セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考
さまざまなトラブルによって引き起こされる被害。被害を受けてから、通常の状態に復旧させる作業には、単なる機能復旧だけでは最終回なく、トラブルの再発防止対策が求められる。

被害からの復旧被害からの復旧はさまざまな技術を総動員する場面でもある。
復旧作業において私たちは何を考えるべきなのか。
text :

2つの選択：復旧か調査か
セキュリティー管理作業の中で一番頭を悩ませることは、トラブルが発生したと

山口英 奈良先端科学技術大学院大学情報科学研究科教授

ど止まっただけで、その日の仕事の段取

いは、司法当局に対して告発を行う必要りが立てられなくなるような環境で作業があるような場合には、かなり徹底したをしている人も数多くいるだろう（当然筆情報収集を行って、事後対応を滞りなく者もその1人である）。

行えるようにすることが求められる。このきに、どのように解決して決着をつけるのトラブルが発生すれば、多くのユーザような理由から、復旧作業を休止させてかという道筋を組み立てていくことであーに甚大なインパクトを与えるというのでも、状況情報を収集することが必要なる。結論から言えば、この問題には単純が、現在の情報通信システムの真の姿で場合も多い。ただし、復旧作業を休止しな解決方法はないのである。それぞれのある。このため、システムにトラブルが発続ければ、経済的な損害が大きくなるこ状況に応じて対応するしかない。なぜな生すると、迅速に復旧させてサービスをとは前述のとおりである。

らば、この問題は拮抗する2つの要求を再び提供することが強く求められる。ましたがって、この2つの要求をうまく折満足させつつトラブルを解決しなければた復旧までの時間がかかればかかるほり合いを付けながら復旧の実作業に取りならないという構造があるからだ。

ど、経済的な損失が大きくなるというの組まなければならない。当然だが、発生も通常の考え方だ。

したトラブルの規模や内容によって、折り2つの要求とは、「サービスの迅速な復旧」と「トラブルを引き起こした原因の解その一方で、復旧を迅速にすればする合いの付け方は変化するので、この問題明」である。このどちらを優先させるのか、ほど、失うものも出てくる。それは、なぜを片づけるための特効薬はなく、それぞあるいは、どちらに重きを置いて作業をトラブルが発生したのかという「トラブルれの状況に応じて判断しなければならなするのかで、実際の復旧のプロセスが大発生原因」を探る活動を円滑に行うためい。しかし、この問題をもっとうまく解決きく変わってしまう。の環境である。原因調査の視点から考するための工夫はある。

現在、私たちが使っている情報通信シえれば、何が起こったかを知るためには、ステムは数年前とは大きく様変わりし、業トラブル発生時点での状況を保全し、ト務に密接に連携するシステムとして、多ラブル発生状況などの情報収集を十分種多様な業務に深く組み込まれている。

かつ円滑に行うことが必須である。このトラブルが発生し、ユーザーからのサ情報通信システムが研究開発部門に限ため、復旧作業によって状況保全が壊さービス再開要求の「圧力」に迅速に応え定的に使われているケースは、現在ではれるようなことはできる限り避けたいと考るとはいっても、慌てて復旧作業をするほぼ皆無であろう。たとえば、電子メールえるのは当然なのである。

ことなく、かつ原因調査を並行して進めサービスが業務時間内に午前中3時間ほ164 +++ iNTERNET magazine 2004.05 +++また、保険の適用を受ける場合、ある二重化と演習で復旧を支えよられる環境を作ることはできないのだろ

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

そして、実際にその対応手順どおりに作うか。
たとえば、システムの二重化を行い、業を進めていくと、意外とその手順が機片方のシステムがダウンしたとしても、直能しないことが判明したり、あるいは人員ちに他方のシステムで継続できるような不足が露呈したりすることが多い。

現場監督の「悩み」の解決策
復旧作業では、作業に携わる人の作業権限が確保されているかどうかというサービスを提供する構造を組み立てるこ

予行演習そのものは、具体的なトラブとは可能である。確かに処理能力は半ルに対応するための準備ということも考大規模なシステムがダウンしたときに、減するかもしれないが、サービスを引きえられるが、それ以上に「トラブルへの対そのシステムを復旧させるためにいくつ続き提供できるので、ユーザーからの不応に携わる人たちの間での意識の摺りもの作業をうまく優先順位を付けて作業満はかなり抑えることができるだろう。し合わせ」や「その手順に対する勘所を得していかなければならないことが多い。そかも、トラブルを引き起こしたシステムのること」につながるので、どんな組織でもして、多くの場合、ユーザーが望むサー復旧作業と調査作業のための時間的な一度はやったほうがよい。

