セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
企業が業務のためのシステムを構築する以上、セキュリティー対策の多くも技術を使ってシステムを構築する。その際に業務上の利便性を犠牲にすることはできない。では、実際にセキュリティ第五回

システム構築の表と裏ーシステムを構築するときの構成、あるいは、使用する技術の取捨選択の判断はどのように行うのか。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

企業などの組織で情報処理システムや疑問を心に抱え続けてしまう傾向があ

マインドの持たせ方は、合理性に満ちたネットワークを構築する目的は、企業活動る。巨額を投じなくても問題は発生しな説明に基づいていなければ意味がない。の効率化を推進し、より短時間により多いのではないか、現場から提示されてい「セキュリティー屋は狼少年みたいなものくの利益を上げる基盤を作ることにある。

るリスクは本当に大きなものなのか、投だ」と言い放つ経営者はいまだに多数存

このため、システム構築には無尽蔵に資資は今でなくても大丈夫ではないか、そ在する。
「危ないばかりを強調して、本当源（資金や人材など）が投入されることはんなことを考えてしまうのだ。に危ないことはなかったじゃないか」と。

なく、できる限り必要最小限にとどめよう

しかし、冷静に考えれば、この状況はそのようなマインドを持たせるのではなく、とする力が常に働くことになる。最小のおかしなものだ。利益を生む投資の場「いろいろ手を打ってきたから何もなかっ投資で最大の効果を狙うのは、経営者の合、そこで議論される「利益」はあくまでた今日があるのだ」という意識を持たせ常である。このため情報システムに対すも予測に基づく未実現利益であり、実際ることが必要だ。何も悪いことが起きなる投資プランが現場から提示されたときに投資をしたとしても期待されただけのかったのは、何もしなかったからではなく、には、無駄な投資が含まれていないか、利益を生みださないことはいくらでもあいろいろと対策を施してきてやっと何も投資に対してどれだけ収益アップが期待る。セキュリティーシステムへの投資も、悪いことが発生しない状態が維持されてできるか、投資量を変化させると収益が予測に基づく未実現損失なので、利益をいるのだという意識を持たせることが重どれだけ変動すると考えているかといっ

生む投資の議論と構造的にはまったく同要である。

た面を入念に吟味し、経営者として納得じである。しかし、単に利益を生まないできる投資プランになるようにするのがという一点で、経営者からはひどく冷たく普通だ。

扱われてしまっている。

戦略
１

経営者にセキュリティー投資についての妥当性を理解してもらい、高いマインドを持ってもらうことが必要。
そのために、経営者に対する啓発活動と合理的な説明を行うことは大きな意味がある。

ところが、セキュリティーシステムに対結局、経営者がどれだけの見識を持する投資を考えると、その投資は基本的ち、どれだけ大胆でどれだけ臆病なのかには利益を生みださない。セキュリティーという点にセキュリティーに対する投資システムに対する投資は、将来発生するが委ねられている現状を改善しない限り、かもしれない損害を低く抑えるための予セキュリティーシステムに対する投資が妥防的な投資である。このため、妥当な投当に行われることはない。この意味で、セキュリティーシステムを設計するとき資量はどれだけかを突き詰めると、どうし経営者に正しいマインドを持ってもらうこに、設計する技術者に求められるものはても「本当に必要な投資なのか？」というとが重要になっているのだ。しかも、その想像力である。対策しなければならない

184 +++ internet magazine 2003.09 +++想像力と前提条件が大事

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきかリスクは何か。実際そのリスクが顕在化

しかに、1990 年代後半まではその考えしたときには、何が起こるか。トラブルが方でも多くのシステムが守れたし、現在発生したときの影響範囲はどこまでか。どでも効果を発揮しているのも事実だ。しれだけの損害を組織に与えるか。組織がかし、それだけでは十分ではないことも直面するかもしれないトラブルに対して、わかり始めている。

いろいろな角度から検討することが必要

たとえば、近年大流行をしているネットとなる以上、技術者は豊かな想像力を持ワーク伝播型ウイルスは、さまざまな経路たなければならない。

戦略２

システム設計の前提条件は必ず明確にしておき、機会があるたびにその前提条件の妥当性を再検討することが必要となる。

守るべきものは何かから感染を引き起こす。大部分のケース

もう1つ、システム設計をするときに忘とはいえ技術者の想像力だけを頼りにでは、他の組織が感染して、インターネッれてはならないのは、何を守るのかという議論だ。

することは危険なので、これまでの知識ト経由で感染が伝播するというもので、を集約したさまざまなリスクアセスメント

この場合にはBorder Protectionは有効の手法を適用し、もれなく検討することもに機能する。
し かし 、C o d e R e d 、N i m d a 、必要となる。

