ネットワークセキュリティの基準の設定

　監査を実効あるものにするには、定義された基準に照らし合わせて監査を実施しなければならない。具体的には、社内データのセキュリティ・整合性・可用性に関するポリシーと手順、適用される法規制の要件、業界のベストプラクティスなどを基準とする。監査で収集したデータをこれらの基準に照らし合わせ、“あるべき状態”に対して“現状”をチェックする。

　これは大変な作業のように思えるかもしれないが、基準となるネットワーク監査プロセスを定期的に実施すれば、本格的な監査での煩雑な作業を軽減できる。ネットワークセキュリティの基準を設定するのに役立つのが「Nmap」というツールだ。これはネットワークのインベントリとセキュリティ監査のための無償のオープンソースユーティリティで、ネットワーク機器のインベントリを作成する機能を備えるほか、各機器でどんなサービスが稼働し、どのバージョンのOSとアプリケーションがインストールされているかも示してくれる。

　現在のネットワークの構成を把握できれば、今後の監査結果を、既知の承認された基準と比較できる。例えば、未承認のアプリケーションや未確認のデバイスが監査で見つかれば、注意が喚起されることになる。もちろん、このような変更については、問題を精査して解決しなければならない。すなわち、問題を修正するか、場合によってはそれを基準として新たに追加するということだ。監査で発見すべき禁止アプリケーションとしては、P2Pネットワーキング、インスタントメッセージング、Skype、ソーシャルメディア上のファイル共有などがあるだろう。

　ネットワークへの脅威は絶えず進化しているため、毎日とは言わないまでも毎週、何らかの形で基準のチェックを行う必要がある。攻撃者は開いたポートを常に狙っている。これらのポートを利用すれば、容易にシステムに侵入できるからだ。このため、開いたポートおよびこれらのポートを利用するサービスを特定するためのポートスキャンは、特に頻繁に実施する監査項目に含めなければならない。Nmapを利用すれば、ネットワーク上に存在する信頼関係をチェックしたり、セキュリティポリシーに違反した接続を発見したりすることもできる。

定期的な見直し

　常に流動的なもう1つのネットワーク要素がユーザーベースだ。人事記録に照らし合わせてネットワークアカウントと権限を定期的に見直すことは、使用済みのアカウントが削除され、各ユーザーの権限が適切に割り当てられていることを確認する上で不可欠の作業だ。この見直し作業を、従業員関連のほかのチェック（業務分離の確認、パスワードの変更期限や複雑さといった規定への順守の確認など）と組み合わせてもよい。

　あらゆるネットワークセキュリティコントロールを同じ頻度でチェックする必要はないが、物理セキュリティ、ドキュメントのバックアップと廃棄、パッチ適用といった基本的なコントロールを含むすべてのコントロールは、定期的に見直さなければならない。具体的には、「ポリシーおよび法規制の要件に従ってバックアップを行っているか？」「データは分類に応じて廃棄しているか？」「バックアップとリストアのプロセスを最近テストし、問題がないことを確認したか？」「自動パッチ適用プロセスは正しく機能しており、許容された期間内にアップデートを配備しているか？」といったチェックを定期的に実施する必要がある。

　ネットワークセキュリティ担当者は、これらのチェックを通常の業務サイクルに組み入れておけば、本格的なネットワーク監査の際にも容易に対応できる。本格的監査に備えて実施する社内評価では、定期的な監査プロセスに含まれていない部分だけをチェックすればいいからだ。

　本格的監査の前の社内評価で実施する検査項目としては、パッチプロセスの評価、ポリシーに従ってバックアップしているかどうかの確認、物理セキュリティコントロールの有効性への評価、関連する法規制要件への準拠の確認などがある。

　監査をどのような形で実施するかに関して選択肢がない企業もある。社内のシステムが特定の標準（PCI DSS：Data Security Standardなど）に準拠する必要がある場合、社外監査人による監査が必須となる。こういった要件が存在しない場合でも、社外監査人によるネットワークセキュリティ監査を行うのがベストかもしれない。また、管理者が悪意を抱いている、あるいは多数の支社があるために、資格を有する社内スタッフだけではすべての支社でポリシーが実施されているか確認できないといった場合には、社外監査人による監査が唯一の選択肢となるだろう。

　最後に、セキュリティ監査の必要性に関してしばしば引き合いに出される理由について注意を促しておきたい。それは社内監査であれ、社外監査であれ、コンプライアンス関連の監査であれ、「監査それ自体がネットワークのセキュリティを保証するわけではない」ということだ。ネットワークの監査を実施したからといって、ネットワークがセキュアである（あるいはあり続ける）ということにはならない。監査の真の恩恵は、セキュリティコントロールの改善に向けた勧告を実施する、報告された懸念事項に対処する、情報セキュリティのニーズとリスクの緩和をビジネス目標に合致させるといった取り組みを通じて得られるのである。ネットワークセキュリティ監査の意義は、こういった取り組みを実施することにあるということだ。

本稿筆者のスティーブン・コッブ氏は、コンピュータ監査、セキュリティ、データプライバシーなどの分野で30年近くの経験を持つ。1992年にPCのセキュリティに関する総合的な解説書を著した。1996年にはCISSP（公認情報システムセキュリティプロフェッショナル）の資格を取得。プライバシー問題が企業セキュリティ強化の主要な推進力になると当初から指摘したアナリストの1人で、2002年には企業向けプライバシーハンドブックを出版した。2社の新興企業を共同創業者として立ち上げ、成功に導いたほか、2004年に米Symantecに買収されることになった革新的なネットワークセキュリティ技術の開発にも貢献した。コンサルティング業務やセミナー開催のかたわら、ノーウィッチ大学で情報保証担当の非常勤講師を務める。同大学では情報保証科学修士課程のカリキュラム作成に携わった。