ビスを再開するためには、関連するほかことは十分に考えなければならない。

また、複数回実行できるチャンスがあの作業を先に行わなければならない。こシステムの二重化は、サービス停止をるのであれば、同じシナリオに基づいたのようなときに、復旧作業にあたる現場引き起こす確率を少なくするだけではな演習を繰り返すのではなく、異なる側面責任者が十分な意思決定権限を持ち、く、トラブル対応のための時間稼ぎをすからの評価が可能な別の演習を行うこと現場責任者が考える最良の手順で作業るための機構とも捉えることができる。このほうが役立つだろう。というのも、もとが遂行されるべきである。同時に、周りのようなサービスを構築するときに、同時もと想定できるトラブルに対して同じ対から責任者に持ち込まれるクレームや雑にシステムも二重化することでトラブル対策を何度も演習することは、対応の精緻多な情報といった「雑音」をうまく取り扱応について考慮された構造にすることも、化にはつながるだろうが、実際のトラブルうことや、復旧作業をより迅速にしろといシステム管理のうえで大きな効果が期待への対応能力が改善されるわけではな

うような「圧力」、さらには、現場責任者ができるのだ。

い。つまり、トラブルというのは、元来想望まない形での復旧作業や原因調査作定してなかった原因から発生することが業への「介入」を排除することも大切だ。

多いのが常だからである。

同時に、周りも現場責任者が誰で、誰が余裕を得ることも同時に可能となる。

また、トラブル発生時の原因解析のための情報収集を、システムのバックアップ作業と同時に行っておくということも考

もしも想定していたトラブルであれば、作業全体を率いているかについて正しくえてもよいだろう。たとえば、主要なサー確実に行える対応への準備ができるはず

ビスのログはバックアップ作業時に同時で、大きなトラブルが発生することは稀に復旧作業では、その作業の順番や進に記録するようにするとか、システムの稼なるはずである。また、ルーチン作業のめ方はそれぞれの状況ごとに考えなけれ働状況を確認するための情報を同時に中で処理できるようになっていてしかるべばならない。その作業の決定方法につい収集しておくというようなことも効果が高きである。ても、トラブルが生み出した影響と、トラ知っておくことも必須だ。

い。あるいは、従来の UNIXシステムでこの意味でも、創意工夫に富んだ、毎ブルを解決する手順の複雑さとの両方をのアカウンティングシステムのように、「誰回異なる演習を行うことで、トラブル対応勘案しながら作業を進める必要がある。

が」「いつ」「どのような」プロセスを立ちへの基礎体力作りを進めるという目的をすなわち、実際にトラブルの発生現場を上げて、どのようなファイルに対してアク持つことが重要だろう。

しっかりと見ることができる立場のスタッセスしたのかといった情報を効率よく収集する機構を有効にしておく、ということも考えられるだろう。このように、日常的に情報収集する体制づくりも重要だ。
また、実際にトラブル発生を想定して、予行演習を行うのも悪くないアイデアだ。
予行演習をするためには、いろいろな人たちが巻き込まれるトラブルを仮定し、そ戦
略1

トラブルからの復旧作業では、サービス再開のための復旧作業と、原因究明のための情報収集を両立させる必要がある。そのためにも、日頃から情報収集基盤を作り、システムの二重化で復旧に使える時間を稼ぎ、さらにはトラブル対応の演習を行うことで復旧作業の円滑化を図ることが重要である。

フだけが、復旧作業で発生する問題を解決できる立場にいることになる。これを考えれば、トラブルの発生現場を掌握している現場監督に対して、トラブルからの復旧作業すべてを担当できるための権限委譲が行われてこそ、迅速な復旧活動が可能になるだろう。
ところが、この権限委譲をきちんとしないまま復旧作業に入ってしまう組織も多の対応手順を考えてみることから始まる。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2004.05 +++165

い。このような場合、現場スタッフは何しなければならない。

原因を突き止めていれば、バックアッかしようとしても、常に名目上の責任者に現場責任者への権限委譲は、復旧作プから書き戻すだけではなく、さらにワー対して確認と作業遂行の承認、さらには業の加速材である。さらに現場責任者がムの侵入を許してしまったセキュリティー定期的な報告などが必要になってしまう。

高いモラルを維持しながら合理的な作業ホールを潰すことも必要であったことが、このことは単に復旧作業を遅らせるだけをすることは、原因調査のための触媒と復旧責任者にはわかったに違いない。こであり、実質的には、復旧作業を助けるなることを肝に銘じておかねばならない。のように、単純にサービスを再開させてことはほとんどない。

