1 基本概念
1.1 セキュリティ対策の定義
セキュリティ対策とは、情報、端末、ネットワーク、業務手順を脅威や事故から守るための方策全般を指す。単独の技術ではなく、予防、検知、対応、復旧を一体として進める点に特徴がある。
1.2 保護すべき情報資産
保護対象には、文書、データベース、通信内容、認証情報、ソフトウェア、機器、利用者の操作履歴などが含まれる。資産は目に見える物品に限られず、業務ノウハウや設定情報のような無形の要素も重要である。
1.3 脅威とリスク
脅威は情報資産に損害を与え得る要因であり、リスクはその影響の大きさと発生可能性を合わせて捉える概念である。実務では、想定される被害と対策コストを比較しながら優先順位を定める。
1.3.1 外部脅威
外部脅威には、不正侵入、詐欺的な誘導、悪意あるソフトウェア、通信の盗聴などがある。組織外からの攻撃は広範囲に及びやすく、境界防御だけでは十分でない場合が多い。
1.3.2 内部脅威
内部脅威は、利用者や委託先による誤操作、不注意、規程違反、意図的な不正などによって生じる。外部からの攻撃よりも発見が遅れることがあり、権限管理や監査記録が有効となる。
1.4 セキュリティの三要素
情報セキュリティの三要素は、機密性、完全性、可用性である。機密性は許可された者だけが利用できる状態、完全性は内容が正確に保たれる状態、可用性は必要なときに利用できる状態を意味する。
2 技術的対策
2.1 認証と認可
認証は利用者や機器の身元を確認する仕組みであり、認可は確認された相手にどの操作を許すかを決める仕組みである。両者を分けて設計することで、権限の誤設定を抑えやすくなる。
2.1.1 パスワード管理
パスワードは十分な長さと複雑さを持たせ、使い回しを避けることが基本となる。保存時には平文で扱わず、漏えい時の影響を減らす仕組みが求められる。
2.1.2 多要素認証
多要素認証は、知識、所持、本人固有の特性など異なる要素を組み合わせて本人確認を行う方法である。単一の秘密情報に依存するより、なりすましへの耐性を高めやすい。
2.2 暗号化
暗号化は、情報を第三者に読みにくい形へ変換する手法である。通信途中や保存中のデータを保護するために用いられ、鍵の管理が安全性を左右する。
2.2.1 通信の暗号化
通信の暗号化は、送受信の途中で内容を読み取られないようにする対策である。公開ネットワークを介するやり取りでは特に重要で、接続先の正当性確認も併せて行われる。
2.2.2 保存データの暗号化
保存データの暗号化は、端末や記憶媒体に置かれた情報を保護する。盗難や紛失が起きた場合でも、鍵がなければ内容の把握を難しくできる。
2.3 アクセス制御
アクセス制御は、誰がどの資源にどのように触れられるかを制限する仕組みである。利用状況に応じて範囲を細かく分けることで、被害の広がりを抑える。
2.3.1 権限管理
権限管理では、利用者ごとに閲覧、編集、削除、設定変更などの操作範囲を定める。定期的な見直しを行うことで、不要な権限の残存を防ぎやすい。
2.3.2 最小権限の原則
最小権限の原則は、業務に必要な範囲だけを付与する考え方である。余分な権限を減らすほど、誤操作や侵害時の損害拡大を抑えやすくなる。
2.4 脆弱性対策
脆弱性対策は、ソフトウェアや設定、設計上の弱点を把握し、悪用される前に軽減する取り組みである。問題の発見後に素早く修正へ移る体制が重要となる。
2.4.1 更新と修正適用
更新と修正適用は、既知の欠陥を埋めるためにソフトウェアを新しい状態へ移行する作業である。自動化と事前検証を組み合わせると、停止時間や不具合のリスクを抑えやすい。
2.4.2 脆弱性診断
脆弱性診断は、システムに残る弱点を洗い出すための調査である。自動スキャンと手動確認を併用することで、設定漏れや想定外の問題を見つけやすくなる。
