Security

Security とは

セキュリティ (Security) は、情報やシステムを不正アクセス・改ざん・破壊・漏洩といった脅威から守る取り組み全般を指す。情報セキュリティの目標は、機密性 (Confidentiality)・完全性 (Integrity)・可用性 (Availability) の 3 要素で語られ、頭文字を取って CIA と呼ばれる。

この 3 要素は業界の言い回しではなく、公的な定義に組み込まれている。米国 NIST の用語集は情報セキュリティを、情報および情報システムを不正なアクセス・利用・開示・妨害・改変・破壊から保護することと定め、その保護が目的とするものとして機密性・完全性・可用性を挙げている (定義の出典として連邦標準 FIPS 200 および連邦法の該当条項を示している)。3 要素を並べる整理は、この定義を分解したものだと捉えると位置づけが分かりやすい。

CIA の 3 要素

要素	意味	損なわれる例
機密性	許可された者だけが情報にアクセスできる	情報漏洩
完全性	情報が正確で改ざんされていない	データ改ざん
可用性	必要なときに利用できる	サービス停止攻撃

この 3 つはトレードオフの関係になることもあり、可用性を上げるために機密性を緩める、といった判断はリスクを踏まえて行う。

多層防御という考え方

セキュリティは単一の対策に頼らず、複数の防御を重ねる多層防御 (Defense in Depth) が原則だ。ファイアウォール、認証、暗号化、権限の最小化、ログ監視を組み合わせ、一つが破られても次が守るように設計する。最小権限の原則 (必要な権限だけを与える) は、被害範囲を限定する基本中の基本になる。

重ねる際に効くのは層の枚数ではなく、層が壊れる条件が互いに独立しているかだ。境界のファイアウォールを抜かれた後に効くのは、内部で通信先が絞られていることと、奪われた権限で触れる範囲が狭いことであって、同種の境界機器をもう 1 台足すことではない。逆に、すべての層が同じ管理者の認証情報に依存していれば、その 1 つが漏れた瞬間に全層が同時に無効化される。層を数える前に「この層はどんな条件で破られるか」を書き出し、条件が重複している層は 1 枚と数えるのが実務的な見方になる。

実務での向き合い方

完璧な防御は存在せず、攻撃は日々高度化する。そのため「侵入される前提」で、早期に異常を検知し被害を最小化するインシデント対応の準備が重要になる。また、技術対策だけでなく、フィッシングや設定ミスといった人に起因するリスクへの教育も欠かせない。セキュリティはコストではなく、事業継続を支える投資として捉える視点が求められる。

手をつける順番

対策を並べると際限がないため、順番を決める基準が必要になる。実務では次の順で絞ると外しにくい。

1. 守る対象を数え上げる。どこにどんなデータがあり、止まると事業が止まるシステムはどれか。ここが曖昧なままでは、後続の判断がすべて勘になる。
2. 外から届く経路を洗う。公開されている入口 (公開ポート・公開ストレージ・外部から呼べる管理画面) を列挙し、不要なものを閉じる。実際の事故は高度な攻撃手法より、閉じ忘れた入口と初期設定のままの認証情報から始まることが多い。
3. 権限を絞る。侵入後の被害の大きさは、奪われた認証情報で何ができるかで決まる。人と処理の両方について、使っていない権限を剥がす。
4. 検知と復旧を用意する。何が起きたか後から辿れるログと、壊れた状態から戻せるバックアップは、防御が破られてからの被害額を左右する。バックアップは復元を試したことがあるものだけが数に入る。

この 4 つは、どの層の技術を選ぶかより先に決まる話であり、製品の比較検討はその後に来る。