開閉ボタン
ユーザーメニュー
ユーザーメニューコンテンツ
ログイン

  • 会員限定
  • 2008/04/21

【連載】情報セキュリティの投資対効果を追求する(6)情報システム開発・保守における安全対策の投資対効果

これまで、情報セキュリティの分野において投資対効果を論じることはタブーとされてきた。その結果として管理策を導入していながら事故を起こしてしまうケースが続発しているのは、ご存じのとおりだろう。ここにきて、情報セキュリティの分野において“有効性”というキーワードが注目されるようになってきた。何のための情報セキュリティなのか、ローブライトコンサルティング 代表取締役 加藤道明氏が論じる。第6回は、情報システムの開発および保守における安全対策の投資対効果について考察する。

加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員(ISJ-B00023) ○財団法人日本科学技術連盟所属MS審査員(ISMS、ITSMS、BCMS) ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員  金沢工業大学大学院(情報工学専攻)卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。  基幹業務システム(主に販売管理と生産管理)と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN(仮想閉域網)を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

低く抑えた費用以上の
代償を払うことにもなりかねない

 セキュリティ要求事項の仕様とは、“守りたいものは何か”、“事故が発生した場合、どんな損失が考えられるのか”、それで、“どの程度守りたいのか”を分析し、その結果として選択した施策を記述したものである。特にシステム開発を外部に委託する場合は、必ずセキュリティ要求事項を仕様化してほしい。当然ながら、セキュリティ要求事項が少なければ委託費も低く抑えられる。しかし、委託費を低く抑えられるからといって、セキュリティ要求事項を減らし過ぎると、後で費用を低く抑えた以上の代償を払うことにもなりかねない。それでは、何のための費用削減なのかわからなくなってしまう。投資対効果をしっかり検討してほしい。

あらかじめ予想される結果を
説明していたかどうかが問われる

 また、委託される側においても、事業継続の見地から、どこまでやるのかだけではなく、その仕様での残留リスクを説明しておく必要がある。ひとたび事件、事故が発生すると、過失割当が問題になる。サービスを提供する者がサービスを受ける者に、あらかじめ予想される結果を説明していたかどうかが争点になるのだ。顧客が要求しなかったからという主張が通じない社会になっていることは言うまでもない。

インターネットサイトの場合、脆弱性の検査も必要

 情報システムを導入する際、セキュリティを確保しなければならない。また、変更においても、変更によるセキュリティレベルの低下を招いていないことを確認しなければならない。その為には、それぞれのリリース前にレビューやテストで確認する必要がある。特に情報が流出しては困るようなインターネットサイトでは、脆弱性の検査も必要であろう。情報の流出を発見する機会は、外部からの通報か、自ら実施する検査のどちらかである。ならば、自ら早期に発見した方が、企業に与えるダメージは少ない。何年も経ってから「外部からの通報により第三者が閲覧可能になっていたことが判明…」となるようでは、企業の存続問題にもなりかねない。

管理すべきはデータだけではない

 外部委託が関係する事件、事故が多いことは言うまでもない。ソフトウェア開発も例外ではない。ところが、「本番データさえ委託先にアクセスさせなければ監督する必要はないのでは?」という声がある。しかし、実際問題、ソフトウェアの開発中に知り得た管理者パスワードと保守のためのリモート接続の方法を、その後に悪用し、個人情報を盗み取り、脅迫に至った例もある。管理すべきは、データだけではない。パスワードや保守のためのリモート接続の方法などシステムの設計や運用管理の情報も管理しなければならない。つまり、本番データにアクセスさせなくても、委託先の監督は必要となる。

残留リスクを取りまとめて経営陣の承認を

 サーバにおける既知の技術的脆弱性の悪用によって生じるリスクは、年々、高くなっている。既知の技術的脆弱性には、クロスサイトスクリプテイングやバッファーオーバーフローなどがある。実際、それらの脆弱性を悪用した事件もある。

 しかし、アプリケーションソフトウェアへの影響が懸念されるという理由でセキュリティパッチの適用およびソフトウェアのバージョンアップを保留にしているケースを多々目にする。アプリケーションソフトウェアへの影響を確認するだけでも、タダではできない。人・物・金をどうするか、そう簡単には解決できないかもしれない。その場合、必ず残留リスクを取りまとめて経営陣の承認を得てほしい。その上で、当該サーバを運用すべきである。

 以上、情報セキュリティの投資対効果を考える上で、過去の事件、事故は必ず考慮に入れてほしい。損害賠償訴訟になっているものもいくつかある。起こり得る事件、事故の原因を除去することも大切なことではあるが、他社で実際に起きてしまった事件、事故から学習することも忘れないでほしい。

《次回へつづく》

《撮影:郡川正次》

この続きは会員限定です

ここから先は「ビジネス+IT プレミアム会員」に登録の方(登録は無料)のみ、ご利用いただけます。

今すぐビジネス+IT会員にご登録ください。

すべて無料!ビジネスやITに役立つメリット満載!

  • 1

    インタビューから事例記事まで、ここでしか読めない1万本超の記事が無料で閲覧可能

  • 2

    導入事例資料や技術資料、デモ動画などを無料でダウンロード・閲覧可能

  • 3

    年間1,000本以上、会員限定のスペシャルセミナーにご招待

  • 4

    ビジネス+IT編集部が必読記事を、メールマガジンでお知らせ!

セキュリティ総論 ジャンルのセミナー

セキュリティ総論 ジャンルのトピックス

セキュリティ総論 ジャンルのIT導入支援情報

関連リンク

PR

ビジネス+IT 会員登録で、会員限定コンテンツやメルマガを購読可能、スペシャルセミナーにもご招待!