「情報セキュリティ対策・情報セキュリティ実装技術」の解説
情報セキュリティ対策とその種類
情報セキュリティ対策は、「人的」、「技術的」、「物理的」、それぞれの観点から検討され、それぞれ実施されます。昨今ではセキュリティ上の脅威も従来に比べて多様化しており、情報セキュリティ対策も、それに応じて多面的・多角的に実施する必要があります。
「人的な」セキュリティ対策
人的な要素からのアプローチとしては、情報セキュリティポリシを実施し、組織内での情報セキュリティを実現するために教育や訓練を行う、という取り組み方があります。統一された情報セキュリティへの意識を持つことで、人的脅威に対するリスクの発生を最小限に抑えることが期待できます。
具体的な方法としては、社内規定やマニュアルを駆使してルールの実践を徹底させたり、また、ユーザーのアクセス権限を設定するなどして情報システムへのアクセス管理を厳密に行い、ネットワークへの不正侵入を防いだり、といった方法があります。
「技術的な」セキュリティ対策の種類
技術的要素からのセキュリティ対策として、以下のような事項があります。
- OSを開発・提供する側でも、更新用のファイルを定期的に配布しています。OSは、導入率が高ければその分だけ標的とされやすい傾向があります。
各人が利用しているWebブラウザのセキュリティ機能などは、情報セキュリティポリシに基づき設定することが求められます。電子メールソフトウェアもウィルス対策ソフトとの連携を行うことでフィルタリングが可能です。
その他、ユーザーが休息時間などにインターネット上の危険なWebサイトなどを閲覧し、クロスサイトスクリプティングやフィッシング詐欺に掛からないように、あらかじめ閲覧できるWebサイトを限定する「コンテンツフィルタ」などが用いられる場合もあります。
また、ネットワークの外部と内部に障壁を作る「ファイアウォール」を活用し、主要となるWebサーバーやメールサーバーなどを、内外から隔たれた特殊な領域「DMZ(DeMilitarized Zone)」に配置するなどの対策も効果的です。重要な情報を取り扱う時には、「SSL」などの「暗号化」技術を用いて高いセキュリティを持たせることも重要です。より重要な情報には電子文書の正当性を保証する「デジタル署名」などを用いることも考えておくとよいでしょう。
「物理的な」セキュリティ対策の種類
物理的なセキュリティ対策には、IDカードを用いた入退出管理などの他、指紋や眼球の虹彩を利用する「生体認証(バイオメトリクス認証)」なども効果的です。また、監視カメラや施錠管理といった物理的安全管理措置は、導入コストも低く抑止効果もあるため多くの企業が採用しています。
暗号技術
情報セキュリティを実現するため、情報を異なるデータに変換することが、「暗号化」と呼ばれます。暗号化されたデータをもとのデータに戻すことを、暗号化に対して「復号」と呼びます。
暗号化を実現するための方式として、主に「共通鍵暗号」と「公開鍵暗号」があります。
共通鍵暗号
「共通鍵暗号」は、暗号化と複合に共通の暗号鍵を用いる手法です。共通して使われる暗号鍵を「秘密鍵」とも呼ぶことから「秘密鍵暗号」と呼ばれることもあります。
この方法の場合、暗号鍵が1つであるため、暗号化されたデータを素早く復号できます。その反面、相手に共通鍵を通知するタイミングで暗号鍵が第3者に漏洩する危険があったり、また、複数の相手に対してはそれぞれ別の暗号鍵を用意する必要があるなどの不便さもあります。
公開鍵暗号
「公開鍵暗号」では、2つの対となる鍵を用いてデータの暗号化や複合化を行う手法です。公開鍵暗号のうち、1つは広く公開するための「公開鍵」であり、認証局に登録して証明書の発行を受ける必要があります。もう1つは本人だけにわかるように厳重に管理される「秘密鍵」によって厳重に保管されます。
秘密鍵で暗号化されたデータは対応する公開鍵でしか復号できず、公開鍵で暗号化されたデータは対応する秘密鍵でしか復号できません。データの受信者は生成した2つの鍵を持っており、公開鍵は認証局預けています。送信者は認証局から受信者の公開鍵を受け取り、受信者の公開鍵を使ってデータを暗号化して送信します。受信者はデータを受け取った後、自分が持っている秘密鍵を使ってデータを復号します。
この手法の場合、送信者は公開鍵をいつでも受け取ることができ、受信者はいつでもそれを復号できます。送信者が多数であっても鍵を送る必要がないため、安全性を高めることができます。