HOME情報セキュリティ情報セキュリティ対策対策実践情報IPA/ISEC の情報発信戦略

本文を印刷する

情報セキュリティ

IPA/ISEC の情報発信戦略

最終更新日:2002年 6月11日
情報処理振興事業協会
セキュリティセンター
IPA/ISEC
電話番号:03-5978-7501までお問い合わせください。

概要

このページでは、IPA/ISECのwebによる情報発信戦略について解説します。これは、大きく「読者層/ターゲット別情報提供戦術」と「プロセスモデル戦術」の二つの戦術から成ります。

I. 読者層/ターゲット別情報提供戦術

1. 概要

IPA/ISECでは、読者のニーズに適合する情報発信・提供を重視しています。

平時より情報セキュリティ対策実践情報を、読者層/ターゲット別に整備・提供する戦略をもっています。この戦略は、webコンテンツにおいて採用しているのみならず、全国各地で開催している「情報セキュリティセミナー」においても基礎となっている考え方です。我々のコンテンツの読者・聴衆としては、ITユーザとITベンダーの両者を想定しています。ITユーザ向けのコンテンツについては、とりわけシステム管理者層を重視しています。

国内で広域に情報セキュリティリスクが顕在化する兆候があるときには、遅滞なく対策情報を提供するよう努めております。これは「緊急対策情報」として提供します。

2. 平時における情報セキュリティ対策実践情報

IPA/ISEC では、ITユーザ、ITベンダーの双方の情報セキュリティ啓発・教育のためのコンテンツを提供しています。

2.1 IT ユーザ向け

組織体に属する ITユーザ向けのコンテンツについては、下記の読者層を想定し、それぞれに適切な情報提供のあり方を検討しております。

  1. システム管理者/ネットワーク管理者向け
  2. エンドユーザ向け
  3. 経営管理者層向け

従前より、システム管理者/ネットワーク管理者を想定読者として重視しています。

組織体内部でエンドユーザに対する啓発・教育を展開していただくことも想定しています。エンドユーザは、組織体内部のネットワークでクライアント・コンピュータを利用するユーザを想定しています。サーバーにおける情報セキュリティの諸論点は、システム管理者向け/エンドユーザ向けのコンテンツに含めています。

平成12年度からは、経営管理者層向けのコンテンツを整備しつつあります。情報システム部門の責任者を読者・聴衆として着手しました。

また、システム管理者/ネットワーク管理者が経営管理者層と上手に内部コミュニケーションをとることによって、セキュリティポリシーの立案の促進、充分な情報セキュリティマネジメント資源の確保がはかられることを期待しています。

さらに、昨今の就労環境の変化、家庭へのインターネット接続が普及している状況に対応し、SOHO環境におけるITユーザ向けのコンテンツも整備するよう務めています。自らサーバーを構築・運用しているスモール・オフィス向けのコンテンツは、個別技術的には大規模な組織体のネットワークにおいてもそのまま適用できる技術が含まれます。スモール・オフィスを対象としたコンテンツには、近年、普及しつつあるオープンソースソフトウェアによるシステム構築の内容も含むようにしております。廉価でセキュアなシステムを構築することができるよう支援するコンテンツを提供いたします。

ブロードバンドなインターネットサービスのホームユーザへの普及にともなって、インターネットコミュニティ全体における情報セキュリティ対策の視野からは、ホームユーザの情報セキュリティ対策の重要性が高まっています。例えば、ワームの伝搬、分散サービス妨害攻撃エージェントの保持は、インターネットコミュニティ全般に影響を与える脅威であり、ホームユーザが関与する可能性がある論点でもあります。ホームユーザにおいては、身近に情報セキュリティについての指導を得る機会が少ないことを想定して、基礎的な事柄から記述するよう努めています。近い将来、ストリーミング技術による遠隔学習が可能となるサービスを提供できるよう、IPA/ISEC内部で試行実験を行っている段階です。