セキュリティー対策をする場合に、まず定番のシステムを構築し、それで思考が停止してしまうケースをよく見かける。たもっとも問題なのは、問題に気付いてSQLslammerの場合には、不幸にも個人とえば、外部との接続点でファイアーウいながら、その問題に目を閉じてしまう状

的に使用しているラップトップPCが感染

ォールとIDSを仕掛け、各システムにウイ態を技術者本人が生み出してしまうことし、それを組織内部に接続した途端に、ルス対策ソフトウェアを導入させ、定期だ。たとえば、組織内部の人間は悪いこ

組織内部から感染が急速に広がった状態的にソフトウェアを更新する設定をして、とをしないという、性善説に基づく仮定をが、多くの組織で見られた。つまりBorder

それでセキュリティー対策は完了というも置く場合がその典型例と言える。システ

Protectionのみに頼っていると、いったんのである。本当にそれで十分なのか。

ム設計に必要となるリスクアセスメントで内部に問題が持ち込まれると、脆弱な部たしかに定番システムを導入することは、勝手な前提を置くことで、問題に目分が多数あることから、防御が難しいことは悪い考えではない。すでに実効性があをつぶることをしてはならない。仮に目をが明らかになってしまったのだ。

るシステムを導入することであり、投資をつぶったとしても、目をつぶったことそのしかし、この問題は、セキュリティー技ものを意識下にとめておかなければなら術者にはかなり以前から認識されていた。

しかし、組織にとって、取り扱っているない。具体的には、システム設計の前提トラブルの原因が内部にある場合には、情報がビジネスの源であり、その情報が条件という形で、記録に残す。そして常Border Protectionだけでは問題解決に漏洩してしまったらビジネスが維持できなに、前提条件を再検討するときに議論しつながらないことは、誰もがわかっていたいということであれば、定番システムの導なおせるようにしておくことが必要だ。

ことだ。

入だけではなく、さらに情報漏洩に対す

結局、これまで目をつぶってきた、内部Border Protectionの限界考えた場合には合理性が高い。

る対策が必要になることは明らかだ。あにトラブルの原因が持ち込まれた場合、るいは、オンラインサービスの継続的なあるいは内部の人間によってトラブルが維持がビジネス上必須であれば、オンラ技術者が目をつぶってしまったことで、引き起こされた場合の対策が必要になっインサービスを提供しているサーバーに最近大きな問題になっていることがある。ている。個々のシステムにおけるセキュ対するセキュリティー対策を重点的に行その典型例がBorder Protectionの限界

リティー対策の徹底、さらには内部の人うことも当然考えなければならない。

が露呈してきていることだ。

間がトラブルを引き起こすことを前提にしこのような、ビジネスにとって守らなけ

Border Protectionとは、一言で言えたセキュリティーシステムの構築が必要にればならないものは何であるのかというば組織と外部との境界面にセキュリティなっている。この投資だけでも、Border

ことを考えたセキュリティー対策を行わなー機能を強化集約して、システム全体をProtectionだけを考えてきた組織にとってければ意味がない。以前、ある組織のセ守る考え方である。ファイアーウォールは頭の痛い問題であろう。1か所に投資キュリティー対策について相談を受けたは、この考え方に基づいたシステムだ。

すればよかったのが、すべての情報処理ときに、「情報漏洩をいかに防ぐかが問題

Border Protectionは、悪いことは外部機器に対策が必要で、さらにより多くの投なんですよ」と言っていたセキュリティーからやってくる、外との境界を強固な守り資が必要になるかもしれないのだ。その技術者が、その対策としてファイアーウォで固めれば、悪いことは内部にはやって意味で、目をつぶったことが今になって大ールにおけるトラフィックの監視強化を言こないという考え方に基づいている。たきな反動となってしまっている。っているのを聞いたときには、この技術

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.09 +++185

者は一体何を考えているのかと腹立たしするというようなことを検討することがとって本当に実効性があるのだろうかとくなったことがある。たとえば、情報漏洩必要となる。

いう点だ。

を防ぎたいのであれば、最初にやるべきこれも別の組織の話であるが、ファイセキュリティーシステムは、他の技術は情報管理体制をどのように構築するのアーウォールを導入したが、ファイアーウと同じように実環境での実効性を示しかという制度作りであり、その次にそのォールの設定ができる技術者が社内にいたもの、いわゆるフィールドプルーフ制度に基づいた、デジタル化された情報なかったために、適切に設定されていな（field proofed）されたものを使うことがの管理基盤の構築だろう。そして、最後いファイアーウォールを運用していた組正道である。実績のないシステムや奇にメールなどの外部との通信によって情織があった。宝の持ち腐れもいいところをてらったシステムを使うのは、一種の報が内部の人間によって意図的に漏洩だ。使いこなせないものを導入しても意博打と考えてよい。もちろん、業務とシされることを防ぐ意味で、外部との境界味がない。