2.5 マルウェア対策
マルウェア対策は、悪意あるプログラムの侵入、実行、拡散を防ぐための措置である。検出だけでなく、被害発生後の隔離や除去も含めて設計される。
2.5.1 ウイルス対策ソフト
ウイルス対策ソフトは、既知の不正プログラムを検出し、隔離や削除を行う。定義ファイルの更新を継続することで、新しい脅威への追随が可能になる。
2.5.2 挙動監視
挙動監視は、ファイルの特徴だけでなく、実行時のふるまいを観察して異常を捉える方法である。未知の攻撃や変化に対して、補助的な見張りとして機能する。
2.6 ネットワーク防御
ネットワーク防御は、通信経路における不正接続や横断的な侵入を抑える取り組みである。機器単体の保護に加え、経路設計そのものが重要となる。
2.6.1 防火壁
防火壁は、ネットワーク間の通信を条件付きで許可または遮断する装置や機能である。送受信のルールを整理することで、不要な通信を減らせる。
2.6.2 侵入検知と侵入防止
侵入検知は異常な通信や行動を見つける仕組みであり、侵入防止はその場で遮断する機能を持つ。両者を組み合わせると、早期発見と即時抑止の両面を補える。
2.6.3 通信の分離
通信の分離は、重要度や用途の異なるネットワークを分けて扱う方法である。区画を設けることで、ひとつの障害や侵害が全体へ波及しにくくなる。
3 運用上の対策
3.1 監視と記録
監視と記録は、通常運用の中で異常を察知し、後から状況を追跡できるようにする基盤である。技術的な防御だけでは見逃す事象を補完する役割を持つ。
3.1.1 操作記録の取得
操作記録の取得は、誰がいつ何を行ったかを残すことである。追跡可能性を高め、調査や監査の際に事実確認を助ける。
3.1.2 異常検知
異常検知は、通常と異なるアクセス、通信量、操作傾向を見つけることを指す。しきい値や学習型の手法を用い、早めの対応につなげる。
3.2 バックアップ
バックアップは、データや設定を複製して保管し、破損や消失に備える対策である。保存先を分散し、定期的に整合性を確かめることが望ましい。
3.2.1 世代管理
世代管理は、異なる時点の複製を複数残す方法である。最新の不具合や感染がバックアップに及んだ場合でも、以前の状態へ戻しやすくなる。
3.2.2 復旧手順
復旧手順は、障害後にどの順で回復を進めるかを定めた手続きである。事前に試行しておくことで、実際の停止時にも対応がぶれにくい。
3.3 インシデント対応
インシデント対応は、事故や侵害が起きた際に被害拡大を抑え、原因を明らかにして再発を防ぐ活動である。連絡体制、判断基準、役割分担があらかじめ整っている必要がある。
3.3.1 初動対応
初動対応では、影響範囲の確認、隔離、証拠保全、関係者への連絡を迅速に行う。最初の判断がその後の被害規模に大きく影響する。
3.3.2 原因調査
原因調査は、侵入経路、設定不備、操作ミスなどを突き止める工程である。記録や痕跡を基に分析し、事実に即した整理を進める。
3.3.3 再発防止
再発防止は、調査結果を踏まえて対策を見直し、同様の事象を起こしにくくする取り組みである。技術修正に加え、運用や教育の改善も含まれる。
3.4 災害対策と事業継続
災害対策と事業継続は、停電、火災、障害、大規模な設備停止などに備え、業務を継続または早期再開するための考え方である。代替拠点、優先業務、復旧目標の整理が重要となる。
4 組織的対策
4.1 セキュリティ方針
セキュリティ方針は、組織が情報保護をどの水準で実施するかを示す基本方針である。経営層の意思と整合していることが望まれ、各種規程の土台になる。
4.2 規程と手順
規程は守るべき基準を、手順は実際の進め方を示す。両者が整備されていると、担当者の差によるばらつきを減らしやすい。