三角のグラフで上段に経営管理者、中段にシステム管理者、下段にエンドユーザが位置している

2.2 IT ベンダー向け

ITベンダー、特にソフトウェア開発者に向けては、セキュアな開発・提供に資するクリアリングハウスとなるよう務めます。従前より、セキュリティ評価・認証制度や、暗号技術動向を提供してきました。また、インターネットにおけるRFC標準のうち、セキュリティ技術に関するものの中で重要なものを日本語に翻訳して提供しております。今後は、これらに加えて、脆弱性を生まないためのセキュアプログラミングの啓発・教育コンテンツ 等を整備・充実させていく予定です。

3. 広域インシデント発生時の緊急対策情報

IPA/ISECでは、日本国内において広域に情報セキュリティリスクが顕在化する兆候があるときに、遅滞なく対策情報を提供するように努めております。

緊急対策情報においては、システム管理者層向けに記述することが多いことが予想されますが、クライアントアプリケーションにおいても広く対策が必要な場合には、エンドユーザ層向けにもわかりやすい情報を用意します。

II.プロセスモデル戦術

1.概要

情報セキュリティの性格には、単一技術や特定製品によって対策することができないことが挙げられます。想定される様々な脅威に対して、それぞれに対応していることを確保していく一連の活動です。IT ユーザにおけるプロセスは、例えば「計画 -> 実装 -> 監視 -> 検査」のように表現することができます。インシデントが発生したときに、それに対応しようとしても限界があり、平時から情報セキュリティ対策をプロセスとして管理している必要があります。また、IT ベンダーにおけるソフトウェア開発プロセスもあります。

このようにプロセスとしての性格をもつ情報セキュリティ対策情報を網羅的・体系的に提供していくために、IT ユーザにおいてもITベンダーにおいても、できる限りプロセスモデルを採用して提供していく予定です。

2.IT ユーザにおけるセキュリティマネジメントのプロセス

計画は実装へ、実装はフィードバックへ、フィードバックは計画へと無限循環している エンドユーザ向けを除く、システム管理者向けと経営管理者層向けのコンテンツについては、セキュリティマネジメントのプロセスに従って系列的整理して提供する予定です。

経営管理者向けには、国際標準化機関ISO/IECが定めるガイドラインであるGMITSシリーズ(TR 13335)におけるセキュリティ マネジメントのプロセスを軸に据えて整理していく予定です。GMITSによれば、情報セキュリティマネジメントのプロセスは、セキュリティポリシーに基づいて「計画 -> 実装 -> フォローアップ -> 計画 ・・・」のプロセス(サイクル)として整理することができます。

マネジメントのプロセスは、PDCAサイクル(Plan -> Do -> Check -> Action -> Plan)で、表現されることもあります。また、インシデント対処プロセスについては、「準備 -> 検知 -> 対応 -> 改善 -> 準備 ・・・」のプロセス(サイクル)として整理することが可能です。システム管理者向けのコンテンツにおいては、内容に応じて、これらのプロセスに則った説明を行います。

3. IT ベンダーにおけるソフトウェアのセキュアな開発プロセス

ソフトウェアの開発プロセスに従って、セキュリティの緒論点を系列的に提供していく予定です。以下、系統的な説明が必要な背景と、予定されているコンテンツについて説明します。

3.1 背景

ソフトウェアに関して、俗に「セキュリティホール」と呼ばれる欠陥の問題があり、この中には、以下の事項があります。

  1. セキュリティ脆弱性を攻略可能なソフトウェアプログラム
  2. そもそもセキュリティ設計が考慮されていないソフトウェアの機能およびその実装
  3. 弱いユーザ認証パスワード
  4. セキュリティの弱い設定

このうち3.と4.は、ソフトウェアプログラムの問題ではありませんが、かといってユーザだけの論点とはなりません。開発者による出荷時のデフォルトパスワードや、デフォルト設定は極めて重要です。

3.2 ソフトウェア開発プロセスとセキュリティ

IPA/ISECでは、ソフトウェア開発のプロセスにおいて、情報セキュリティ問題を逓減・解消して、セキュリティ品質の高いソフトウェア開発を促進していきたい、と考えております。下記のように、各工程においてセキュリティが考慮される必要があるのです。

  1. セキュリティ機能設計
  2. 脆弱性を生まないセキュアプログラミングテクニック
  3. セキュリティ検査
  4. 信頼できるコンポーネントの蓄積・再利用可能性の確保
  5. 出荷時のセキュアなデフォルト設定

