 |
セキュリティ監査概論［前編］
セキュリティ監査の必要性と目的
矢崎 誠二インターネット セキュリティ システムズ株式会社
プロフェッショナルサービス部 マネージャー
（シニアセキュリティコンサルタント）
2005/3/9
セキュリティ監査とは、セキュリティホールの洗い出し、セキュリティ問題につながる脆弱な設定、および攻撃者にとって意味があるデータの収集が可能かどうかを、技術的な側面から監査する作業のことを指す。一般的には、サービス中あるいはカットオーバー前のシステムに対して実施される。
なお本稿で解説するセキュリティ監査とは、仕様や設計、あるいは運用についての再確認などを網羅的に行う「システム監査」的なものではなく、現在設定されているTCP/IPプロトコルスタックを有するサーバやネットワーク機器におけるセキュリティ上の脆弱性を洗い出す監査のことを指す。
 |
セキュリティ監査とは何か |
サイト運用者側は、監査結果を用いて脆弱点を修正し、サイトが攻撃者にとって有益な情報を与えない状況であるか、セキュリティインシデントを被らない状況であるかを判断するためにセキュリティ監査を実施する。
個人情報保護という観点からも、外的要因（インターネットからの匿名アクセスによる脅威など）からのリスクヘッジとなり、技術的な対策手法の具体策の1つとして実施されるべき監査である。
脆弱性を抹消することが脅威に身をさらさないための重要な手段であることはいうまでもない。セキュリティ監査を通して、監査対象サイトのセキュリティ上の安全策を構築し、サイトの堅牢性について吟味することは誰にとっても有益な施策といえるのではないだろうか。
|
セキュリティ監査の必要性 |
今日のセキュリティ事情として、個人情報保護法（個人情報の保護に関する法律）の施行によりISMSやプライバシーマークなどの認証取得が加速度的に進んでいる。しかしながら、脆弱性に対する詳細にわたる具体策、脅威からの被害を受けない強制力という点においては、まだまだ未熟な点が多々あるということもまた事実である。
セキュリティホールとそれに伴うインシデントの発生も増加の一途をたどっており、減少する傾向や可能性があるとは考えにくい。このためセキュリティ監査では、具体的なセキュリティ対策手法を用いて脆弱性を排除し、脅威につながる脆弱性を浄化することが必須である。また、危険度の高いセキュリティホール、脆弱な設定パラメータを改修することで、啓もうではない一定の強制力を伴った結果、すなわち一定のセキュリティレベルを見いだすことが可能といえる。これらの観点から、セキュリティ監査の必要性についてご理解いただければと思う。
 |
| cert statisticsよりグラフ化 Source: The CERT Coordination Center (CERT/CC) (2005) |
|
セキュリティ監査の目的 |
一般的にセキュリティ監査の目的にはおおむね以下の要素が含まれている。
- 脆弱性の存在確認
- 脆弱性による影響度合い
- 脆弱性に対するシステムの堅牢性
上記の目的を念頭に置いたセキュリティ監査の結果が監査結果報告に記載される。このような視点からサイトの状況についてまとめることで、システムが安全であるかどうかという監査時点におけるセキュリティレベルが再確認できる。
個人情報漏えいにつながる問題や、ホームページ改ざんなどのセキュリティインシデントが発生した結果、セキュリティ監査を実施するケースもある。この場合、性急なまでに「緊急事態が発生した！ とにかくやってくれ！」という依頼により監査が実施されると、本来得られるべき結果が得らないという本末転倒な結果に終わる。
このような場合は、ERS（Emergency Response Service）といった緊急対応を伴うサービスの提供が必要となるが、セキュリティ監査もまた有用な手段の1つであることは間違いない。どういったケースにおいても正しいゴールを設定し、目的に沿ったセキュリティ監査を実施すべきであるとわれわれは常に考えている。
1/3 |
|
| Index | |
| セキュリティ監査の必要性と目的 | |
 |
Page1 セキュリティ監査とは何か セキュリティ監査の必要性 セキュリティ監査の目的 |
| Page2 第三者機関の必要性 攻撃元のベクトルを確認 セキュリティ監査の5つのカテゴリ |
|
| Page3 監査手法の選択 ペネトレーション ソーシャルエンジニアリング |
|
| 関連リンク | |
| 事例にみるセキュリティ監査のポイント | |
| 個人情報保護法に備える4つの課題 | |
| 情報漏えいに備えるセキュリティ投資の目安 | |
| 個人情報保護法（セキュリティ用語事典） | |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
