開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2008/03/21

【連載】情報セキュリティの投資対効果を追求する(5)技術的安全対策の投資対効果 その2

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。第5回は、アクセス制御に関する施策について考察する。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

セキュリティ設計から構築まで対応できるエンジニアは少ない

 上記a)~c)については、今や常識と化している。しかしながら、d)~f)となると、必ずしも実施されているわけではない。g)~j)のネットワーク制御関係の施策にいたっては、せいぜいインターネットと社内LANの接続についての制御であり、社内のネットワーク全体に対して、これらの施策を実施している企業はあまり見られない。

 このことは、対応の容易さに関係していると推察できる。a)~c)については、一時的な対応で済み、かつ、対応できるエンジニアも多い。しかしながら、d)~f)となると、一時的な対応では済まず、恒常的なマネジメントが必要となる。g)~j)にいたっては、そもそもセキュリティ設計から構築まで対応できるエンジニアが少ないといった現実がある。

施策の有効性に疑義が生じる

 では、投資対効果の視点から見るとどうなるだろうか。これまで、“守りたいものは何か”、“事故が発生した場合、どんな損失が考えられるのか”、それで、“どの程度守りたいのか”といった具体的な目的を設定したうえで、その目的の達成が期待できる施策を選択してほしいと主張してきた。アクセス制御は、情報セキュリティの中核である。数々ある施策のうち、アクセス制御に関する施策については、必ず具体的な目的を設定してほしい。“守りたいものは何か”、“事故が発生した場合、どんな損失が考えられるのか”、それで、“どの程度守りたいのか”が具体的でないまま、アクセス制御に関する施策を実施してしまうと、アクセス制御に関する施策だけでなく、監視などその他施策についても、その有効性について疑義が生じてしまう。無駄なものにまでアクセス制御を実施し、監視してしまうといったことにもなりかねない。

“守りたいもの”を取り扱う従業員を限定する

 また、“守りたいもの”としてすべての社内情報を特定してしまうと、すべての社内情報に施策が必要となり、かつ、全従業員が恒常的に対応しなければならなくなってしまう。当然、コストも大きくなる。しかし、もし、“守りたいもの”とそうでないものを分類することができ、かつ、“守りたいもの”を取り扱う従業員を限定することができれば、その情報だけに施策を適用し、かつ、その限定された従業員だけがその管理に必要な能力を身につければよいことになる。全従業員に同等の管理能力を求める必要はない。米国型の情報管理は後者である。米国の企業において、このような管理は特別なことではない。また、業者に同等の管理能力を求めることもない。

リスクの高いネットワーク領域に限定し
厳しいパスワード管理を実施する

 まずは、“事故が発生した場合、どんな損失が考えられるのか”によって情報を分類することである。そして、その分類を考慮したネットワーク領域を設計し、ポート制御やルーティング制御を実施する。加えて、“どの程度守りたいのか”によるが、リスクの高いネットワーク領域に限定し、厳しいパスワード管理を実施する。この方が対応も容易になるはずである。また、このようなニーズが増えれば、セキュリティ設計から構築まで対応できるエンジニアの育成にもつながっていくことであろう。

リスクに応じた管理策を選択する

 ISMS(JIS Q 27001)やプライバシーマーク(JIS Q 15001)では、必ずしもすべての従業員にパスワードの定期的変更を求めているわけではない。いずれの規格においても、リスクアセスメントを採用、それぞれリスクに応じた管理策を選択することを基本としており、最低限の管理策を義務付けているわけではない。内部統制が求められる時代に入ってもなお、ひとまずみんなで同じ施策をという思想が日本企業を疲弊させてはいないだろうか。今年はぜひ、こういった視点も加えて見直しを行っていただきたい。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

IT投資・インフラ戦略 ジャンルのトピックス

IT投資・インフラ戦略 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!