4.3 教育と訓練
教育と訓練は、利用者の理解不足や思い込みに起因する事故を減らすために行う。継続的に実施することで、知識の定着と行動の改善が期待できる。
4.3.1 従業員教育
従業員教育では、フィッシングへの注意、情報の持ち出し、媒体管理、報告先などを扱う。実務に近い事例を用いると、理解しやすくなる。
4.3.2 模擬訓練
模擬訓練は、実際の障害や侵害を想定して対応を試す訓練である。机上だけでは見えにくい連携上の課題を把握しやすい。
4.4 役割分担と責任
役割分担と責任の明確化は、誰が判断し、誰が実施し、誰へ報告するかを定めることである。曖昧さを減らすと、緊急時の混乱を抑えやすい。
4.5 監査と見直し
監査と見直しは、対策が方針どおり機能しているかを確認し、必要に応じて修正する作業である。定期点検を通じて、形骸化したルールを洗い替えできる。
5 利用環境別の対策
5.1 個人端末の対策
個人端末では、持ち運びや私的利用の影響を受けやすいため、基本設定の徹底が重要である。更新、認証、保管場所の管理を組み合わせるとよい。
5.1.1 画面ロック
画面ロックは、一定時間操作がない場合や離席時に端末の閲覧を防ぐ仕組みである。第三者によるのぞき見や誤操作を減らせる。
5.1.2 紛失時の対処
紛失時の対処では、遠隔停止、認証情報の変更、管理部門への報告などを速やかに行う。被害拡大を防ぐには、事前の連絡経路を決めておくことが有効である。
5.2 企業内システムの対策
企業内システムでは、業務影響の大きさを踏まえ、権限、記録、保守、分離の各要素を総合的に設計する。個別の機器対策だけでなく、全体の整合性が求められる。
5.3 クラウド環境の対策
クラウド環境では、利用者側の設定不備が事故につながりやすい。責任分界を理解し、管理画面や共有範囲を継続的に確認する必要がある。
5.3.1 設定管理
設定管理は、公開範囲、認証条件、保存先、ログ設定などを統制することである。初期値のまま放置せず、利用目的に合わせて調整することが大切である。
5.3.2 共有設定の確認
共有設定の確認は、外部公開や社内限定などの権限が意図どおりかを点検する作業である。誤った公開は情報漏えいの主要な要因となる。
5.4 モバイル環境の対策
モバイル環境では、通信経路の変化や端末の持ち出しが前提となるため、盗難、紛失、非公開通信への注意が欠かせない。アプリの権限や接続先の管理も重要である。
5.5 在宅勤務環境の対策
在宅勤務環境の対策は、自宅のネットワークや作業場所を含めて安全性を確保する考え方である。家族共用端末の回避、私物機器の管理、会議情報の取り扱いなどが焦点となる。
6 物理的対策
6.1 入退室管理
入退室管理は、許可された者だけが特定区域へ入れるようにする仕組みである。カード、鍵、生体認証、記録装置などを組み合わせて運用される。
6.2 機器の盗難防止
機器の盗難防止は、固定、施錠、持ち出し制限、所在確認によって行う。情報そのものだけでなく、端末を守ることが漏えい抑止につながる。
6.3 設備保護
設備保護は、サーバー室、電源、空調、通信機器などを物理的な損傷や環境変化から守る取り組みである。温度、湿度、火災、水害への備えも含まれる。
7 法令と標準
7.1 関連法規
関連法規は、個人情報、通信、著作物、営業秘密などに関わる法律や規制を指す。組織は、保護すべき情報の性質に応じて適用関係を確認する必要がある。
7.2 業界標準
業界標準は、共通の実務水準や評価基準を示す枠組みである。国際規格や業界団体の指針を参照することで、対策の妥当性を説明しやすくなる。
7.3 内部統制との関係
内部統制との関係では、セキュリティ対策は業務の適正性や記録の信頼性を支える要素となる。権限分離、承認、監査証跡は、会計や業務管理とも密接に結びつく。