者の皆さんにも直感的に報を集めるのか、どのような情報を捨て継続させていると、そのうち本当に必要理解していただけると思う。このようなこられないように運用者に保管を強制するとなる作業に対してコストが負担されなとから、セキュリティー管理を行う場合に、のか､具体的な管理作業として何を誰がいことにもなり、最終的にはシステムの運何を目標として、どのようなことを行おう行うのか、といったブレイクダウンした設用そのものを危機に直面させてしまうことするのかを明らかにしておくこと、つま計に進めることができるようになる。とにもなりかねない。

りセキュリティーポリシーの策定が重要に的確な作業を適正なタイミングとコスなる。

トで行うことこそ、管理作業を設計・実行していくときに求められることであり、そ戦
略
１

共通認識を形成するのが目的

セキュリティーポリシーは、「セキュリティー管理について共通認識を形成するために策定する」
ことを全員が理解していることがもっとも重要なことだ。のためには対象となるシステムについて正しい理解ができるための情報を得るこ

ところで、「セキュリティーポリシーの策とが必須である。これはセキュリティー管定は、組織におけるセキュリティー管理

理作業においても違いがあるわけではなの憲法を作ることなのです」という難解

170 +++ internet magazine 2003.07 +++静的情報は文書化でまとめる
さてセキュリティー管理で必要となる

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか情報に話を戻そう。必要となる情報にとがある。しかし、おそらく意思決定をーク構成を確認するとか、コンピュータのは一度情報として取りまとめるとその後したときには何らかの理由や目的があっ保有状況を確認するとか、そのような工の更新頻度が比較的低い、言うなればて対応したに違いない。このような背景

夫をしながら情報更新機構を作り上げる静的な情報が存在する。その代表例と情報が記録されているだけで、将来的な努力が必要だろう。

して、現在使用しているシステムとネッ手助けになることが多い。

トワークについての構成情報が挙げられる。ネットワークはどのように敷設されているのか､どのようなネットワーク機器が使われているのか、どのような設定が行われているのか､接続されているシステムには何があるのか、各システムの戦略２

文書化によって作成される情報では、その背景情報を併せて記録するようにすると、セキュリティー管理では役立つ。特に、改変・改修・変更を加えたときには、「なぜ改変を行ったのか」がわかるような情報があると大助かりである。

ム、特にデータベースの利用をうまく行うことが鍵になることも多い。実はセキュリティー管理のために必要となる情報が、他の目的で作り出されていることも多い。アカウント情報については組織構成員のデータベースと連携させることで二重の情報収集の必要がなくなり、どれ運用責任者は誰か、といった情報が必須となる。この種の情報は、所定の手続き

この工夫を凝らす中で、情報システ

情報の新鮮さを保つことだけのコンピュータを管理対象にしなければならないかという問題は、資産台帳の中で収集され、文書として作成されていることが多い。つまり、静的な情報をもう1つが、情報の保管や更新などのと同時に新たな情報処理機器の発注台効率よく集めるためには、文書化という情報の運用にかかわるコストは、セキュ帳などのデータベースを組み合わせれ制度設計をうまく行うことが必要になる。

リティー管理を行う側が最終的に負担すば母集団をリスト化できるというような文書化の考え方として、まったく性格る構造を持たなければならないことを意ことがある。また、建物の工事図面や内の異なる2つのアプローチが存在する。

識することだ。いろいろな組織のセキュ装図面などの情報が蓄積されているの1つは、最終的な結果だけを文書にしてリティー管理の実態を見てきて思うのは、であれば、それにネットワークの構成をまとめるという考え方であり、もう1つがセキュリティー管理に着手したときには、埋め込むことで有意義な情報を作り出結果だけでなく結果に至るプロセスも記セキュリティー管理グループだけではなせるだろう。既存の情報資産の再利用述するという考え方である。たとえば、

く、ほかの多くの人もそれに賛同して力という視点で、セキュリティー管理に資会議を行ったときの議事録の作り方をを合わせて作業をし、結果として豊かなする情報の確保と運用も当然考えるべ

考えてみればこの2つの違いがよくわか情報を蓄積できている。しかし、運用をきである。

ると思う。前者の方針であれば会議で行っていく中で、その熱意が冷めてくると決定された事項を書き下すことになり、情報の更新が行われなくなってきて、結後者の方針であればなぜそのような結果としてセキュリティー管理グループが持論を導いたのか、そしてそのときに出さっている情報は古いままになっているとれた意見は何であったのかをも記述すいうことが散見される。情報を必要としるのである。セキュリティー管理に使わている人が、その情報の新鮮さを保つ仕戦
略３

