HP OpenView News 【36-02】
いまさら聞けないセキュリティ -3-

運用管理もリスク管理の一部であり、そういう面では第一回目でご紹介したリスク管理のプロセスで学んだように通常のPDCAサイクル（Plan,Do,Check,Act 図1参照）をまわすのとなんら変わりありません。基本的には現状の把握を行い、ポリシーを決定します。その際、事故を起こさないためのポリシーだけでなく、事故が起こった際のポリシーも策定する必要があります。インシデントが起こってこれに対応するインシデントレスポンスはセキュリティ管理も運用管理も一緒です。次にポリシーが守られるようにユーザへの周知徹底を行います。現在は外部からの攻撃に対して防御する必要がありますが、ルール違反や人為的なミスをカバーするためにもシステムによる制御が必要です。またインシデント対応している中からインパクトのあったものを分析し、対策を行ったり、常にポリシーのレビューを行うなど、状況に即した形で運用が行われるように、フィードバックが必要となります。

図1：運用セキュリティのライフサイクル
≫拡大画像(新規Window)

検索エンジン等で「セキュリティポリシー」と検索すると様々な範囲を指し示していることに気がつくと思います。「セキュリティポリシー」と言えば、一般的にはセキュリティに関する全社規定とシステム設計にかかわる技術的な規定が存在します。方針及び、基準といっていいでしょう。
全社でのセキュリティポリシーの策定方法についてはISMS関連書籍をはじめとした他の書籍に譲りますが一般的には下記のことを注意する必要があります。

• 短く簡潔な文章でセキュリティ方針を提示し、グレーゾーンでの問題に対処する際などの指針とする
• プロセスには役割とオーナーを常に明確にする必要がある
• ポリシー策定後に全社員が理解して守ることができるような内容にする必要がある
• システムにより細かいセキュリティポリシーを守る管理の仕組みが必要である
• ITILと同様に他社のポリシーは参考になりにくい。自社の環境や文化に合わせた構築が必要である

運用セキュリティでの管理項目はITILでの管理項目とほぼ重なります。とはいえ若干スコープが違うので個々のプロセスで考慮すべき内容が違います。例えばITILの継続性管理は通常のITサービスの提供が災害などによりできなくなった際のリカバリプランですが、セキュリティとしては単なるIT障害の発生時でもセキュリティを維持しながらセキュアな状態に戻すためのプロセスが必要となります。加えて構成要素のデータ保護やアクセス権管理、ソフトウェア管理や物理セキュリティの管理などITILのプロセスに加えて、考慮すべき項目があります。違いとして考えられるものを以下に例として挙げます。

• リソース保護：ITを構成するすべての構成要素に対するシステムの防護が必要です。ファイヤーウォールや第二回目でご紹介したIDSによるシステムの外部侵入に対する保護などが含まれます。
• アイデンティティ管理とアクセスコントロール：ユーザやIDの管理とアクセスできるデータやリソースの対応を常に正確に取っておく必要があります。
• 物理的セキュリティ管理：システム的にどんなに対策をしても例えばハードウェアを盗まれては全く意味をもちません。また盗まれたときでもデータが他に渡ったときの損失（社会的な信頼の喪失等を含む）やデータが利用できなくなることによる業務への影響等考慮して対応することが望まれます。

セキュリティを守る技術的な手段は世の中に多く存在しますし、現在でも増え続けています。通常は、リスク管理を元にプライオリティをつけて問題に対して技術的に対策を行っていきますが、コスト面や適切に対応できる手段が下記の表にない場合はリスクを受容水準以下に引き下げるなどのことが必要になってくる関係にあります。
一般的に管理手段は以下表1にある5つのパターンに分けられます。
皆様の回りにあるセキュリティに関するツールやプロセスは必ずこの5つに分類されるはずですがいかがでしょうか？ 第二回目でご紹介したアクセス管理やログ管理などは目的が複数あるために分類も複数にまたがりますね。

回答

Q1：a 本文にもありますように状況把握をもとに自社の環境に合わせたガイドラインやポリシーを作ることが最も最初のステップになります。

Q2：d　難しい問題ですが、スペシャリストは助言を与える立場で、担当者は権限は持ちません。シニアマネージメントはもっと範囲が広いということで、回答としては “この中では” システム監査人になります。

Q3：b 言葉のお遊びですが、回答はbです。

Q4：d 是正的コントロールは、検出されたインシデントに対して再発防止を目的としたものになります。従いましてログの収集自体は是正的といえません。