セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考システムの監視、ユーザーの監視、プログラムの実行状態の監視、そして、ネットワークを介して行われる通信の監視。これらの監視は、システムの稼働状況を把握するために必要なだけではなく、外部か第九回監視について考えるらの不正アクセス行為、あるいは、内部からの情報漏洩などを把握するために必要となっている。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

システムの運用や管理では、システムこれはプラントシステムなどの大規模シのとしてではなく、あくまでも追加的な機の現在の状態を把握する手段が必要でステムでは当たり前のことで、監視装置構として取り扱ってしまう経営者も後をあることは誰にとっても納得できることの設置とシステム全体を把握するための絶たない。結果として、監視システムにだ。状況を把握する手段がないままにシオペレーションセンターの構築が必ず行対して過少投資の状況にあったとしても、ステムを管理することは、言わば目が見われている。また、システムを的確に把それを放置してしまう経営者マインドが醸えない状態で山道をトレッキングするよ握するために、どこにどの種のセンサー成されていると言ってもいいだろう。

うなものだ。この場合、自分の身の安全を設置するのがいいのかということにつを考えるのであれば身動きしないだろう

いても積極的に研究されている。

また、監視システムをどのように構築したらいいかという課題に対して答える

し、かといって下手に動けば道に迷うの

しかしコンピュータネットワークでは、方法が確立していないのも大きな影響をはほぼ確実で、穴に足をとられて転ぶか状況把握のための監視機構をシステマテ与えている。このため、ネットワークをシもしれない。最悪な状況では谷に滑落しィックに構築することは容易ではない。こステムとして捉えたときに、その挙動をどて落命するかもしれない。システム管理

れには2つの理由がある。1つは過少投のように把握するのかは、管理者の経験に言い換えれば、管理者としての自分の資を放置する経営者マインドであり、もうや知識に負うところが大きく、結果として身を守るつもりになれば、管理者として1つが監視網構築のための方法が確立し監視システムを構築したときに、管理者何も新しいことはせずに前任者がやってていないことである。

によって千差万別のシステムが作り上げいたことをそのまま踏襲するだけに徹す企業環境でネットワークの導入が一般られてしまうのだ。これは監視システムにるだろう。また、状況を把握しないで管化したのは1990年代前半であり、まだま対して適正な投資を判断することが難し理作業を無理やり遂行すれば本当に必だ組織の存亡にかかわる基幹大規模シくなることを意味する。以上のような理由

要な管理作業はほとんどできず、下手をステムとして組織が認識しているとは言から、組織として監視機構に対する投資すればシステムの運用に大きな影響を与いがたい。実際にネットワークが停止しが十分に行えない状況にある場合が多えるトラブルを引き起こしてしまうかもしてしまったら、今や大部分の業務が大混い。

れない。

乱になると十分に予想されるにもかかわ「眼の見えない状態でのシステム管理」

らずである。このため、全般に管理系シを回避するためには、管理者はシステムステムに対しての投資は抑制されることやネットワークの状況を把握するためのが多い。さらに技術に対する理解不足か監視機構を作り出さなければならない。

ら、ネットワークの監視機構を必須のも

126 +++ internet magazine 2004.02 +++戦略1インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

CIOは、監視機構に対して過少投資になっていないかを十分に注意を払わなければならない。

セキュリティー管理責任者はいま何を考えるべきか

このように、セキュリティー管理で使わ用ネットワークを分離することも行われてれるセンサーの多くは、通常使用していいる。これは、網の構築コストを抑えつネットワークの監視網の構築では、多る機器に用意されている機能をうまく使つ、サービス系と管理系を分けることに種多様なセンサーを目的に応じて設置すうことで構築できる。たとえ、サーバーやよって管理トラフィックを分離するだけでる。

ネットワーク構成機器ではない、個々のはなく、安全性も高いネットワークを作ることを狙いとしている。

多種多様なセンサーを置こう

代表的なセンサーとしては、侵入検知

ユーザーが用いるPC などでも、実はセ装置（IDS）が挙げられる。IDSではすべンサーとして情報を得られる場合も多い。てのトラフィックを監視し、システムに侵その意味で、各システムがどのようなセ入しようとする行為を検知して報告する。