ステム環境の都合から、考えぬいた結果面での監視が必要になるだろう。

戦略
３

組織にとって第一に守るべきものは何であるのかを考え、その考え方に忠実にシステムを作り出すことを考えなければ意味がない。特に、定番システムを導入し、一時の安心感に浸って思考を停止することは絶対に避けなければならない。

戦略
４

使いこなせるシステムを導入しなければ、意味がない。使いこなすために、アウトソーシング、技術者の育成は当然考えなければならない。て、どうしても実績のないシステムを導入しなければならないこともある。その場合には、慎重の上にも慎重に、システムを念入りに試験して導入することが必

業務に支障を来たしてはいけない要となる。この意味で、他者が使っているシステムが、本当にうまくいっている2番目に、業務に適合しているシステムなのかどうかを検討しなければならない。

身の丈肩幅に合ったシステムとして現時点でベストソリューションとしシステムかどうかを確認する必要があるだろう。

セキュリティーシステムは、当然組織におよく他者が使っているシステムとしてける情報資産やシステム資産の運用を円漏れ伝わってくる話は、いい話しか聞こまた、システム設計時によくあるのは、滑に、かつ、トラブルなく進めることを目えてこないことが多い。特に、システム「ほかの組織が○○システムを使ってい標として構築される。しかし、セキュリテの販売元や取り扱い代理店からはそんるから、うちも使ってみよう」という話であィーを偏重するあまり、ユーザーの利便性な声しか聞こえてこない。本当は、セキる。もちろん、定番システムを入れる、あを下げてしまう可能性がある。ところが、ュリティーシステムを売る営業担当者

るいは、議論の出発点として他組織の事

いまや情報処理システムやネットワークは、システムの良いところと悪いところ例を調べるのは悪くない。しかし、セキュシステムにはほぼすべての業務が依存しを正しく顧客に提示して、より良いソリリティーシステムでは他組織で使っていているから、セキュリティー対策を強固にューションを提示できるようにすることるシステムがそのまま流用できるかどうか行いつつも、ユーザーの利便性を犠牲にが本来必要であるにもかかわらず、セキすることは最低限度にとどめなければなュリティーシステムでも良いことばかり

1つは、そのシステムを使いこなすこらない。利便性を犠牲にして、セキュリテ言う営業が多すぎるという問題も他方はかなり注意しなければならない。とができるかどうかである。セキュリテ

ィーを優先するというような結論に到達ある。だからこそ、他者が使っているシィーシステムは、単に導入すればそれでしてはいけないのだ。その意味で、他者ステムについて、合理性の高い評価をおしまいというシステムではない。日々が使っているシステムが、本当に業務に手にしなければ、その評判については単システムを運用し、組織の事情に合った適合しているかどうかを真剣に検討する純に納得してはいけないのだ。その意

チューニングを施し、システムが訴えかことが必要だ。

けてくる警告を理解し、必要があれば追加的な対策を施すことが求められる。つまり、セキュリティーシステムは、「使い戦略
５

セキュリティーシステムの構築では、利用者の利便性の犠牲を最低限度にすることが必須である。

味で、システムについては十分に吟味することが必要だし、実際に使っている組織があれば直接問い合わせるのも方法として考えるべきだろう。

こなしてなんぼ」のシステムなのだ。もしも運用に必要な技術者が確保できな導入するシステムは自分で判断するいのであれば、アウトソーシングを検討するとか、あるいは、技術者の育成も同3番目に考えなければならないのは、他時に進めて自主運用に早い段階で移行者が使っているシステムは、自分たちに186 +++ internet magazine 2003.09 +++戦略６インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

使用するシステムについては、その評判を鵜呑みにしない。自分自身の目で確認し、その有効性を納得することが大事だ。

セキュリティー管理責任者はいま何を考えるべきか勇気を持つ。

暗号化は諸刃の刃

償却、更新そして増強

よく情報保護のための環境をどのよう情報保護を考えた場合、暗号化の手に設計するかという議論をすると、「それ本稿の最後に述べたいのは、セキュリ法を取り入れることは必要となる。たとは暗号化で対応します」という答えを述ティーシステムの償却期間についてであえば、文書を暗号化したり、通信路を暗べる技術者が大半だ。そして、「じゃぁ、どる。セキュリティーシステムは、常にそれ号化したり、そんな対策は今や当たり前んなシステムにするの?」という問いかけを破る側の技術力との競争に晒されるとのものになっている。