セキュリティー管理に既存の情報資産を活用することも、当然検討に値する作戦である。

動的情報は運用で集められるれる情報のうち、更新頻度の少ない静掛けをうまく考えてやらないと、なかなか一方、システムの運用状況にかかわる的な情報では、実は手間はかかるが後情報を最新に保つのは難しい。どんなに情報は、動的な情報の典型的なもので者の方針で取りまとめられた情報のほうルールを作ろうが、結局他人事と考えてある。たとえば、今日の午前10時にシスが役立つことが多い。ネットワーク構成しまう状況にあれば、情報更新は放置さテムを利用していたユーザーは誰である情報であっても、なぜこのような設計がれることが多いのだ。その意味で、情報のかを調べたいというようなことは、セ行われたのか、なぜ改修が行われたの更新を何らかの別のメカニズムと同期さキュリティー管理でしばしば発生する。

か、そのようなプロセスについての情報せて行うようなことも考えるべきである。

このような管理作業を支える情報は、運も併せて記録されていることが望まれ

たとえば、商店では月末に定期的に棚卸用の中で、特にシステム運用ログとしてる。よくネットワーク管理をしているときをして在庫を確認するが、運用しているシ生まれてくるのが普通だ。その意味で、に、あるIPアドレスのブロックが特定のステムについての情報の更新でも、このセキュリティー管理でログ管理の重要性人に割り当てられているのに、その割り棚卸のようなメカニズムを作ることが重がよく取り上げられているのである。

当てが何のために行われたのかがわか要だと考えている。四半期に一度、必ずログ管理で、どのようなログを収集しらないことで、管理責任が曖昧になるこ資産チェックと同じタイミングでネットワて蓄積するのがいいのかは、セキュリテ

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.07 +++171

ィー管理を設計するうえで決められるとどこまで記録するのか生成する情報しか、セキュリティー管理に使えないことも認識しておこう。トラ

いうのが教科書的な言い方だろう。しかし、本当に必要なことは、収集している

このため、セキュリティー管理を意識ブルが起きてからログ解析を行うと、解ログを解析すると、あるシステムで、あすると、なんでもログに残したくなるの析ツールが出力する結果がまったく使いるいは、ある特定のサービスで、そのとは当然のことと言えよう。しかし、ログ物にならないことを発見して愕然とする

きに何が起きたかを合理的に判断できを蓄積する記憶媒体の限界や、あるいことがあったというシステム管理者の武るように十分なログを残しておくというは、運用上の機密保持ルール、場合に勇伝を話題にすることが多い。これは道

よってはプライバシーの問題を考慮する具を用意しておいても、日頃使っていなトラブルが発生したときに、一般のユと、なんでもログに残すことは不可能でいと、その道具が何に使えるかを正しくーザーは「システムがおかしくなった」とある。このため、セキュリティー管理の把握できないからだ。使い方を正しくわいう反応をすることが大部分である。シ

方針によって、ログを残す精密さに差をかっていてこそ、役立つ道具といえる。

考え方だ。

ステム運用管理者にとっては、「おかしくつけることが必要になる。この差のつけ解析ツールを日頃から使っておくことなった」というのは、一体どういう状態方がセキュリティー管理の難しさであり、が重要なのは、システムのマイナーチェになったのかを判断しなければならな腕の見せ所であるとも言える。

ンジでログの構造がしばしば変わることい。そして、セキュリティー管理では、さ注意しなければならないのは、ログはがあることだ。たとえば、OSにパッチをらに、なぜそのような状態になってしまあくまでも記録であり、その記録が正し適用したときに、OSが生成する各種ロったのかという原因までを追求することいかどうかは記録作成メカニズムに大きグの書式が変わったり、あるいは、ログになる。この意味で、セキュリティー管く依存する。たとえば、侵入検知装置に書かれる情報の表現形式が変わった理で必要となる情報は、単純なシステム（IDS）を使っていると痛感するが、通常りすることがある。これによって、ログ運用管理で必要になる情報よりも、よりのネットワークアクセスを誤認して侵入解析ツールがうまく機能しないことも実多くの種類、より詳細な情報を得なけれを試みているアクセスだと報告すること際に頻発する。解析ツールを日頃使ってばならないことになる。

が多い。IDSが生成するログ1つを見て、いると、不具合は即座に発見できる。しセキュリティー管理をしていると、トラこれが誤認したケースなのか、あるいはかし、トラブルが発生したときになって初ブル発生時にシステムに何が起きて、何本当に侵入を検知したのかを判断する

めて解析ツールが使い物にならないことが起きなかったのかをはっきりさせるこ

ためには、実は異なる別のセンサーながわかるのは、不幸というよりも壊滅的とが重要だということがわかってくる。

りログなりから判断することが必要になな状況に自分自身を追い込んでいるとたとえば、OSがクラッシュして停止したる。つまり、1つのログだけに依存するしか言いようがない。その意味で、日常ときに、事故なのか意図的に行われたような記録の取り方は、しばしばログと的に解析ツールを使い、その適用性をことなのかを判断しなければならない