ンサーとして利用できるのかを常日頃かファイアーウォール（FW）もその意味ではら考えておいたほうがいい。

センサーとしての側面を持っている。FW
では、中継しようとするトラフィックを検査して、セキュリティーポリシーに合致しないトラフィックを拒否する。どんなトラフ
ィックが拒否されているかはシステム側で戦
略
２

監視網を構成するセンサーの多くは、通常使っているシステムに用意されている機能を流用できる。常日頃から、どのようなセンサーとして利用できるかを考えておくべきだ。

警告を発することもできる。この意味で、FWをセンサーとして捉えることもできる。

戦略
３

サービス系ネットワークと管理系ネットワークを分離したアウトバンド管理が広がりつつある。セキュリティー的に強いネットワークを作ることを考えれば検討の価値は高い。

直感と楽観ではいけない
監視システムでは、ネットワークの各所に配置されたセンサーからの情報を収集管理系網の分離が必要となる

さまざまなサーバーから提示される警

し、解析し、現在のネットワーク環境で何が起きているかを把握することが目的

告も重要な情報となりうる。たとえば、監視網を構築するときに、センサーだとなる。このことから、セキュリティー管

WWW サーバーであれば、バッファーオ

けではなく、センサーから発せられる情報理責任者としては、次の2点を明確に理ーバーフローの部分がないかどうかを検をどのように集めるかを考えることが必要解している必要がある。

査するような不審なアクセスがあれば、になる。これまでの多くのネットワーク環当然WWWサーバーとして警告を発する

境では、ユーザーのためのトラフィックとだろう。また、SMTPサーバーであれば、管理のためのトラフィックを分離せずに1

1. 何を知るために監視網を構築するのか（目的の明確化）。
2. 目的に合致した監視網となっていメールに添付されているファイルにウイルつのネットワークで混ぜて扱う方法が一ス付きのものがないかどうかを検査する般的であった。しかし、ISPのネットワー当たり前の話だが、適切なセンサーをのが当たり前になっているが、検査結果

クでは管理トラフィックを一般ユーザート使わずして、適切な情報を得ることなどに基づいて適切な警告を発してくれる。

ラフィックと混ぜないようにしたほうがい不可能である。IDSでネットワークを流れたとえば、自分のドメインに属するシステいという考え方が支配的であり、管理トるトラフィックの流量を知ろうとするのはムからのメールにウイルスが含まれていラフィックを分離して扱ういわゆるアウトまったくの間違いである。そのためには、るような場合には、重要な情報である。

バンド管理が行われている。企業の基幹スイッチやルーターにおけるトラフィック

恐らく該当するメールを発したシステムは業務のネットワークに依存する度合いが計測機能をうまく使うほうが適切であろうウイルスに感染しているだろう。

高まるにつれて、企業においてもこのアし、さらには、専用のトラフィック計測装ウトバンド管理を導入することが増加し置を使うほうが精度の高い計測が可能にている。

なる。この意味で、目的に合致したセン

また、DoS攻撃を考えれば、どのホストからどのようなトラフィックが発せられてるのか（適切な構築）。

いるかを監視するべきだろう。これにはまた、本当に止まらないネットワークをL3スイッチやルーターなどのネットワーク作ることを考えれば管理用ネットワークをまた、センサーのないところでは情報構成機器において、適切なトラフィックカ物理的に分離したネットワークとして構築を得られない。したがって、想像力を働かサーを使うことが必要である。

ウンターを用意したり、あるいは、RMONする必要があったが、最近の論理ネットせて状況を考えるしかないのだが、監視機能（遠隔地のネットワークの通信状況ワーク技術、たとえばイーサネットでの対象によっては想像力が有効でないものを監視する機能）を用いてトラフィックをVLAN（仮想的に物理線上にLANを構築も多い。その意味で、本当に知りたいこ計測したりすることが必要になる。

する技術）をうまく使って、理論的に管理とを知るために適切なセンサーが適切なインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2004.02 +++127

場所にインストールされているのかというコストと利益の関係を算出する

ろう。当然、たくさんのセンサーを設置して多くの情報を得て解析し、多くのことことも十分に考えなければならない要素「セキュリティー管理では、ネットワークを知る必要があるとしたら、その監視網ここで一番怖いこととして私たちが常の状況を把握するために監視網を構築

構築と運用には多くのコストが必要になに忘れてはならないことは、監視網を作するのが重要だ」と講演で説明すると、ってしまう。そして、その監視網が本当にると、その監視網が何も警告を発しない

