Q&Aで理解する情報セキュリティ 第3回

意外と知らない情報セキュリティの3つのポイント

情報セキュリティのCIAを知っていますか？

情報セキュリティの基本対策

　情報セキュリティの有効な対策は、情報を利用する企業環境がそれぞれ異なるように、一律にこうすべきといえないところがある。しかしながら、コンピュータウイルスや不正アクセスによる侵入の防止は、すべての情報セキュリティ対策を無効化するおそれがあるため、ファイアウォールの設置やウイルス対策ソフトのインストールは必須である。

　その上で、さらに何が必要かを考える時に機密性、完全性、可用性の脅威を洗い出し、それぞれに優先度を付け対策を実施する。CIAのそれぞれについてウイルスや不正アクセスのほかにどのような脅威が考えられるか示し、その代表的な対策を挙げていこう。

機密性の脅威とその対策

　機密性は「情報がもれないこと」である。ウイルスや不正アクセスのほかに考えられる脅威には、インターネットや無線LANといったネットワーク利用時の通信の盗聴、PCやサーバの盗難、旧機種の不用意な廃棄、USBメモリなどにコピーし外部へ持ち出しなどがある。

　通信の盗聴、PCの盗難に対しては、情報が悪者の手に渡ってしまうことを想定し、それでも情報の中身がわからないように暗号化することが対策となる。インターネットであればインターネットVPN、無線LANならWPA/WPA2の適用により暗号化通信となる。

無線LAN経由の不正アクセス

　PCの盗難についてはWindows Vista/7などに搭載されている「BitLocker」のようなドライブを暗号化する技術の導入が考えられる。モバイル環境におけるノートPCの盗難に的を絞れば、情報そのものはサーバ側におき、端末にはサーバにアクセスするネットワーク機能とユーザーが操作するためのGUIといった最低限必要な機能だけを持たせたシンクライアントを利用することも考えられる。

ドライブを暗号化するBitLocker

　旧機種の不用意な廃棄は、HDDからデータを修復され、そこから情報がもれる可能性がある。OSのファイル削除やフォーマットは、HDDの管理領域のみを対象としており、一度保存したあとに消去されたデータは読み出すことはできないものの上書きされるまで残っている。データ修復ツールを使うと消去したデータが復元できるのはそのためである。これを防止するには廃棄する前に、専用のソフトウェアでデータを完全に消去・抹消することを徹底する必要がある。

そして情報漏えいの経路として増えているのがUSBメモリである。よく採られる方法が規則で禁止することだが、技術的な防止策となると選択肢は少ない。Windows Vista/7やWindows Server 2008であれば、USBメモリのほかCD/DVDなどのリムーバブル・メディアに対し、読み取りのみの許可ができる。ほかにはUSBメモリにコピーガード機能や暗号化機能、ユーザーの認証機能が備わっているものがある。規則でUSBメモリの利用をすべて禁止するのではなく、セキュリティ機能を搭載したUSBメモリのみ使用を認める方法もある。

グループポリシーでリムーバブルメディアへのアクセスを制限

（次ページ、「完全性の脅威とその対策」に続く）