なんのためのファイアウォールか

外部業者のアクセス容認は自社システムを危険にさらす

外部のパートナー企業に自社システムへのアクセスを認めることの危険と、問題を避けるための対処法をアドバイス。

公開 2007年08月21日 05時00分

更新 2012年09月06日 13時31分

著者

Joel Dubin

[TechTarget]

印刷する

　外部業者に自社のシステムへのアクセス権を与えることは、セキュリティ上のリスクになる。たとえ悪意はないにしても、あるいは正式な業務用の提供であっても、禁止しないまでも厳格にコントロールしなければならない。

　まず潜在的なリスクについて解説し、その後回避策を紹介しよう。自社のシステムにマルウェアが導入されるリスクに加え、技術上、経営上の危険もある。

　第1に、外部業者にシステムへのアクセスを認めれば、自社のセキュリティレベルはその外部業者と同じレベルに低下する。外部業者のコントロールが手薄であれば、自社のセキュリティ網の中で最大の弱点となる。システムを攻撃された場合、自社のネットワークへのバックドアとしてこれを利用される可能性がある。外部業者のリスクが増大すれば、並行して自社のリスクも増大する。

　第2に、経営上、評判上のリスクもある。攻撃を受けた外部業者のシステムが、自社システムへの不正アクセスのために使われれば、自社の名前もニュースに出る。メディアの報道によって顧客が寄り付かなくなり、現存および潜在的案件を逃し、規制当局の調査を受けることになるかもしれない。

　第3に、この種の外部アクセスを許せば、ファイアウォールなどの技術コントロールの妨げになる。自由なアクセスを認めるのなら、なぜわざわざファイアウォールやアクセス制御を講じる必要があるのだろう。自社のネットワークに誰でも入って来られるよう、広く開放しておくことにもなるかもしれない。しかも、外部業者がインストールするソフトウェアにもしマルウェアが含まれていたら、そこからのリモートアクセスは、自社のネットワークに不正コードを呼び込む直接的な経路になる。

　このようなアクセスを検討する以前に、次のような行動が必要だ。まず、パートナー企業の徹底的なリスク評価を実施する。その会社の施設、特にデータセンターやネットワークインフラがある拠点を実際に訪問することも検討しよう。物理的なセキュリティ、ネットワークセキュリティおよびアクセス・管理コントロールの分野で、自社のセキュリティ基準を相手の会社が満たしていることを確認する。相手がこうしたコントロールをすべて網羅したセキュリティポリシーを文書化し、それをバックアップしているITセキュリティ部門があることを確認する。

　次に、自社システムへのアクセスを厳格に制限する。外部企業からアクセスできるのは、自社のネットワークのうち、ファイアウォールや隔離されたサブネットで社内ネットワークと切り離された部分のみに限定しなければならない。アクセスは、相手企業の特定のIPアドレスに限定し、期間にも制限をかけた上で、しっかりと監視する必要がある。

　ただ、サードパーティー製ソフトのアップデートに関するベストプラクティスはこの逆だ。相手を自社のシステムに入れるのではなく、自社のITチームが相手のネットワークにアクセスし、アップデートを取得してくることが望ましい。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。

印刷する