戦略２

復旧作業にあたる現場責任者には、全権委任型の権限委譲を行うことが大切だ。特に必要な作業が現場で判断できないような状況では、円滑な復旧作業も不可能に近い。

権限とモラルのバランスを保て

戦略
３

復旧作業の現場責任者は、トラブル発生の原因究明に必須である関係者の協力を得るために、自らの活動において高いモラルを維持し、同時に合理的な作業と判断を行うことに努力しなければならない。

も復旧作業は終わりではない。原因を突き止めて、行った復旧作業は原因と照らし合わせて妥当性があるかどうかを考えなければならないのだ。
第二に、復旧作業の費用を常に考え事後調査にも十分に力を注げなければならない。
トラブルが発生した場合に、もしも事もう1つ考えなければならないのが、復トラブルが発生すると、どうしても復旧前に適切な投資をシステムに対して行っ旧に携わる現場責任者は、同時に組織作業だけに注力し、トラブルを食い止めていれば、復旧作業に使った費用を大幅内の人間に対する調査を行わなければなてサービスを再開できただけで満足してに圧縮できる可能性がある。この視点からいこともあるということだ。
「トラブル発しまうケースが多い。

らシステムを見直し、場合によっては追生の犯人は誰か」「トラブルの原因は何システム運用に直接携わるオペレータ

加投資を行って改良をする。さらには、次にあるのか」「どのようなことを改善しなーの場合には、それでもよいだろう。しかの大規模なシステム更新時に適切な投ければならないのか」という問題を解決しし、復旧作業責任者としては、それだけ資を行えるように、トラブル復旧から得たながら、復旧作業を遂行することになっで終わらせてはならない。最終的にトラ知見を確実に次へとつなげていくようにてしまうのだ。特にトラブルを引き起こしブルとその復旧作業は何であったのかをする。トラブル発生直後は、このような検たのが内部の人間であると、往々にして明らかにする事後調査の作業を完了させ討を行うためのよい機会である。このと復旧作業は同時に犯人探しにもなってしる必要がある。

き、合理的な議論をするためにも、費用対効果の面からの議論を考えることが重まう。このため、トラブルが発生した部署でいろいろと調査しようとしても、その調査が「明に」「暗に」内部者によって妨害されたり、非協力的な態度をとられたり第一に、どのようなトラブルに対しても原因解明の努力を怠ってはならない。
原因解明を尽くしてない段階では、復要である。
その意味で、特に大規模なトラブルが発生した場合には、そのトラブルから復旧作業は完了していないかもしれないの旧するのに要した「資源」
「時間」
「工数」

このような状況を乗り越え、実質的なだ。実際の話だが、あるウェブサイトでシ「費用」、さらには「トラブル」によって被っ作業を進めていくためには、現場責任者ステムがダウンしてファイルのいくつかがた損害などを記録し、後でシステム改善がどれだけの権限を持つのかが成否を分なくなってしまっていたという事故があっにつながる適切な議論にしていくことがける鍵を握っていることになる。

た。復旧作業者は、単純にバックアップ必要となる。

することは日常茶飯事である。

権限委譲をバックに復旧作業をするとテープからファイルを書き戻し、そのままはいえ、同時に復旧作業責任者には高運用を再開した。このトラブルは根が深第三に、復旧作業の段取り、実際の作いモラルも要求される。偏りのない合理く、システムに仕込まれたワーム（Worm）

業の実施で障害となった要素を調べ、そ性を持った原因究明活動とならなければ、がせっせとファイルを消していく作業の途の障害を取り除くことを検討しなければユーザーは面倒なことに巻き込まれるの中でシステムがダウンしただけだったのならない。

を避けようと非協力的になる。これは当だ。したがって、システムを再起動させて十分な権限委譲がなされてないと判断然のことだ。この意味で、復旧作業の現も再びワームが仕込まれ、システムがダできるようであれば、そのためのメカニズ

場責任者は本当に悩み多き作業を貫徹ウンするということを繰り返した。

ムを考えなければならない。内部調査を

166 +++ iNTERNET magazine 2004.05 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか復旧責任者ができなければ、第三者機関なることもある。この意味で、法的対応知っておかなければならない。つまり、復を使うという検討も必要だろう。復旧作も視野に入れた事後調査を、必要に応旧作業というのはエンジニアの技量を測業に伴う障害を軽減し、迅速に、また適じて徹底して行うべきである。