ソフトウェア開発プロセスとセキュリティ

このようにセキュリティを考慮した開発プロジェクトのマネジメントが成熟されていく方策を検討しています。セキュリティを意識した開発のためには、追加的なコストが発生することも織り込むことになります。

以下、個別に各行程におけるセキュリティ対策を考慮する必要性について例を挙げながら説明します。

(1) セキュリティ機能設計
秘匿すべき情報が秘匿される設計が重要です。ユーザ認証情報(パスワード)の保存方法などはセキュリティ設計がなされなければなりません。また、推測困難性が求められる処理データもあります。複雑さはセキュリティの敵で、脆弱性を生む温床となります。シンプルな設計を良しとする開発設計文化の定着が期待されます。

(2) 脆弱性を生まないセキュアプログラミングテクニック
各ベンダーやオープンソース・コミュニティが開発する、ソフトウェアの開発において、プログラミング時に注意すべき点が、プラットフォームごと、開発言語ごとにあります。例えば、インターネットサーバー・アプリケーションについて報告されているセキュリティ脆弱性の大多数は、バッファオーバーフロー状態を引き起こすプログラミングのミスに起因するものです。また、電子商取引や、政府部門における電子申請が普及するにしたがって、各webサイトにおいて、双方向性をもつアプリケーションが開発されるようになっていますが、これらのシステムのプログラミングにおいても、セキュリティの観点から注意すべき点があります。例えば、CGIプログラムにおいては、入力値の中に、コマンドの実行を許容してしまうようなメタキャラ クタが含まれて処理されないように、浄化するチェックが必要です。コスト効率を高めるために、経験・知識が不足するプログラマがOJTを兼ねて開発にあたっている状況が多いのが実情でしょう。上記のような注意点を、プログラマに教育する必要があるのです。

(3) セキュリティテスト
セキュリティテストは、セキュリティを侵害する問題を意図的に探し出すテストで、通常の機能テストとは別の性格をもつテストです。通常の機能テストでは、まずセキュリティ脆弱性を発見することは不可能です。例外的な処理を意図的に行わせることができるかをテストする者には、通常のテスターよりも広範な知識が要求されるのです。

(4) 信頼できるコンポーネントの蓄積・再利用可能性の確保
ソフトウェア開発における生産性・信頼性を高めるコンポーネント化の考え方には、システム全体のセキュリティの構図を複雑にしている面もあります。それでもなお、各種アプリケーション開発がセキュリティを確保したものとなるためには、その道具として、セキュリティの観点から信頼できるコンポーネントを再利用すべきです。各種ライブラリの再利用についても同様のことがいえます。

なお、コンポーネントを組み合わせて初めて発現するセキュリティ脆弱性もあるので、上記セキュリティ検査において別途、考慮する必要があります。

(5) 出荷時のセキュアなデフォルト設定
システムのセキュリティの基本であるユーザ認証のためのパスワードや、各種設定ファイルは、文字通りユーザが設定することができるファイルとして提供されます。ユーザビリティを重視する傾向とあいまって、ベンダーが提供するソフトウェアのデフォルト設定はセキュアでない場合が多いのが実情です。例えば、セキュリティ機能をもつソフトウェアにおいても、その機能をオフ設定にして出荷されているものがあります。

プログラム開発、各種テストをもってプロセスの完了とせず、出荷時の設定にまで留意させるプロセスを提示していくべきものと考えています。

III. 英語による情報発信戦略

国際業務計画の一環として検討中です。読者としては、諸外国の情報セキュリティに関心をもつ専門家を想定しています。専門家が期待する情報には、下記のものが挙げられると考えられます。

  • 全般:IPA/ISECの機能
  • ウイルス・不正アクセス対策:月次の統計的集計情報
  • 暗号技術:CRYPRTECプロジェクトの各種報告書
  • 評価・認証:日本の状況

これらの情報は、現在でも英語で掲載していますが、人員の体力的制約によって、日本語版の掲載から遅延する場合があります。今後は、遅延時間を縮小するように務めます。各種公募に関する情報も、英語で提供すれば活動概要の理解に役立つと考えられます。

以上