情報セキュリティの基礎

情報セキュリティの概念

ISO/IEC 27000ファミリーでは、情報セキュリティを情報の機密性、完全性及び可用性を維持すること。さらに真正性、責任追跡性、否認防止、信頼性などの特性を維持することを含めることもあると定義している
ISO/IEC 27000ファミリーとは？
ℹ️
ISO(国際標準化機構: International Organization for Standardization)と、IEC(国際電気標準会議: International Electrotechnical Commission)が共同で策定する国際規格のこと。
ISO/IECは、主に情報技術、情報セキュリティ、通信/電気/電子分野などについて、国や企業を超えた共通のルールを標準化している。
ISO/IEC 27000ファミリーとは、ISO/IECが策定した情報セキュリティマネジメントシステム(ISMS)に関する国際規格群の総称のこと。
情報セキュリティは下記の二つに大別できる
- 物理的セキュリティ: 建物や設備を対象とする
  - e.g. 耐震設備、電源設備、入退室管理設備、災害に備えたバックアップ設備
- 論理的セキュリティ: 物理的セキュリティ以外の全て
  - システム的セキュリティ: システムやネットワークにおける技術的なセキュリティ
    - e.g. アクセス制御、暗号化、マルウェア対策
  - 管理的セキュリティ: 組織やシステムの運用管理面におけるセキュリティ
    - e.g. 情報セキュリティポリシーの策定、運用、監査、見直し
  - 人的セキュリティ: 人に起因することに対するセキュリティ(管理的セキュリティに含められることもある)
    - e.g. 雇用/委託契約におけるセキュリティ、教育、ポリシー違反の懲戒手続き

情報セキュリティの特性

情報セキュリティの主な特性として機密性、完全性、可用性がある
システムの性質によって求められるレベルや優先順位は異なる
情報資産の価値や性質、利用者のニーズを正しく認識し、それに応じて各特性を適切なレベルで確保維持することが重要

機密性(Confidentiality)

ある情報資産へのアクセスに対して、権限者だけが許可された範囲で活動できるようにすること
- 📝 見せてはいけない人に見せないこと
アクセス制御や認証などを使って実現する
権限者は人間だけでなくプログラムも含まれる

完全性(Integrity)

データの正当性、正確性、網羅性、一貫性を維持すること
- e.g. あるデータの処理過程(入力、編集、保存、削除など)で欠落や重複、改ざんなどが発生せずに正しく処理される
- 📝 正しい人が正しい手順で正しい内容にだけ変更できること

可用性(Availability)

システムが必要なときに、いつでも正常なサービスを提供できる状態を維持すること
- 📝 使いたいときにちゃんと使えること
設備の多重化やリソースの確保などで実現する

情報セキュリティの付加的な特性

真正性(Authenticity)

利用者、プロセス、システム、情報などが主張どおりであることを確実にすること
- 📝 なりすましでないこと
生体情報や証明書で対象者を識別することなどで実現する

責任追跡性(Accountability)

利用者、プロセス、システムなどの動作について、主体と動作内容を追跡できることを確実にすること
- 📝 誰が何をしたかを、あとから特定できること
下記などによって実現する
- 主体(利用者など)を一意に識別できる仕組み
- 入退室記録、アクセス状況、ログ

否認防止(Non-repudiation)

ある活動や事象が起きたことを、後から否認されないように証明できること
- 📝 あとから『やっていない』と言えないようにすること
真正性、責任追跡性を適切に確保しつつ、証跡の完全性を確保する

信頼性(Reliability)

実行した操作や処理の結果に矛盾がないことを確実にすること
- 📝 システムや情報が、期待どおり正しく動き続けること
信頼性の高い設備を用いる、テストを強化してバグや脆弱性の発見/対処を行う

情報セキュリティ対策の機能

情報セキュリティ対策には下記に挙げる機能があり、各対策は少なくとも一つ以上の機能を持っている
対策としての効果を高めるには、それぞれの対策についてよく認識し、特定の機能に偏りすぎないように注意する
情報セキュリティの特性と同様に、対象となる脅威によって比重をかけるべき機能は異なる