に対しては、具体的な利用環境が提示さいう宿命がある。このため、セキュリティしかし暗号化を過信してはならない。

れないことが多い。私たちは、暗号化とーシステムそのものに脆弱性が発見され念のために書くが、ここで私が指摘するいう道具を使いこなしているわけではなてしまった場合には、そのシステムそのものは暗号そのものの問題ではなく、暗号い。また、過去にも暗号化という道具をのを改修して強力なものにする必要がど化を使ったシステムの運用の問題であうまく使いこなせたケースは本当に少なうしても発生する。この意味から言えば、る。

い。もしも暗号化をソリューションとして通常のシステムのように○年償却で設計

暗号化の手法は、本来多くの面に配慮使うのであれば、本当にいろいろなことし、期間満了で更新という考え方だけでして使わなければ意味がない。たとえば、を考えてシステムを設計することが必須は対応できないと言ってもいいだろう。

ある文書を暗号化して保存していたとしとなることを肝に銘じるべきだ。

場合によっては、償却期間未了でもシスよう。この文書を参照した誰かが復号した文書を平文のままで保存し、かつ、誰戦略
7

情報の暗号化を使う場合には、運用環境の設計を入念に行うテムの更新・増強をしなければならないこともあるのだ。

からも見えるフォルダーに入れておいたら、暗号化の意味はまったくなくなる。ま逆に、償却期間満了という理由でいき認証も非常に大きな問題となる

た、暗号化しておいても、復号鍵を忘れなりシステムを更新してもよいかについても、十分な検討が必要である。セキュてしまった場合に問題だと、平文の文書

もう1つセキュリティー技術者が安易

リティーシステムは、ある意味で組織に強をそのままバックアップにしまいこむように考えてしまうのが、ユーザーの認証方く絡み合うシステムである。セキュリティなことをした場合、バックアップの保管が法である。たとえば、再利用可能なパスーシステムは、技術的な要素だけから構適正に行われてなければ、リスクは逆にワードはネットワーク盗聴に弱いので、成されるのではなく、手続き、ルール、ポ増大してしまう。

使い捨てパスワードを使いましょうとい

リシーなどの非技術的な要素も含む。しう議論は納得できる。しかし、最近よくたがって、単に償却期間満了だからと言基本原則を守る必要がある。

あるのが、ICカードを使って認証をしまって安易にシステムを入れ替えると、非・暗号化システムを利用するユーザーをすとか、指紋などの生体計測技術を利用技術的な要素との整合性が保たれなくな限定し、その取り扱い方法を正しく身しますということだ。本当にこれらが自ることもある。この意味で、セキュリティに付けさせる。

分の環境にとって実用的なのかどうかはーシステムの入れ替えをする場合には、十分に考え抜かなければならない。

周りとの関係を十分にチェックしてから、暗号化を使うのであれば、いくつかの・暗号化を適用する範囲を明確にし、ユーザーが暗号化されている重要情報

たとえばICカードを考えよう。認証トを取り扱っていることを強く意識させークンを入れておき、それを認証の1つる。

問題が発生しないように更新を実施することが必要になる。の要素として使うのが一般的である。し更新や増強といったことを円滑に行う・暗号化された情報資源にアクセスできかし、ICカードは盗難されることもある。

ためには、システムそのものを日頃から正る環境を限定する。そもそも暗号化し盗難されたカードを使ってアクセスできしく理解し、どこに問題があるのか、どんて保存しなければならないような情報るようなシステムではどうしようもない。

なシステムとの関連性が強いのかを意識をネットワーク環境で共有するような生体計測を利用する場合には、その計しておくことが重要である。

ことが許されるのかを十分吟味する必測デバイスがない場合のアクセスをどの最後にもう一度。何も起きないことは、要がある。

ように考えるのかを綿密に設計する必要何もしないことから生まれるわけではな

・暗号化のためのシステムは、その機能、がある。結局、生体計測を使えない環

く、毎日何かをしているから何も起きない

限界、使用する前提条件を十分に理境でもアクセスを許すのであれば、結局状態を維持できるのである。これを肝に解する。これらが利用環境に適合しな保護レベルは低下してしまう。

銘じること。

い場合には、他のシステムを検討する

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.09 +++187

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.