監視網の構築にどの程度のコストを負担必要かどうかを考える必要がある。

ときには、何もトラブルが発生しているはするのが適切だろうかという質問をたび監視網に適切な投資をすると、実は定である。

ずはないと考えるオペレーターが非常にたび受ける。これほど答えるのに難しい常的な監視コストを抑えられ、かつ、機多いことである。つまり監視網が目的に問題はないが、CISOはこの問題を考え能的にレベルの高いものを作り上げられ合致した形で作り上げられている場合になければならない。

る可能性が高い。一方、システムに対すは、このオペレーターの判断も大きくは

まず、そもそもセキュリティー管理をする投資が過小であった場合には、何かト間違うことはないだろう。しかし、目的にるうえでリスクアセスメントは必ずやらなラブルが発生した際には人海戦術でトラ合致していない監視網から得られた情報ければならない。予想可能なリスクを想ブルを終息させることが必要になる。人でトラブルは起きていないと判断するの定して、統計確率などの考えを駆使して海戦術をとるだけの十分な人員が確保でであれば、大きな間違いを起こすことが期待損失を計算するのである。そして、たきると踏むのであれば、監視網には大き多い。そして、過去にプラントや各種シスとえば今後1年間の期待損失が得られたく投資しなくていいかもしれない。しかし、テムに発生した大規模なトラブルでは、ならば、そのうちの何割を実際にセキュ

最近の経済状況とネットワークへの業務目的に合致していないセンサーから得らリティー管理に投資するかを経営陣が決依存度の上昇を考えれば、読者の皆さんれている情報だけに頼ったことにより、判めるのがコスト同定のプロセスである。には私の答えは明らかだと思う。

断を誤って大きなトラブルに発展させて簡単に言えば、リスクアセスメントによっしまったケースが多い。て「このまま放置すると、今後1年間にど戦略
５

監視網の構築には適切な投資が必要。過少投資になると、トラブルが発生した場合には人海戦術でトラブルを終息させなければならないことになる。つまり、過少投資は業務を止めてしまうリスクを高めることになる。

情報通信システムであっても、ほかのれだけ被害が発生する可能性が高いか」システムの運用で得られている教訓に学という値を得て、その情報を元にセキュぶべきである。つまり、目的が明確に設リティー管理のための投資額を決めると定され、その目的に合致した監視網が構いうことだ。この意味で、リスクアセスメ

築されているのかどうかを常に考えて監ントは一度実施すれば十分というもので視網を管理して運用することが必要であはなく、少なくとも定期的に実施する必る。その意味で、管理者は常に合理的に要があるし、また、組織構造や情報通信判断することと、悲観的に物事を考えるシステムが大きく変更されたときには、リ誰でも、ほかの人が何をしているかを癖をつけるべきである。楽観と直感に頼スクアセスメントを適宜実施することが必

覗き見たくなるのは普通のことだ。否定るのはあまりに危険である。本当に自分要になるだろう。さて、ここで得られた投することはない。誰だって覗き見趣味はの判断は合理性があるかを常に点検し、資額が、少なくとも使える費用の上限に持っている。

何も問題がなくても何かを見落としていなるということは理解してほしい。

人の秘密を蜜の味にしないためにさて、これが組織の情報通信システムるのではないかという悲観的な前提で行

次に、セキュリティー管理の中で、どのの監視となると、どのように考えるべきか。

動していれば、トラブルの発生を抑制す程度を監視網の運用に投資していいと考これには2つの観点からの議論が必要でる効果は高い。少なくとも、直感と楽観えるべきか。少なくとも監視という業務はある。1つが情報漏洩阻止の考え方、もからの判断よりも、頼りがいのある判断

定常的に 24 時間、365日行われる業務う1つがプライバシー管理の考え方であが生まれてくるだろう。

である。したがって、監視業務は実は何る。

戦略４

監視網を構築する目的を明確に設定し、その目的に合致した監視網が構築されているかどうかを常に点検することが必要。

128 +++ internet magazine 2004.02 +++も悪いことが起きないときのセキュリティ

組織にとって情報漏洩のリスクは年々ー管理の中心的な業務になる。そこで、増大する一方である。さらに、最近しばこの業務のオーバーヘッドをどれだけ減しば発生した個人情報の流出事故は、多らすのかという算定をする必要があるだ

くの企業に個人情報漏洩のインパクトのインターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか大きさを認識させた。さらに2003年にはペナルティーを与えるようなことをしな

