セキュリティとはなんぞや・・・!?

出典：魁!!男塾

こんにちは、Nanayakuです。

今回は、セキュリティについて解説していきます。

セキュリティ

セキュアとは安全を保つことです。

安全＝守らなければならないものが危害や損傷を受けない正常な状態であること

ITでは情報が該当します。（個人情報など）

セキュリティは、悪意がある人為的な脅威が対象になります。

例）

通り魔、ITではサイバー攻撃など

セーフティ

セキュリティの類語で、偶発的、突発的に発生する脅威が対象になります。

例）

交通事故、自然災害など

セキュリティの種類

情報セキュリティ

国際規格：ISMS（Information Security Management System）で定義されています。

これは、社員・顧客情報や商品情報など保有している情報の安全を維持することです。

物理的セキュリティ

建物、設備などを対象にした物理的なセキュリティのことです。

例）

耐震、耐火、入室管理、指紋認証も含まれます。

論理的セキュリティ

物理的セキュリティ以外の全てを指し、次の3つに分けられます。

システム的セキュリティ

主にエンジニアが担当し、アクセス制限・認証・暗号化・マルウェア対策を行います。

管理的セキュリティ

主に、会社の役員などが担当し、セキュリティーポリシーの策定、運用、監査などを指します。

人的セキュリティ

人に関することで、雇用/委託契約、教育訓練、誤動作の事故の対処を指します。

情報・物理・論理の中で、情報セキュリティが強く求められています。

これは、ITの普及により企業が情報システムに依存しているからです。

また、その被害が企業だけに治らないこともあげられます。

物理的、人的要因は完全に防ぐことは出来ません。

地震や津波、ヒューマンエラーなどは、必ず起きるからです。

それらのしわ寄せが情報セキュリティに集まってきたため、非常に重要になりました。

例）

社員証を落としても、第３者では使えない。事故を未然に防ぐためのセンサー。

情報セキュリティの特性

機密性

権限者だけが許可された範囲で活動できるように、権限者と無権限者を区別する特性です。

例）

読み込み、書き込み、一覧表示、実行など

完全性

データが発生してから、正当に処理され、トラブルがなく一貫性を保つ特性のことです。

例）

入力、編集、送信、保存、読み込み、削除など

可用性

必要な時にいつでも正常にサービスを提供できる状態を保つ特性のことです。

例）
システムダウン、レスポンスが遅い（1つ1つの処理が重い）

扱う情報によって、これら3つの優先順位が変わります。

そのため、何をどこまで求めるか線引きが重要になってきます。

例）

銀行の顧客情報（機密性）

ATM（完全性）

公共の電波など（可用性）

付加的な特性

真正性

利用者、プロセス、システム、情報などが主張通りである事を確実にする特性の事です。

例）

本人確認、ICカード、生体情報（指紋認証）など

責任追跡性

利用者、プロセス、システムなどの動作について、使用者と動作内容を追跡できる事を確実にする特性の事です。

なりすまし、アカウントの乗っ取りが起きてしまいます。

例）

取り扱い状況、入室管理、アクセス状況、追跡（ログ）など

否認防止

問題が起きた時に、否認されないように証明できる事です。

これは、真正性・責任追跡性、完全性の確保が前提になります。

例）
デジタル証明、タイムスタンプ

信頼性

実行した操作や処理に矛盾がなく、期待される結果と整合性がとれることを確実にする特性のことです。（これはエンジニアの仕事です）

例）

欠陥・バグ、保守点検、情報収集、テストの強化、脆弱性の発見など

出典：ゼツボーグ

情報セキュリティ対策

抑止・抑制

人間の意識やモラルに対し、不正行為を思いとどまらせ、問題を未然に防ぐことです。

例）

セキュリティポリシーの策定、教育の実施、監査・監視

欠点・・・未知の侵入者や攻撃者は防ぎにくい

予防・防止

あらかじめ考えられる脅威に対し、十分な情報セキュリティを施すことで、堅牢な状態にすることです。

人間以外の要因に内在する弱点に対して働きかけるものと区別する必要があります。

例）

定期保守、ソフトウェアのバージョンアップ、パッチの適用、ユーザー認証など

検知・追跡

問題が起きた時、それを通知・追跡するシステムのことです。

それにより、問題の拡散を防ぎ、被害を最小限に抑えることが出来ます。

例）

検査、ログの取得、監視カメラなど

回復

何か問題が起きた時、情報システムやネットワークを正常な状態に復旧させるための機能のことです。

検知・追跡と同じで、被害を最小限に抑えるのが目的です。

例）

サーバが落ちている時間を出来るだけ短くするなど

情報セキュリティの基本的な考え方

リスクアセスメント

対策を検討する前に、分析・評価にことで、目的や効果が明確になります。

フェールセーフ

被害を抑えるため、障害が発生した時、安全な方向を向かうように設計・構築しておくことを言います。

例）

ある支店で問題が起きた時、他の支店もシステムをダウンさせる

その他

• 守るべきものの確認・・・何が重要なのか、守らなければならないのかを開発者は確認しておく必要があります。
• 脅威を知る・・・脅威を認識し、その種類や手口を把握しておく必要があります。
• 脆弱性の調査、対処・・・内部の弱点や欠陥を見つけて、それらを減らしていく。
• 方針、基準、手順を明確にする・・・過失による問題を防ぐために、開発者は意識・認識を照らしわせ、限られた予算・要因・設備を活用していかなければなりません。
• バランス・・・セキュリティと利便性のバランスを取らなければなりません。
• レビュー・・・第３者のレビューを元に不備や欠陥を発見し、是正・改善をします。
• 最小権限の原則・・・最小限の権限だけ与え、余計なことを出来ないようにします。
• 責務の分離・・・責務を分離することで、人為的なミスや不正行為が起こるリスクを軽減できます。
• 環境の分離・・・攻撃はインターネット上で起きるため、機密情報など重要な情報は、インターネットの接続を避けます。
• 単純化・・・構成や機能を単純にすることで、セキュリティの性能が高くなります。
• 分散化・・・分散することで被害を少なくし、サービスを維持せることができます。
• 二重、三重の対策・・・対策を重ねることで、さらに堅牢にできる。（二重セキュリティ）
• 一意に認識できる・・・固有の識別情報を共有するとログの改ざんや滅失など起きてしまいます。
• BRINGYOUR OWN DEVICE・・・個人が所有する端末を業務で使用することを言います。コストを軽減できますが、セキュリティの検討が重要になります。ただ、やりすぎるとプライバシーの侵害に当たる可能性があります。

脅威の種類

災害

障害

人

最後に

備忘録がわりに作ったので、間違っている所とかあったら、コメントくれると嬉しいです。