今回は、セキュリティについて解説していきます。
目次
セキュリティ、セーフティとは
セキュアとは、安全を保つことです。
そもそも安全とは、守らなければならないものが危害や損害を受けていない正常状態のことです。
ITの業界では、情報（個人情報など）がそれに該当します。
セキュリティ対策の対象は、悪意がある人為的な脅威です。
例えば、ITサーバーへの攻撃などです。
セーフティとは、セキュリティの類語で偶発的・突発的に発生する脅威のことです。
例えば、交通事故や自然災害などあります。
セキュリティの種類
セキュリティにはいくつかの種類があり、それらを紹介していきます。
情報セキュリティ
情報セキュリティは、国際規格（ISMS：Information Security Management System）で定義されています。
これは、社員・顧客情報や商品情報など保有している情報の安全を維持することです。
物理的セキュリティ
建物、設備などを対象にした物理的なセキュリティのことです。
例えば、耐震や耐火、入室管理、指紋認証が含まれます。
論理的セキュリティ
物理的セキュリティ以外の全てを指し、次の3つに分けられます。
| システム的セキュリティ | 主にエンジニアが担当し、アクセス制限・認証・暗号化・マルウェア対策を行います。 |
| 管理的セキュリティ | 主に会社の役員などが担当し、セキュリティーポリシーの策定、運用、監査などを指します。 |
| 人的セキュリティ | 人に関することで、雇用/委託契約、教育訓練、誤動作の事故の対処を指します。 |
現在は情報・物理・論理の中で、情報セキュリティが強く求められています。
これは、ITの普及により企業が情報システムに依存しているからです。
また、その被害が企業だけに治らないこともあるからです。
物理的、人的要因は完全に防ぐことは出来ません。
地震や津波、ヒューマンエラーなどは、必ず起きるからです。
それらのしわ寄せが情報セキュリティに集まり、非常に重要になりました。
例えば、社員証を落としても第３者が使えないようにしておく。事故を未然に防ぐためのセンサーを設置するなどがあります。
情報セキュリティの特性
情報セキュリティには、以下の3つの特徴があり、扱う情報によって優先順位が変わります。
そのため、何をどこまで求めるかの線引きが重要になってきます。
- 銀行の顧客情報（機密性）
- ATM（完全性）
- 公共の電波など（可用性）
機密性
権限者だけが許可された範囲で活動できるように、権限者と無権限者を区別する特性のことです。
例えば、読み込み、書き込み、一覧表示、実行などは決められたユーザーしか操作できないなどです。
完全性
データが発生してから、正当に処理され、トラブルがなく一貫性を保つ特性のことです。
例えば、入力、編集、送信、保存、読み込み、削除などの処理が正常に行われることです。
可用性
必要な時にいつでも正常にサービスを提供できる状態を保つ特性のことです。
例えば、システムダウンしない、レスポンスが早いことが挙げられます。
情報セキュリティの付加的な特性
情報セキュリティには、上記で解説した3つの特性以外に付加的な特性があります。
真正性
利用者、プロセス、システム、情報などが主張通りである事を示す特性のことです。
例えば、本人確認やICカード、生体情報（指紋認証）などが挙げられます。
責任追跡性
利用者、プロセス、システムなどの動作について、使用者と動作内容を追跡できる事を確実にする特性のことです。
取り扱い状況、入室管理、アクセス状況、ログの記録などで、なりすましやアカウントの乗っ取りを防ぎます。
否認防止
問題が起きた時に、否認されないように証明できる特性のことです。
これは、真正性・責任追跡性、完全性の確保が前提になります。
例えば、デジタル認証やタイムスタンプが挙げられます。
信頼性
実行した操作や処理に矛盾がなく、期待される結果と整合性がとれることを確実にする特性のことです。（これはエンジニアの仕事です）
例えば、欠陥・バグ、保守点検、情報収集、テストの強化、脆弱性の発見などが挙げられます。
情報セキュリティ対策
抑止・抑制
抑止・抑制は人間の意識やモラルに対し、不正行為を思いとどまらせ、問題を未然に防ぐことです。
セキュリティポリシーの策定、教育の実施、監査・監視などを行います。
ただし、未知の侵入者や攻撃は防ぎにくい決定があります。
予防・防止
予防・防止はあらかじめ考えられる脅威に対し、十分な情報セキュリティを施すことで、堅牢な状態にすることです。
人間以外の要因に内在する弱点に対して働きかけるものと区別する必要があります。
例えば、定期保守、ソフトウェアのバージョンアップ、パッチの適用、ユーザー認証などがあります。
検知・追跡
検知・追跡は、問題が起きた時、それを通知・追跡するシステムのことです。
それにより、問題の拡散を防ぎ、被害を最小限に抑えることが出来ます。
例えば、検査、ログの取得、監視カメラなどがあります。
回復
回復とは、何か問題が起きた時、情報システムやネットワークを正常な状態に復旧させるための機能のことです。
検知・追跡と同じで、被害を最小限に抑えるのが目的です。
例えば、サーバが落ちている時間を出来るだけ短くするなどシステムなどがあります。
情報セキュリティの基本的な考え方
リスクアセスメント
対策を検討する前に、分析・評価にことで、目的や効果が明確にすることです。
フェールセーフ
被害を抑えるため、障害が発生した時、安全な方向を向かうように設計・構築しておくことを言います。
例えば、ある支店で問題が起きた時、他の支店もシステムをダウンさせるなどです。
その他
- 守るべきものの確認・・・何が重要なのか、守らなければならないのかを開発者は確認しておく必要があります。
- 脅威を知る・・・脅威を認識し、その種類や手口を把握しておく必要があります。
- 脆弱性の調査、対処・・・内部の弱点や欠陥を見つけて、それらを減らしていく。
- 方針、基準、手順を明確にする・・・過失による問題を防ぐために、開発者は意識・認識を照らしわせ、限られた予算・要因・設備を活用していかなければなりません。
- バランス・・・セキュリティと利便性のバランスを取らなければなりません。
- レビュー・・・第３者のレビューを元に不備や欠陥を発見し、是正・改善をします。
- 最小権限の原則・・・最小限の権限だけ与え、余計なことを出来ないようにします。
- 責務の分離・・・責務を分離することで、人為的なミスや不正行為が起こるリスクを軽減できます。
- 環境の分離・・・攻撃はインターネット上で起きるため、機密情報など重要な情報は、インターネットの接続を避けます。
- 単純化・・・構成や機能を単純にすることで、セキュリティの性能が高くなります。
- 分散化・・・分散することで被害を少なくし、サービスを維持せることができます。
- 二重、三重の対策・・・対策を重ねることで、さらに堅牢にできる。（二重セキュリティ）
- 一意に認識できる・・・固有の識別情報を共有するとログの改ざんや滅失など起きてしまいます。
- BRINGYOUR OWN DEVICE・・・個人が所有する端末を業務で使用することを言います。コストを軽減できますが、セキュリティの検討が重要になります。ただ、やりすぎるとプライバシーの侵害に当たる可能性があります。
脅威の種類
災害
災害とは、予期せぬできごと（不幸なできごと）のことです。
災害には、自然災害（地震、落雷など）、人為的災害（タバコの不始末など）があります。
対策として、耐震・耐火・防水設備、バックアップ、復旧手順の確認、IDC（専門企業に委託する）があります。
障害
障害とは、正常に動作ができなくなることです。
| 原因 | 対策 | |
| 設備障害 | 停電、管理装置の故障など | 保守の実施、バックアップ設備の確保 |
| ハードウェア障害 | HDD・ケーブルの劣化、容量オーバーなど | 保守の実施、機器・交換部品の確保 |
| ソフトウェア障害 | 異常終了、処理異常など | 最新化、パッチ適応、テストの実施、脆弱性の検査 |
| ネットワーク障害 | 回線、通信業者内のトラブル、通信機器の故障など | 保守の実施、バックアップ回線 |
人
人とは、人の脅威のことで、これは偶発的な脅威（ヒューマンエラー）と意図的な脅威（金銭目的、不正行為）があります。
また、不正のトライアングルというものがあり、次の3つが揃うと不正を働きやすいことを示しています。
| 原因 | 対策 | |
| 動機 | 過剰なノルマ、金銭トラブル（過剰なストレス） | 機密性において人が最大の脅威 |
| 機会 | ずさんなルール、対策の不備（いつでも不正できる環境） | アクセス制限、暗号化 |
| 正当化 | 都合のいい解釈や責任転嫁（無法地帯） | マニュアルの整理、ルールの明確化 |
最後に
もし会社の情報が漏洩してしまったらと考えると怖いなあ。
IT業界に限ったことではないので、他の業界の人でも本記事の内容は把握しておく必要があります。
安心安全に働いていきましょう。
実際に私もプログラミングスクールに通ってエンジニアになりました。
興味がある方は、こちらの記事をご覧ください。