抑止/抑制

不正行為を思いとどまらせるように働きかけ、問題を未然に防ぐこと
- 📝 悪いことをしようと思わせない
未知の攻撃者に対しては難しいので、対象は社員など内部の人間となる
情報セキュリティポリシーの策定や運用、監査、ネットワークの監視などが該当する
- 監視は実際に行わなくても社員に告知するだけでも抑止/抑制となる(用法用量に注意は必要)

予防/防止

組織、システムなどの脆弱な部分に対して、対策を行うこと
- 📝 そもそも起こさせない
本来、抑止/抑制も予防/防止に含まれるが、人間の意識以外の要素に働きかけるものをとして区別している
機器の定期保守、脆弱性検査、バージョンの最新化、認証の強化などが該当する

検知/追跡

サイバー攻撃や内部犯罪を速やかに発見/通知するとともに、その原因や影響範囲の特定に必要な情報を取得/保全することで、問題の拡大を防ぎ損害を最小限に抑えること
- 📝 起きたことに気づき、原因をたどれる
マルウェアの常時検査、ログ取得/分析、サイバー攻撃の監視/記録、重要な資産を扱う場所への監視カメラ設置などが該当する

回復

サイバー攻撃や内部犯罪、機器障害等によって発生した問題に対して、正常な状態に復旧させること
- 📝 壊れても元に戻せる
バックアップの取得/保存、復旧手順書の整備、不測事態発生時の体制の明確化などが該当する

情報セキュリティマネジメントの基礎

情報セキュリティマネジメントとは、明確な方針や規定に基づいて、組織の情報資産の機密性、完全性、可用性などの特性を適切に維持/管理することと定義できる
ISMS(Information Security Management System)とも呼ばれる
PDCAサイクルによって継続的に推進されることが望ましい
- Plan: 推進計画の立案、ポリシーの策定、リスクアセスメントの実施など
- Do: 対策の実施/運用、教育、不正アクセスの監視など
- Check: ポリシー遵守状況の評価、ポリシーの適切性監査など
- Act: ポリシーの見直し、問題箇所の是正など

規格/制度の概要

ISMSに関する国際規格はISO/IEC 27000 - 27007、TR 27008, 27010, 27011などからなるISO/IEC 27000ファミリーと呼ばれている
- 特に、ISO/IEC 27001, 27002が重要

ℹ️

TRとは？

Technical Reportの略で、規格ではなく実務向けの参考資料(規格としての要求事項は持たないが、解釈や具体的なやり方を補足する資料)のこと。

ISO/IEC 27001: 2022

下記が規定されている
- 組織がISMSを確立/実施/維持/継続的な改善を行うための要求事項
- リスクアセスメント、リスク対応を行うための要求事項
JIS Q 9000ファミリー(品質マネジメントシステム: QMS)、JIS Q 14000ファミリー(環境マネジメントシステム: EMS)などのマネジメントシステム規格(MSS)との整合が図られている
- これによって、ISO/IEC 27001: 2022を採用することで、複数のマネジメントシステムの運用を統合し、効率的に行うことができる

ISO/IEC 27002: 2022

組織がISMSを実践するための規範となるガイドライン
下記の4カテゴリを持つ
- 組織的管理策
- 人的管理策
- 物理的管理策
- 技術的管理策

ISMS適合性評価制度の概要

日本ではISMS適合性評価制度の概要が2001年から開始された
ISMS適合性評価制度は情報マネジメントシステム認定センター(ISMS-AC)が主管している
- 審査は、ISMS-ACから認定を受けた認証機関が行う
- 審査員への資格付与は、ISMS-ACから認定を受けた要員認証機関が行う

