失敗しない「学校IT製品」の選び方：不正侵入対策編【後編】
「無線LAN」が学校のセキュリティ対策を台無しにする“真犯人”だった？（1/3 ページ）
教育機関のシステムやネットワークも攻撃者の標的になり得ることは、昨今の不正侵入事件を見れば明らかだ。そのような事態に対処するために、教育機関はどのような対策を講じればよいのか。具体策を説明する。
絶対に破られないセキュリティ対策は存在しない
どんなに高い壁があっても、強固な鍵と錠があっても、どんなに強固なセキュリティ対策を施しても、それらはある意味では気休めのようなものかもしれない。なぜなら攻撃者は、思ってもいない方法やルートを見つけて攻撃を仕掛けるからだ。
2011年に国内の防衛産業で判明した、機密情報を狙ったとみられるサイバー攻撃を発端に、特定組織を狙った「標的型攻撃」と呼ばれる攻撃手法と、その脅威が一般に広まった。防衛産業の機密情報とは、すなわち国家機密だ。こうした機密情報を扱う企業であれば、一般の企業や教育機関とは比較にならないコストと人材を投入し、高度なセキュリティ対策を実施していると考えられる。
だが攻撃者は、そのさらに上を行ったとみられる。強固だったはずの防御対策を回避してマルウェア感染を広げ、情報を外部に持ち出した可能性があるのだ。この例からは、どんなに強固なセキュリティ対策を施しても、事故を未然に防ぐことはできないことが分かる。攻撃やその被害を完全に防ぐことは、そもそも不可能なのだ。これは防衛産業だけでなく、一般企業や教育機関にもそのまま当てはまる。
併せて読みたいお薦め記事
「佐賀県情報漏えい事件」で再考する学校セキュリティ
失敗しない「学校IT製品」の選び方：不正侵入対策編
失敗しない「学校IT製品」の選び方：セキュリティ編
「事故は必ず起こる」ことを前提とした対策の必要性
こうした中で、教育機関はセキュリティ対策をどう進めるべきなのか。ポイントは、「事故は必ず起こる」ことを前提として、セキュリティが保たれているかどうかを確認する仕組みと、事故発生時に迅速に対処できる仕組みを事前に作っておくことだ（図1）。構築したセキュリティ対策がきちんと機能していること、つまりセキュリティが保たれていることを把握することが何よりも重要になる。
図1 事故が起こることを前提とした対策が重要に《クリックで拡大》
事故が起こることを前提とするならば、起こったときの対処方法を事前に準備するのが当然の流れだ。攻撃者にいくら高度なハッキング技術があったとしても、一足飛びに標的の情報に到達できることはまずない。なぜなら、攻撃者はどこに大事な情報があるかなどは事前に知ることが難しいからだ。
防御側がある程度のセキュリティ対策をしていれば、攻撃者が目的を達成するまでに一定の時間がかかる。そこが防御側の狙い目になる。外部からの不正侵入があった時点で発見して対処することで、攻撃者の意図を未然に防ぐことは、十分可能なはずだ。
学校にもCSIRTやSOCが有効
こうした仕組みを担うチームとして組織内に構築が進みつつあるのが、「SOC」（セキュリティオペレーションセンター）や「CSIRT」（コンピュータセキュリティ・インシデントレスポンスチーム）だ。SOCはシステムやネットワークのログからセキュリティ事故を早期に発見し、CSIRTはセキュリティ事故に直接対処する。CSIRTが組織内にあれば、万が一の事故の際にも社内のSOCだけでなく、外部のセキュリティの専門家が運営するSOCやCSIRTと連携して対処できる。ベンダーが提供するIT製品の脆弱（ぜいじゃく）性情報や公的機関の注意喚起に合わせた対策が、より迅速に打てるようになるのだ。
セキュリティの専門家ではない教員や教育委員会の職員などが、こうした一連のセキュリティ対策をすぐにできるかというと、それは難しいだろう。攻撃者の不正侵入の予兆を初期段階で検知するのは、かなり特殊なセキュリティ分野の技能が必要であり、一朝一夕に身につくものではない。
現実的な解決策となるのが、外部のセキュリティ専門家に対策の一部を委託することだ。システムを構築して運用するベンダーとは別に、セキュリティ専門のベンダーに依頼することで、効率的かつ効果的にセキュリティ対策を進めることができる。
Copyright © ITmedia, Inc. All Rights Reserved.
失敗しない「学校IT製品」の選び方
教育機関がIT製品を導入する際、どのような点に気を付けて製品選定を進めればよいのか。製品分野の基礎知識をおさらいしつつ、製品選びのポイントを伝授する。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
3
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
4
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
5
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
6
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
7
エンジニアが選考を辞退する本当の理由 7割が隠す“面接の違和感”とは
-
8
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
9
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
10
「Windows派」「Linux派」を分ける決定的な違い
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー