セキュリティマネジメントと認証

NEC ユビキタスソフトウェア事業部
小松 文子

ユビキタス社会とセキュリティ
いつでも、どこでも、誰でも加速

高速ブロードバンドの普及
無線技術の高度化
情報端末の小型化

安心・安全な社会を築くためにセキュリティ対策が必須
IT環境の変化により、脅威・脆弱性が変化しその対策が必要①攻撃への対抗手段②法遵守③認証
すべての構成要素を識別しシームレスなサービスを提供

2© NEC Corporation 2005

ユビキタスオフィスの到来
ビジネスのあらゆるシーンで自由にコラボレーション
作業現場でオフィスでこのバルブを右に・・

無線内線電話として利用可
能で、デスク上スッキリ（サーバの）ビデオマ
ニュアルを検索、再生、作業も効率アップ

ライブカメラで状況を見ながら、オペレート支援（HMDで作業者ﾊﾝｽﾞﾌﾘ-)

ユビキタス
オフィス
基盤

会議/会議/打合せ等でＣタイプ
・小型・軽量
・高性能

Cタイプ
・小型
・軽量
・高性能

机上のパソコンからＷｅｂ会議。会議資料を共有し、音声、動画で意見交換。

3© NEC Corporation 2005

オフィスＰＣから無線LANやディスプレイ機能を利用

オフィス内位置確認による、構内案内。在席管理

お客様先で本日の商談うまく行きました

通訳サーバで、外国人と会話（基本会話のみ＋各業種対応は個別対応）*VoIPによる通訳電話方式
会議等の音声を録音。
文字に変換し、後から目的の場所を検索??

オフィス内のどこでも、メールや予定確認。

ショートメッセージ（簡単な用件等）を音声で作成、メール送信＜オフィス＞

目の前のお客様情報を取得、最適な情報提供

One to One
Marketing目次
１．セキュリティインシデントの状況
・拡大するセキュリティ脅威
・多発する情報漏えい事件
・個人情報保護法
２．情報保護対策– 情報保護対策の観点– 認証による情報活用と統制– セキュリティマネジメント

３．情報保護への取り組み例

4© NEC Corporation 2005

拡大する情報セキュリティの脅威
高個人情報保護法

１．企業の信用失墜、イメージダウン
１．企業の信用失墜、イメージダウン
２．業績への影響（自粛、不買）
２．業績への影響（自粛、不買）
３．株価の下落
３．株価の下落４．損害賠償訴訟
４．損害賠償訴訟
５．株主代表訴訟、社長交代
５．株主代表訴訟、社長交代

全面施行 2005.4.1

外部からの脅威による外部からの脅威による情報漏洩
情報漏洩

個人情報の漏えい
機密文書の保全

情報漏えい問題
情報漏えい問題
DOS攻撃
Web改ざん、不正侵入

サイバーアタック(攻撃)サイバーアタック(攻撃)フィッシングファーミング

ワーム問題
ワーム問題

セキュリティ対策 実施優先度

情報漏えい事件による影響

CodeRed MS Blast MyDoom
Nachi
Nimda
MIMAIL

5© NEC Corporation 2005

マクロウィルス、ハードディスク消去

2002

2003

標準

ウイルス問題ウイルス問題
1990
2001

2004 2005

多発するセキュリティインシデント
 個人情報漏えい事件は経営リスク
 個人情報漏えい事件が2004年度には６倍増
 損害賠償額(平均13.9億円*)のインパクトだけでなく、イメージダウンも深刻(*: 日本ネットワークセキュリティ協会(JNSA)調査報告2004年度より)
漏洩規模

備考

2004.8

信販カードＡ社

約48万人

全会員に500円相当の金券配布

2004.3

通販Ｂ社

約30万人

最大66万人分

2004.2

プロバイダＣ社約450万人

全会員に500円相当の金券配布

2003.10

コンビニＤ社

約18万人

対象者に1000円のカード配布

2003.6

コンビニＥ社

約56万人

全会員に500円の商品券配布（件数）

個人情報流出事故件数の推移

35
3025

前年比２７５％増加

20
15

情報漏洩事故件数と想定損害賠償額の推移(*)
5004002001 年

2002 年

2003 年（日経４紙、一般紙４紙の報道件数 出典：Ｈ１５年情報通信白書 総務省）

© NEC Corporation 2005

4,000
3,000

200

2,000

281

件数： ６.4倍

1,000

5700
2003年度6366

損害： １６.6倍

50

事故件数
想定損害賠償額総計

300

100

10

5,000

4,667

2004年度

想定損害賠償額総計(億円）

組織名件数（件）時期個人情報保護法
個人情報保護法完全施行に対して企業での対策が必須
適用除外

 5000件以上の個人情報を利用する企業に適切な取り扱いを義務付け
 個人情報に対する意識改革： 企業のもの から お客さまからの預かりもの 個人情報の取得・利用・管理に責任を負わなければならない

