守り方の原則

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。新しく来た職員に、このシステムの、管理者の権限を付けてください、と頼まれる。念のため、全部のフォルダが見られるようにしておいて、とも言われる。

あるいは、ファイアウォールの機器が故障したとき、通信を通すのか、止めるのか。どちらにしておくべきですか、と聞かれる。

どちらも、正解は、設計の原則を知っていると、判断しやすくなります。私も最初は、場当たりで決めていました。

今日は、セキュリティの守り方の、基本の原則をお話しします。

一言で言うと

先に、一言でまとめます。守り方の原則は、いくつかの決まり文句で覚えられます。必要なものだけ渡す。一人に任せきりにしない。守りを重ねる。許可したものだけ通す。止まるときは、安全な側へ。

どれも、製品の名前ではなく、考え方です。迷ったときの、判断の拠り所になります。

基礎編のどこか

第1回は、守るもの。第2回は、損なうものと、優先順位でした。

今日は、実際にどう守るのか、という設計の考え方です。

ここで出てくる原則は、セキュリティ編の製品にも、そのまま表れています。

最小権限

一つ目は、最小権限の原則です。仕事に必要な権限だけを、必要な期間だけ渡す、という考え方です。

冒頭の相談の、念のため全部のフォルダを見られるように、は、この原則の逆です。権限が広いと、誤操作の被害も、乗っ取られたときの被害も、広がります。

異動のときに、前の部署の権限が残っているのも、典型的な失敗です。運用編の第8回の、アカウントの棚卸しは、この原則を保つための作業です。

管理者の権限は、特に絞ります。ふだんの作業には、一般の権限を使い、必要なときだけ、管理者に切り替えます。

知る必要のある人にだけ

二つ目は、知る必要のある人にだけ、知らせる、という原則です。英語では、ニード・トゥ・ノウと言います。

同じ課の人だから、役職が高いから、という理由では、情報を見せません。その仕事に必要かどうかで、決めます。

最小権限が、できることの範囲を絞るのに対して、こちらは、見られる情報の範囲を絞る、と覚えると分かりやすいです。

共有フォルダの権限を、課の全員に付ける前に、本当に全員が必要か、考えてみてください。

職務の分離

三つ目は、職務の分離です。一つの仕事を、一人だけで、最初から最後まで、できないようにする、という考え方です。

たとえば、お金の支払いなら、入力する人と、承認する人を分けます。システムの設定変更なら、作業する人と、確認する人を分けます。

分けておくと、うっかりしたミスに、気づきやすくなります。そして、一人の悪意だけでは、不正が成り立ちにくくなります。

ガイドラインの例文にも、委託事業者がシステムを変更するときは、2名以上で作業して、互いに確認する、という趣旨の定めがあります。これも、この原則の表れです。

多層防御

四つ目は、多層防御です。一つの対策が破られても、次の対策で止められるように、守りを何重にも重ねる、という考え方です。

自治体の三層の対策は、その代表です。さらに、ファイアウォール、端末の対策、アカウントの権限、ログの監視と、重ねていきます。

大事なのは、重ねる守りが、互いに別の方法であることです。同じ種類の対策を2つ並べても、同じ弱点で、同時に破られます。

完璧な対策は、ありません。だから、どれかが破られることを前提に、重ねます。

許可したものだけ通す

五つ目は、デフォルト拒否、という原則です。許可したものだけを通して、それ以外は、すべて止める、という決め方です。

ファイアウォールのルールが、代表です。通してよい通信を書き出して、書いていないものは、止めます。

逆に、止めるものを書き出して、それ以外を通す形だと、書き忘れた危険な通信が、素通りしてしまいます。

クラウドサービスの公開の設定も、同じです。最初は非公開にしておいて、必要な人にだけ、開きます。

止まるときは安全な側へ

六つ目は、止まるときは、安全な側へ、という考え方です。フェイルセーフとも呼ばれます。

冒頭の相談に戻ります。ファイアウォールが故障したとき、通信を止めれば、守りは保たれますが、業務は止まります。通せば、業務は続きますが、守りがなくなります。

どちらが正しい、とは言えません。第1回の、機密性と可用性の、引っ張り合いです。

大事なのは、どちらにするのかを、あらかじめ決めておくことです。そして、住民への影響と、情報の重要度で、システムごとに決めます。決めていないと、障害のときに、慌てて判断することになります。

境界の守りから、ゼロトラストへ

ここまでの原則は、ゼロトラストとも、つながっています。

これまでの守り方は、境界型でした。庁内に入れば、信用する、という前提が、どこかにありました。

ゼロトラストは、場所では信用せず、そのつど、人と端末を確かめる考え方で、最小権限や、デフォルト拒否を、通信の単位まで徹底したものと見ることもできます。

新しい言葉に見えても、基本の原則は、変わりません。セキュリティ編を見るときも、この原則に戻って考えてみてください。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。念のため、広めに権限を付けておくと安心、という誤解です。広い権限は、被害も広げます。必要最小限が、基本です。

二つ目。製品をたくさん入れれば、多層防御になる、という誤解です。同じ弱点を持つ対策を重ねても、意味が薄くなります。何を、どの層で止めるのかを、整理します。

三つ目。障害のときは、とにかく通信を止めれば安全、という誤解です。止めれば、住民への影響が出ます。止めるか通すかは、事前に決めておくことです。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。管理者の権限を持つ人の一覧です。人数が、必要最小限か。異動で外れた人が、残っていないかを、確かめます。

二つ目。重要な作業が、一人で完結していないか、です。設定の変更や、お金に関わる処理に、確認する人が、いるかを見ます。

三つ目。重要なシステムで、障害のときに、止めるのか通すのか、決めてあるかどうかです。決まっていなければ、上司や委託先と、話し合うきっかけにしてください。