るためのよいフィールドになっているの切に復旧作業が行えるように環境を整備することも、復旧責任者の職務である。
また、以前から用意されている復旧作業マニュアルのようなものがあれば、「その改訂が必要かどうか」また「どのように戦
略４

復旧責任者は事後調査にも十分な力をかけること。事後調査から知見を得ることこそが、トラブルから利益を得る唯一の道である。

失敗から学べ！

第四に、事後調査の結果を明確に報告することである。

トラブルからの復旧作業で力を持って働けるエンジニアは、技量もあり、また高いマインドを持っていることが多い。同時に、復旧作業は「上司」の度胸を測る最高のフィールドでもある。この意味で、ト改訂するのか」といったことも考える必要がある。

だ。

実はトラブルはすばらしい教師である。

ラブルは、単に技術的なものだけではなトラブルが発生したとき、「組織はどのよく、「エンジニアの腕と度量」「管理者・経うに振る舞うのか」「責任体制をどのよう営者の肝っ玉」についても教えてくれるに駆動させるのか」「実際にトラブルが発のだ。技術だけでなく「人」に対しても多くのことを学ばせてくれる。

特に、組織内の人間によってトラブル生したときの対応体制は十分だったのが人為的に引き起こされた場合には、そか」「業務を継続するためのツールは用意

さらにもう1つ、失敗から学ぶことの重の取り扱いには慎重さが必要となるが、されていたか」、また「自分自身はどのよ

要性は、「組織として失敗が何によって引絶対にもみ消すようなことがあってはならうに行動し、その行動に改善すべき点はき起こされたのか」「何が問題であったのない。セキュリティー管理では、ユーザーなかったのか」。

か」という教訓を、いかに組織の長期記のモラルに全面的に依存するシステムをこのような視点から組織運営を見直す憶に組めるかを知ることができるからだ。

作ってはならない。しかし、ユーザーのモ最高の教師と言える。この意味で、トラ力のある企業であればあるほど、実はラルに依存する面がなくなるわけではな

ブルをきっかけとして組織とシステムのあ社員が学んだ知見を共有して再利用するい。したがって、ユーザーが「モラルを高り方を見直すためのチャンスをもらったとという意識が大変に強い。一度経験したく維持できる」「組織に対する忠誠心を高考えるべきなのである。これが、失敗かことは、経験した人が得た知見をベースく維持できる」ような環境作りが必要でら学ぶことの本質であると筆者は考えに取り組めば未経験の人よりもうまく対ある。システムに対して人為的に障害をる。これは何も筆者だけが言っているの応できるのは当たり前の話だ。その意味引き起こすことができても何もおとがめ

ではなく、これまで多くの先人たちが同じで、トラブルについて、そこから得られたなしでは、ユーザーのモラルが低下する

趣旨のことを何度も表現を変えて述べて知見をいかに再利用するかについての取ことは確実である。この意味で、起こっいる。

り組みは、将来的に同種のトラブルの発生を抑えるという点で大きな意味がある。

たことを正しく理解し、組織としての適切

しかし、筆者の周りで最近発生したいなけじめを付ける処理も重要なことであろいろな事故を見ていると、どうも復旧最近、システム運営でも、その効率化る。復旧責任者はそこまで見届けることを迅速に行い、その後（最悪なことに）トばかりが追求され、結局トラブルが起きが重要となる。

ラブルがなかったかのごとく振る舞うといてもその原因追究が十分ではなく、そのう傾向が、組織にも個人にも強いように結果、大きなトラブルを見落としているの第五に、必要があれば司法当局への感じる。
「トラブルの隠蔽」までのひどいではないかと思われるような事態がしば告発も含めた法的対応を行うことを、経状況になっていないところがまだ救いでしば見られる。同じようなトラブルを何度はあるが、しかしトラブルから学ぼうとすも繰り返し引き起こすのは、エンジニア

被害額が尋常でない場合、またトラブる姿勢があまりにも弱いと思えてならなの質の問題もあるが、それ以上に組織とルの発生原因を調べて違法性を伴ったい。組織とシステムを改善する絶好の機してトラブルから学んだことを再利用する行動が発見された場合には、法的な対応会をみすみす逃してしまっては、「もったい姿勢がないからにほかならない。

を取ることに躊躇する理由はないだろう。

ない」というひと言に尽きるのだ。

営陣に対して進言すべきである。

また、適切な法的対応を取らなかったこ

もう1 つ、トラブルへの対応は人の度とが、逆に後々新たな責任追及の火種に量を測る最高のバロメータであることもこの意味で、失敗から学ぶことは数多くあるのだ。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2004.05 +++167

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.