して役立たない状況を生み出すことが確認しておくことも重要だ。

し、その原因も見つけなければならなあることを理解し、ログの中味についてい。確かにトラブルが発生したが、悪いクロスチェックができる環境を作っておことは起きていないという確認もしなけくことが必要となるのだ。

ればならない。悪いことが起きているのであれば、なぜそのような事件が引き起こされたのか、誰がやったのかというところまで追求し始めることになる。ここ戦
略
５

1つのログを盲信しない。かならずログに記録されている事項が正しいかどうかをクロスチェックできる環境を作っておかなければならない。

まで深く状況を把握するために必要な情報を得ておく必要があるのだ。

戦略４

172 +++ internet magazine 2003.07 +++ログ解析ツールは事前に準備し、日常的に使いこなしておくことが重要である。

手引書とは何か
セキュリティー管理で重要な文書化作
業に手引書を作ることがある。これは、解析ツールは事前に作成する

ログは、何かが起こったときの状況を再現するために記録する。したがって、通常のシステム運用管理で必要となるログよりも詳細な情報が必要になることが多いことを理解すべきだ。システム標準のログは、比較的役立たないことも多い。

戦略６

トラブルが発生したときに、そのトラブルにどのように対応したらよいかを書きログについて重要なことは、ログを解下したような対応マニュアルや、あるい析するツールは必ず事前に作っておき、は、部署で何らかの意思決定をするときそのツールを日常的に利用する体制をにセキュリティーをどのように考えたら構築しておくことである。

よいのかというようなガイドラインが含そして、ログ解析に使われるツールがまれる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&Dセキュリティー管理責任者はいま何を考えるべきか

まずガイドライン作りは、これはセキで必要性が認識されているにもかかわュリティーポリシーの策定とセットで実らず、その実施が遅れているものである。

施すべきものである。しかし、ポリシー

単純なシステムトラブルに対する対応マとは異なってガイドラインの役割は、そニュアルは用意されていることが多い

れぞれの状況や部局などの具体的な想が、地震や水害、火災などの災害や、サ定を行って、そこでセキュリティーポリシービス妨害攻撃（DoS攻撃）が行われたーに従って行動をするためにどうしたら場合の対応、情報漏洩が発生した場合いいかという具体的な指針を与えることの対応など、さまざまな状況での対応マである。この意味で、実務に役立つものニュアルが作られるべきである。この対が作られなければならない。ガイドライ

応マニュアル作りは、どうしても後手にンは、どうしてもその対象となる領域の回ることが多いが、実際にはこの手のマ当事者と一緒になって策定することが必

ニュアルが充実している組織ほど、実際要となる。この意味で、セキュリティーのトラブルからの立ち直りが早いという管理担当者は、その当事者に対するコン調査結果もある。

サルタントとして機能することになる。

対応マニュアル作りは、実は自分たち当事者と一緒になって作業を進めていが行っているビジネスにとって何が重要くとどうしても「現場の都合」という理由なのかという優先順位付けを行う解析でポリシー違反を意図的に行ってしまう能力と、どのようなリスクが発生しうることが多々発生することだ。ここで重要かという想像力に裏打ちされる作業であなのは、このポリシー違反をいかに防り、十分な対応マニュアル作りが行われぎ、かつ、現場が困らないようにするかるところには、実際には豊かな判断力をのソリューションをコンサルタントとして持ったマネージメントが存在していると提供することである。このソリューショ言える。

ンを提供しないで教条的にポリシー遵対応マニュアル作りは、セキュリティ守ばかりを言うセキュリティー管理者がー管理を組み立てていく段階での仔細最近多いので「セキュリティー原理主義な検討を行う訓練として、また、対応マ者」と陰口をたたかれることも多くなっニュアルの有効性を確保するための練ている。このような知恵のない対応はセ習として取り組んでいくのがいいアプロ

キュリティー管理に対して反感を持たせーチだと考えている。そして、実際に役るだけではなく、実際のシステム利用者立つ対応マニュアルを作り出すことで、におけるモラルハザードを引き起こすこいざというときに役立つものがあるといとにもなる。その意味で、知恵ある対応うことにもなるだろう。
セキュリティー管理の多くの部分が実が必要になる。

戦略
７

ガイドライン作りは、当事者たちと一緒に作成することが必須だが、そこでポリシーと現場の両方を成立させるソリューションを提供することがセキュリティー管理者の役割である。セキュリティー原理主義者になってはいけない。

は準備作業に費やされるわけで、「備えあれば憂いなし」という言葉がぴったりと当てはまるものである。その「備え」を考え、点検することが、対応マニュアル作りというプロセスの中で、あるいは、対応マニュアルの点検・更新という作業の中で行われるとも言えよう。その意味
で、対応マニュアル作りに真剣に取り組対応マニュアル作りは必須み、それを活用していくこともCISOは十重要な手引書である「トラブル発生時分に考えなければならない。の対応マニュアル」作りは、多くの組織

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.07 +++173

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.