一度認証を取得すればよいわけではなく、サーベイランス審査(継続審査)や再認証審査を定期的に受ける必要がある

ISMSの確立までの流れ

ISMSの運用の流れ

管理策を実施する
1. 対策基準、実施手順に沿って管理策を実施する
ISMSの浸透を図る
1. 適用対象者全員にISMSを浸透させるための方策の検討/実施をする(e.g. 教育の実施、ハンドブックの配布)
記録を収集する
1. 実施に伴う記録を収集し、ISMS運用状況を確認する
2. 記録は審査での重要な証拠書類となる
内部監査を実施する
1. 運用開始後、一定期間経過した後に内部監査を実施し、問題箇所の改善を図る
2. ISMSの運用によって業務に支障が出たり、不満が上がることが想定されるため、ヒアリングを行う

まとめ

情報セキュリティには物理的セキュリティと論理的セキュリティがある
論理的セキュリティにはシステム的セキュリティと管理的セキュリティ、人的セキュリティがある
情報セキュリティには機密性と完全性、可用性という特性がある
- システム特性などを踏まえて、各特性を適切なレベルで確保/維持することが大事
情報セキュリティの付加的な特性として真正性、責任追跡性、否認防止、信頼性がある
情報セキュリティ対策には抑止/抑制、予防/防止、検知/追跡、回復という機能がある
- システム特性やリスクとなる脅威に応じて比重をかける
情報セキュリティマネジメントとは、方針に沿ってCIAなどを維持/管理すること
ISMSに関する国際規格はいくつかあるが、中でもISO/IEC 27001, ISO/IEC 27002が重要
- ISO/IEC 27001: ISMSの確立/運用、リスクアセスメント/リスク対応についての要求事項
- ISO/IEC 27002: ISMSを実践するための規範となるガイドライン
ISMSの確立までは大きく下記のステップで進める
- 対象範囲の決定
- 方針の決定
- リスクの特定、分析、評価
- 管理策の検討、決定
ISMSの運用では管理策の実施だけではなく、浸透推進や記録収集も必要

感想

セキュリティについて体系的に勉強したことはなかったので、どんな特性や概念、考え方があるのかはとてもためになった。

一般的にセキュリティと利便性はトレードオフであるためバランスを取らないといけない点や、システム特性を考慮して対策の優先度を変えなければいけない点、防御する側のシステムと攻撃する側の手口の両方を把握しないといけない点などを踏まえると、かなり総合力(?)が求められるなあと感じた。

ISMSの認証取得には実際どれくらいのメリットがあるのか気になった。取得をせずとも情報セキュリティを強化しようとしたときにどのような流れで進めるかは参考になりそう。

ISMSの認証取得には実際どれくらいのメリットがあるのか

ChatGPTが言っていたことをまとめると、

コスト
初回認証: 200〜400万円
維持: 50〜100万円/年
リターン
取引・受注で有利
顧客・社会的信頼の向上
セキュリティ事故リスクの低減
内部統制・業務整理につながる
その他
BtoCのみや小規模の場合は直接的なリターンは感じづらい

大手企業や金融機関などを相手にする場合は比較的有効そうな印象だった。最悪認証自体は取得しなくてもいいかもなとも一瞬思ったが、その場合強い意志がないと体制の確立や維持は難しそう。

また、脅威、脆弱性、リスクの概念がそれぞれちゃんと理解できていなかったので、まとめてみた。

脅威、脆弱性、リスクについて

脅威: 情報資産に悪影響を与える可能性のある事象や行為
- e.g. 不正アクセス、マルウェア感染、自然災害、操作ミス
- つまり、何が起こり得るか
脆弱性: 脅威につけ込まれる弱点や欠陥
- e.g. 未更新のOS、曖昧な権限管理、手順書がない操作
- つまり、弱いところはどこか
リスク: 脅威が脆弱性を突いた結果、損害が発生する可能性
- e.g. 顧客情報漏えいによる損害賠償, サービス停止による売上減少
- つまり、どれくらい危険か

本の先の方ではTCP/IPやSMTPなど、これまで深く関わったことのない低レイヤーの技術についても書かれていたので、総合力を高められるように頑張って勉強していきたい。