セキュリティ監査概論［前編］

セキュリティ監査の必要性と目的

矢崎　誠二
インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部　マネージャー
（シニアセキュリティコンサルタント）
2005/3/9

---

　セキュリティ監査とは、セキュリティホールの洗い出し、セキュリティ問題につながる脆弱な設定、および攻撃者にとって意味があるデータの収集が可能かどうかを、技術的な側面から監査する作業のことを指す。一般的には、サービス中あるいはカットオーバー前のシステムに対して実施される。

　なお本稿で解説するセキュリティ監査とは、仕様や設計、あるいは運用についての再確認などを網羅的に行う「システム監査」的なものではなく、現在設定されているTCP/IPプロトコルスタックを有するサーバやネットワーク機器におけるセキュリティ上の脆弱性を洗い出す監査のことを指す。

セキュリティ監査とは何か

　サイト運用者側は、監査結果を用いて脆弱点を修正し、サイトが攻撃者にとって有益な情報を与えない状況であるか、セキュリティインシデントを被らない状況であるかを判断するためにセキュリティ監査を実施する。

　個人情報保護という観点からも、外的要因（インターネットからの匿名アクセスによる脅威など）からのリスクヘッジとなり、技術的な対策手法の具体策の1つとして実施されるべき監査である。

　脆弱性を抹消することが脅威に身をさらさないための重要な手段であることはいうまでもない。セキュリティ監査を通して、監査対象サイトのセキュリティ上の安全策を構築し、サイトの堅牢性について吟味することは誰にとっても有益な施策といえるのではないだろうか。

セキュリティ監査の必要性

　今日のセキュリティ事情として、個人情報保護法（個人情報の保護に関する法律）の施行によりISMSやプライバシーマークなどの認証取得が加速度的に進んでいる。しかしながら、脆弱性に対する詳細にわたる具体策、脅威からの被害を受けない強制力という点においては、まだまだ未熟な点が多々あるということもまた事実である。

　セキュリティホールとそれに伴うインシデントの発生も増加の一途をたどっており、減少する傾向や可能性があるとは考えにくい。このためセキュリティ監査では、具体的なセキュリティ対策手法を用いて脆弱性を排除し、脅威につながる脆弱性を浄化することが必須である。また、危険度の高いセキュリティホール、脆弱な設定パラメータを改修することで、啓もうではない一定の強制力を伴った結果、すなわち一定のセキュリティレベルを見いだすことが可能といえる。これらの観点から、セキュリティ監査の必要性についてご理解いただければと思う。

cert statisticsよりグラフ化 Source: The CERT Coordination Center (CERT/CC) (2005)

セキュリティ監査の目的

　一般的にセキュリティ監査の目的にはおおむね以下の要素が含まれている。

• 脆弱性の存在確認
• 脆弱性による影響度合い
• 脆弱性に対するシステムの堅牢性

　上記の目的を念頭に置いたセキュリティ監査の結果が監査結果報告に記載される。このような視点からサイトの状況についてまとめることで、システムが安全であるかどうかという監査時点におけるセキュリティレベルが再確認できる。

　個人情報漏えいにつながる問題や、ホームページ改ざんなどのセキュリティインシデントが発生した結果、セキュリティ監査を実施するケースもある。この場合、性急なまでに「緊急事態が発生した！ とにかくやってくれ！」という依頼により監査が実施されると、本来得られるべき結果が得らないという本末転倒な結果に終わる。

　このような場合は、ERS（Emergency Response Service）といった緊急対応を伴うサービスの提供が必要となるが、セキュリティ監査もまた有用な手段の1つであることは間違いない。どういったケースにおいても正しいゴールを設定し、目的に沿ったセキュリティ監査を実施すべきであるとわれわれは常に考えている。

1/3

Index
セキュリティ監査の必要性と目的
	Page1 セキュリティ監査とは何か セキュリティ監査の必要性 セキュリティ監査の目的
	Page2 第三者機関の必要性 攻撃元のベクトルを確認 セキュリティ監査の5つのカテゴリ
	Page3 監査手法の選択 ペネトレーション ソーシャルエンジニアリング

関連リンク
	事例にみるセキュリティ監査のポイント
	個人情報保護法に備える4つの課題
	情報漏えいに備えるセキュリティ投資の目安
	個人情報保護法（セキュリティ用語事典）

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）