個人情報(2条1項)
・生存する個人に関する情報であって、・当該情報に含まれる氏名、生年月日その他の記述等により・特定の個人を識別することができるもの
公布（社団、個人も該当）

個人情報の保護に関する法律、2003年5月30日、施行 2005年 4月 １日

個人情報保護法①利用目的の特定、制限（15条、16条）②適正な取得と利用目的の通知（17条、18条）③内容の正確性確保（19条）④安全管理措置（20条〜22条）⑤第三者提供の制限（23条）⑥公表、開示、訂正、利用停止等（24条〜27条）⑦苦情の処理（31条）
7

個人情報取扱事業者© NEC Corporation 2005

保有個人データ

市販人名簿等
・紙・電子を問わず整理・分類された
５０００件以上の個人データを事業に用いる・官報等の公開情報・個別に収集した情報
・市販の情報（映像情報、メールアドレス、名刺も対象）

へ

・立法府・司法府（別途取扱いを制定）
・行政機関
・独立行政法人（憲法で保証）
・報道活動
・著述活動
・学術研究
・宗教活動
・政治活動
（他人作成、非変更
氏名・住所・電話番号のみ）
・電話帳、カーナビ等

２．情報セキュリティ対策

8© NEC Corporation 2005

情報セキュリティ
漏洩

破壊(資源)消費PC/媒体の紛失
書類の紛失盗難
社員による不正持ち出しミスによる流出PC・書類の廃棄に伴う流出
不正アクセスワーム・ウィルスソーシャルエンジニアリング
輸送時の紛失(宅配便)無線LAN白版消し忘れ社員によるデータ消失
自然災害、人災、停電、機器故障、落下、コーヒー
不正アクセス、ワーム、サイバーテロ搬送中(事故、持ち逃げ)
オペミス(通常/保守)
プログラムバグ
媒体劣化
テロ

SPAM
ワームによるNWバンド消費
自然災害
オペミス
故障
空調トラブルテロ
インターネット私用

信用低下

改ざん

風評被害
信用失墜

9

リスクマップ© NEC Corporation 2005

内部者の改ざん(不正発覚阻止)
不正アクセスHPの改ざん

サービス妨害DoS攻撃DDoS攻撃サイバー・シットイン
回線妨害

情報セキュリティ対策の観点
制限・保護・監視･防御の４つの観点で対策を検討
セキュリティマネジメント・周知・徹底が重要！
セキュリティマネジメント
現状分析→

セキュリティポリシーの策定→

セキュリティマネジメントサイクルの計画システムによる情報保護対策
外部

内部

防止効果

制限
厳密な利用者認証やそれに基づくアクセス制限などで漏洩を防止

防御

保護

外部からの不正アクセスなどをネットワークの要塞化などにより防止

通信暗号化やファイルの暗号化により事故・ミスからデータを保護

抑止効果

監視

公示
公示

ポリシー準拠監視、不正機器接続監視を行い不正・ミスを抑止

Webサイトにセキュリティ対策を講じている旨
提示し、不正アクセスをけん制周知・徹底
社員・委託社員に対しポリシーの周知とシステム操作方法を教育
10© NEC Corporation 2005

セキュリティ管理策とシステム分野（ISMSより）セキュリティ管理策

内容①基本方針②組織のセキュリ
ティ③資産の分野と管理④人
的セキュリティ

情報セキュリティ基盤・第三者によるセキュリティ・外部委託、資産に対する責任・情報の分類、職務定義および雇用・利用者の訓練・インシデント対応策⑤物理的および環境的物理的入退出管理、装置のセキュリティ、その他⑥通信および運用管理(情報システムの管理）

運用手順および責任・システムの計画および受け入れ・悪意のあるソフトウェアからの保護・システムの維持管理・ネットワークの管理・媒体の取り扱い・情報およびソフトウェ
アの交換⑦認証・アクセス制御

アクセス制御方針・アクセス制御の規則、利用者のアクセス管理・利用者登録、特権管理・利用者のクレデンシャルの管理・アクセス権の見直し、パスワードの使用、利用者領域にある無人運転の装置、ネットワークのアクセス制御、指定された接続経路、外部から接続する利用者の認証・ノードの認証、遠隔診断用ポートの保護、ネットワークの領域分割、ネットワークの接続制御、ネットワーク経路を指定した制御、ネットワークサービ
スのセキュリティ、OSのアクセス制御、端末のログオン、利用者の識別・認証、パスワー
ド管理システム、システムユーティリティの使用、利用者を保護するための脅迫に対する警報、タイムアウト、接続時間の制限、業務用ソフトウェアのアクセス制限、情報へのア
クセス制限、システムの隔離、事象の記録、使用状況の監視、コンピュータ内時刻同期、⑧システムの開発・保守（情 業務用システムのセキュリティ、暗号による管理策（暗号化、ディジタル署名、否認防止報システムに確実にセキュリティを組み込む施策・データの消失・誤用を防ぐ）

