米国家安全保障局（NSA）の元職員であるエドワード・スノーデン氏の事件が示すように、完全無欠なセキュリティなどというものは存在しない。だが、最善を尽くす必要は依然としてある。
データやネットワークなどに対する完全無欠なセキュリティというものは存在しない。どの組織でも情報セキュリティは非常に重要だ。だが、ITのバリューチェーンには脆弱性が付き物である。ITバリューチェーンには、設備からネットワーク（WANとLANの両方）やアプリケーションまでが含まれる。IT担当者の使命は、ハードウェア、ソフトウェア、人為的なエラーによって機密情報が危険にさらされないようにすることだ。そのために、メカニズム、ポリシー、手続きを実装して一定レベルの保証を提供している。また、悪意のあるユーザーから機密情報を保護する必要もある。
セキュリティ要件の必須事項は次の通りだ。
多くのIT担当者が考えないようにしている最大の脅威は、問題のある従業員や契約社員だ。彼らはネットワークに対して正当なアクセス権を持ち、一部の情報リソースにもアクセスできる。このようなユーザーが不注意または意図的にセキュリティの問題を引き起こす。最も分かりやすい例は、大きく報道されたエドワード・スノーデン氏の事件だろう。これは、米国家安全保障局（NSA）の上層部が違法と見なす行為によって、NSAのネットワークにアクセス権限のあるユーザーが自身の行動計画を実行に移した事件だ。
公正を期して言うならば、データに対するアクセスや漏えいという観点では、信頼していて許可のある内部関係者が関与するネットワークの不正行為に対して防衛策を講じるのは難しい。だが、スノーデン氏の事件に関しては、米国で最も重要で経験豊富な情報機関が、上記の「Security 101」の手順を使いこなせてさえいれば防げたのではないかと思わざるを得ない。政治的な問題は切り離して、この事件について考えたい。このような脅威を緩和するために、どのような対策を講じることができただろうか。
スノーデン氏は、システム管理者という立場を利用して、大量の極秘情報をこっそり持ち出して逃走した。同氏は適切なアクセス権を持っていた。また、厳しい身元調査にも合格していた。それから、機密情報が保存されているコンピュータシステムへのアクセス権もあった。だが、同氏がアクセス権を持っていたデータは、なぜ暗号化されていなかったのだろうか。スノーデン氏は持ち出したファイルの全コンテンツを把握する必要はなかっただろう。スノーデン氏がネットワークの正当なユーザーと認証されている間、NSAの内部セキュリティメカニズムは、境界ネットワークのセキュリティに依存していた。境界ネットワーク内のユーザーは信頼できるという前提の下に全ての処理が行われ、必要最低限という概念は取り入れられていなかった。
この驚くべき判断の誤りは、どのIT部門でも起こり得るセキュリティのギャップの中で最も深刻な部類に入るだろう。承認されたユーザーのみが機密情報にアクセスできるようにすべきである。また、アクセス権は個人ベースで設定し、その情報を知る必要がある場合にのみ付与すべきである。このようにすれば、盗まれたデータを保持しているユーザーが手に入れられるのは暗号化されたファイルのみになる。暗号化も完璧ではないが、今日の暗号化技術には非常に高い効力がある。
スノーデン氏の事件から学んだ教訓をまとめたい。ネットワークとネットワーク経由でアクセスできるデータに対する潜在的な内部脅威の影響を最小限に抑えるための幾つかの対策を以下に紹介する。
機密情報へのアクセスは、身元調査に合格し、その情報を知る必要があるユーザーにのみ付与すべきだ。機密情報は区分化されていなければならない。承認されていないユーザーが機密情報にアクセスしたり、ファイル自体を見られないようにする必要がある。承認されていないユーザーには、個別に権限を設定しなかった場合に、許可があり、信頼されている正当なネットワークユーザーも含まれる。このようなセキュリティは、現在の多くのOSであれば簡単に実装できる。
どの情報が機密で、誰がどのような状況で機密情報にアクセスできて、情報が侵害された場合に取るべき措置を明記したポリシーを策定されたい。定期的なセキュリティの強化と複数のスタッフによるネットワークアクティビティの監視は、リスクのさらなる軽減に役立つ。
適切なデータの暗号化、VPN、認証、管理のシステムを配置されたい。これには、機密情報を追跡して、機密情報に対するアクセスや変更などの操作が行われたときに警告を生成することが含まれる。まずモバイルコンテンツ管理システムを導入するのが良いだろう。モバイルのトレンドは、セキュリティに対する潜在的な脅威と見なされている。その一方で、効果的な情報セキュリティ戦略の導入において重要な要素となり得るのは興味深いことだ。これはモバイルが関連していない場合も同様である。
完全無欠なセキュリティなどというものは存在しない。だが、内外の脅威に対して優れた防御策を講じることは可能だ。ただし、近道はない。そのために私たちが支払わなければならない代償は継続的な警戒心だ。
Copyright © ITmedia, Inc. All Rights Reserved.
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