このような条件を明らかにし、さらにそ個人情報保護法が成立し、個人情報保いこと。よく問題になるのは、電子メの理由は何であるのかを文書化しておく護を義務付ける制度がスタートする。

ールの私的利用をどこまで許容するのことが重要である。

また、企業が持つさまざまな知的財産かということである。たとえば、会社のなぜ標準化を行うのかについては、いについてもその流出を防ぐ方策が必要にメールアドレスを使っているときには、くつかの理由があるが、もっとも大きな理なっているという認識が強い。特に技術会社の看板を背負って通信していると由は、管理系網を作り上げたときに考え開発情報や特許出願前の技術情報についう感覚を持ってもらわなければならたことを忘れやすいということだ。また、いては相当厳格な管理が始まっている。

ない。と言っても、私的な通信だって問題が発生したときに、やっつけで作っ電子メールなどで組織外の人たちに対し混ざることもある。情報漏洩を防ぐたたシステムがそのまま生き残ってしまうこて簡単に情報を漏洩させられる環境が多めにルールを作ったとしたら、そのルーとも多いのだ。このようなことから、現実いことも、この危機感を高めている。

ルを私的利用にまで拡大すべきではなには、管理系システムにおいて整合性をこのようなことから、組織外部とインタいし、もしも私的利用を制限したいの保つことは大変な難しいのだ。このためーネットを介した通信を基本的に禁止し、であれば、そのルールを作るべきだ。に、どんなシステムを作ったのかを少なく外部との通信を許可制にしている組織も④監視にかかわる作業者の守秘義務をともメモにして、あとから見直しができる登場してきている。また、社員すべての明文化し、さらにそのルールを厳密にようにしておく必要がある。また、管理系メールのやり取りを本文も含めて記録し、適用すること。ユーザーの信頼を得らシステムがどのような能力を持っている

常にその中味を監視している企業も存在れるオペレーションだけが監視を正当のかを別の管理者が見直せるようにするしている。つまり、情報漏洩を防ぐため化する力である。

ためにも、文書化は重要である。という動きである。このような取り扱い

現在であれば、実はメールアカウントげる際に自分自身で決めた標準を持ってには私自身は一定の理解を持っている。

を自分で用意することも簡単にできるよ

いると、上記の作業がさらに簡便に行えしかし、次のような問題を解決してなけうになった。その意味では、会社のメーるようになる。

そして、さらに管理系システムを組み上に、すべての通信を徹底的に監視しよう

ルアカウントは、会社員としての目的に合ればならないと思う。

戦略
６

致しているものにしか使ってはいけない①すべての通信を記録し、監視対象に置という形での、力強い宣言をしてもいいいていることをすべての社員に伝えてだろう。しかし、その宣言に基づいて、あ理解を得ていること。これは情報漏洩

まりに各個人の行動に介入しすぎる対策について企業運営側が真剣に本気でをしては、うまく機能しないのだ。

セキュリティーの質を上げる監視取り組んでいるという態度を示すだけではなく、その意味を社員にわからせ監視網を構成する技術と構成について、自分たちの標準化を行っておこう。

セキュリティー管理においては、監視監視網の標準化が重要るという意味もある。

機構は重要な役割を負っている。その意
味で、CISOは巧みに、そしてできる限り②できる限り技術を用いて解決する努力監視網を作っていくうえで、もう1つ重多くの知恵を集めて監視機構を構築するをしていること。たとえば、先に述べた要なのは、できる限り自分たちの標準化ことが必要だ。よい管理系を作り上げれように電子メールの利用を許可制にすを行っておくべきである。

るというのは愚の骨頂である。利便性

たとえば、管理系網はどのように運営を犠牲にせずに、技術をうまく使ってするのか、また、どのように理論的に隔離解決することが必要であり、また、利用するのか。センサーにアクセスするプロ者の利便性を下げることも許容できなトコルは何を使うのか、また、ソフトウェいのが一般的であるからだ。

アのバージョンは何か。センサーから得③情報漏洩を防ぐという目的を逸脱しなられる情報をどこに収集し、どのように管いこと。特に、メールなどのプライベー理するのか。収集した情報に誰がアクセトな利用について必要以上の干渉とスできるのか。

ば、セキュリティー管理の質も格段に改善されることは確かである。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2004.02 +++129

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.