サービス、かぎ管理策、システムファイルのセキュリティ、開発・支援過程におけるセキュリティ（変更管理手順、OS変更の技術的レビュー、PPの変更に対する制限、隠れチャネ
ルおよびトロイの木馬、外部委託によるソフトウェア開発⑨事業継続管理

災害やセキュリティ侵害によって事業継続ができない場合の管理策⑩適合性

法制度への適合性対策

11© NEC Corporation 2005

情報セキュリティ対策の多層防御「認証」「セキュリティマネジメント」「不正アクセス対策」を中心とした多層防御が鍵アクセス制限

リスク分析

ポリシー

侵入防止

緊急対応
法的措置
ISMS/Pマーク

個人情報
機密情報
個人認証

12

© NEC Corporation 2005

ポリシー

不正アクセス防止

漏えい先

認証
•

識別(Identification)– システムに対してユーザであるかどうか確認する
例：システムを使う際にユーザIDだけを入力•認証 (authentication)– ユーザが正当なユーザであるかどうか(本人性)を確認すること
例：システムを使う際にユーザIDとパスワードを入力•認可 (authorization)– 認証された利用者に対して、利用者毎のアクセス権に応じたサービスを提供すること（アクセス制御）
例：認証の後に、ユーザの属性情報を取得し、利用可能な情報を制御する•「本当にあなたですか」（認証）が不十分な場合には、「だれ」（識別）も不確かになり「これにアクセスして良い」（認可）を与えられない•権限のある利用者が適切に資源を活用し生かすしくみ•責任の所在を明らかにするしくみ → トレーサビリティ確保
13© NEC Corporation 2005

認証プラットフォームの実現①コアコンピタンスへの集中

：強い部分

開発

製造 物流

開発

製造

②専業企業の活用

販売

物流

販売

製造 物流

開発

製造

販売

製造
物流

製造
物流

開発

販売

開発

販売

物流

販売

③系列/国境を越えたﾊﾞﾘｭｰﾁｪｰﾝの構築

製造④ﾊﾞﾘｭｰﾁｪｰﾝ全体でのスピード向上

組織A

組織B

*****

バイオ認証 ICカード認証

VALIDFROMGOOD THRU

XX/XX/XX
XX/XX/XXFISCHERPAUL FISCHER

14© NEC Corporation 2005

ゲート・センサーなど

CREDIT CARD

1234 5678 9012

・複数組織の連携による価値向上
・トレーサビリティの実現
・プライバシー保護を主眼とした
属性情報連携組織C

アクセス制御機構の相互運用性
パスワード認証課題

認証手段

WS-Security、LibertyAlliance、SAML技術検証
認証ポリシー
ガイドライン（基準）

セキュリティマネジメント
常に変化していく組織やセキュリティ脅威へのセキュリティ対策は継続したマネジメントサイクルの遂行が必要。

•ポリシー策定•リスクアセスメント•セキュリティ診断•戦略策定•ルール策定・体制構築
構築

対応レベルの維持・定常化

15© NEC Corporation 2005

運用

•製品選定
•導入・システム構築
•運用設計

•定期診断
•運用支援・事故対応•教育・アウトソーシング

３．情報セキュリティ対策
取り組み例

まとめ
• セキュリティインシデントは毎日発生• セキュリティ対策のポイントは「複数対策」– ポリシーを遵守するための「セキュリティマネジメントサイクル」を維持– ワームやウィルスなどへの「不正アクセス対策」– 「認証」による資源活用• 個人、組織のトレーサビリティを確保するための手段

17© NEC Corporation 2005

プロフィール• 小松文子（Komatsu Ayako）• NEC入社以来、ネットワーク管理の国際技術標準化活動等を経て、セキュリティ製品およびサービスの研究・コンサルテーションおよび開発に従事• 1998より、政府認証基盤、地方自治体認証基盤、公的個人認証サービスなどのシステム構築を推進• 日本PKIフォーラム相互技術部会長、次世代認証基盤
プロジェクトリーダ• 主な著書 「改訂PKIハンドブック」2004.11
ソフトリサーチセンター• 現在、NECユビキタスソフトウェア事業部 シニアエキスパート、上席システムズアーキテクト• 2006.4 よりNECインターネットシステム研究所
技術主幹
18© NEC Corporation 2005