kosukeコメントをどうぞTweetTweet「遠隔操作ウイルス」に関するニュースが連日報じられている。対策として自己防衛が強調されるなど、現状は利用者自身が知識を得ることでしか解決は望めないようである。シラバスを参考に、ブログ初心者が覚えておくべきセキュリティ基礎知識を5つ解説する。外部とつながれたネットワークには、様々な脅威が存在する。悪意を持った人間が自社のネットワークに侵入する、情報の漏洩や重要なデータやファイルを破壊される、大量の電子メールを送りつけてサーバの処理能力をパンクさせる妨害行為などである。シラバスでは、「61.情報セキュリティ」「62.情報セキュリティ管理」「63.情報セキュリティ対策・情報セキュリティ実装技術」と対応している。本稿の1、2、5は主に人的セキュリティ対策について、3、4は技術的セキュリティ対策について述べている(2に物理的セキュリティ対策の一部)。安全性と利便性の観点から、以下の3要素を管理し、うまくバランスさせることが重要だとされている。いう3段階から成り立っている。個人情報保護法とプライバシーマーク個人情報保護法とは、個人情報を事業者が適切に取り扱うためのルールを定めたものである。いった個人を特定できる情報およびそれに結びつけられた各種個人データのことである。個人情報に関する認定制度として、プライバシーマーク制度がある。15001(個人情報保護マネジメントシステム—要求事項)」に適合して、個人情報の適切な保護体制が整備できている事業者を認定するものである。ユーザ認証とアクセス管理コンピュータシステムの利用にあたっては、ユーザ認証(本人確認)を行うことでセキュリティを保っている。ユーザ認証の手法ユーザ認証には次のような方法がある。ユーザIDとパスワードによる認証バイオメトリクス認証(生体認証。指紋や声紋、虹彩などを用いる)ワンタイムパスワード(一度限り有効の使い捨てのパスワードを用いる)コールバック(アクセス後回線を切り、サーバ側から再発信させること)アクセス権の設定アクセス権とは、社内で共有している書類を「許可された人だけが閲覧できるようにする」というように設定できることである。ソーシャルエンジニアリングソーシャルエンジニアリングとは、コンピュータシステムとは関係のないところで、人の心理的不注意を付いて情報資産を盗み出す行為のことである。肩越しにパスワードを盗み見するショルダーハッキング、ゴミ箱をあさって有用な情報を盗み出したりするスキャビンジングなどがある。第三者のデータなどに対して、意図的に被害を及ぼすよう作られたプログラムがコンピュータウイルスである。種類はさまざまではあるが、例えば以下の4つがある。狭義のウイルス:他のプログラムに寄生して、その機能を利用する形で発病するものマクロウイルス:アプリケーションの持つマクロ機能を悪用したもので、ワープロソフトや表計算ソフトのデータファイルに寄生して感染を広げるワーム:単独で複製を生成しながら、ネットワークなどを介してコンピュータ間に感染を広めるもの。作成が容易トロイの木馬:有用なプログラムであるように見せかけてユーザに実行を促し、その裏で不正な処理(データのコピーやコンピュータの悪用など)を行うものまた、マルウェア(コンピュータウイルスを含む悪意のあるソフトウェア全般をさす言葉)の一種として以下の2つにも注意が必要である。スパイウェア:情報収集を目的としたプログラムで、コンピュータ利用者の個人情報を収集して外部に送信する。他の有用なプログラムにまぎれてインストールされていることが多いボット:感染した第三者のコンピュータを、ボット作成者の指示どおりに動かすもの。迷惑メールの送信、他のコンピュータを攻撃する踏み台に利用される恐れがあるウイルス対策ソフトと定義ファイルこういったコンピュータウイルスに対して効力を発揮するのがウイルス対策ソフトである。このソフトウェアの役割は、コンピュータに入ってきたデータを最初にスキャンして、そのデータに問題がないか確認する予防、コンピュータの中のウイルス感染チェックを行う検査、すでに感染してしまったファイルの修復という3つがある。ウイルスは常に新種が発見されているため、既知ウイルスの特徴を記録したウイルス定義ファイル(シグネチャファイル)を、常に最新の状態に保つことが大切である。ウイルスの予防と感染時の対処コンピュータウイルスの感染経路としては、電子メールの添付ファイルやファイル交換ソフトなどを通じたものが、現在は最も多いとされている。これらのウイルスの予防には以下の5つの取り組みが有効である。ウイルス対策ソフトを導入して、常時動かしておくウイルス定義ファイルは常に最新の状態にしておくハードディスク内を定期的にウイルスチェックしておく不用意にインターネットからファイルをダウンロードしないダウンロードしたファイル、メールの添付ファイル、USBメモリなどで外から持ち込んできたファイルなどは、必ずウイルスチェックしてから使用するそれでももし感染してしまった場合は、以下の3つの対処を行うことが大切である。ネットワークのセキュリティ対策ネットワークのセキュリティ対策は、壁を設けて通信を遮断するところから始まる。ファイアウォールファイアウォールとは防火壁のことである。本来は「火災時の延焼を防ぐ耐火構造の壁」をさす言葉だが、「外からの不正なアクセスを火事とみなして、それを食い止める存在」という意味で使っている。インターネットのような外のネットワークとLANとの間に置いて、外からの不正なアクセスを防ぐ役割を持つ。主な実現方法として、パケットフィルタリングとアプリケーションゲートウェイがある。パケットフィルタリングパケットフィルタリングとは、パケットを無条件に通過させるのではなく、あらかじめ指定されたルールにしたがって通過させるか否かを制御する機能である。この機能では、パケットのヘッダ情報(送信元IPアドレスや宛先IPアドレス、プロトコル種別、ポート番号など)を見て、通貨の可否を判定する。通常アプリケーションが提供するサービスはプロトコルとポート番号で区別されるため、この指定は「どのサービスを通過させるか」を決めたことになる。アプリケーションゲートウェイアプリケーションゲートウェイとは、LANの中と外の間に位置して外部とのやりとりを代行して行う機能である。プロキシサーバ(代理サーバ)とも呼ばれる。外のコンピュータからはプロキシサーバしか見えないため、LAN内のコンピュータが不正アクセスの標的になることを防ぐことができる。暗号化技術とデジタル署名インターネットは「荷物が丸裸で運ばれている」ようなものである。そのため暗号化やデジタル署名で荷物に鍵をかけるのである。盗聴・改ざん・なりすましの危険ネットワークの通信経路上に潜む危険の代表的なものは、以下の3つである(メールに例えて説明)。盗聴・改ざん・なりすましのような危険性を回避するために考え出されたのが、暗号化と復号である。暗号化とは、データの中身を第三者にはわからない形へと変換することである。復号とは、暗号化されたデータを元の形に戻すことである。盗聴を防ぐ暗号化(共通鍵暗号方式)暗号化や復号を行うために使うデータを鍵と呼ぶ。送り手(暗号化する側)と受けて(復号する側)が同じ鍵を用いる暗号化方式を、共通鍵暗号方式(秘密鍵暗号方式)と呼ぶ。この鍵は第三者に知られると意味がなくなるため、秘密にしておく必要がある。盗聴を防ぐ暗号化(公開鍵暗号方式)公開鍵暗号方式とは、送り手は受信者の公開鍵を用いて暗号化を行い、受け手は自分の秘密鍵を用いて復号を行うというものである。秘密鍵と公開鍵という公開用の鍵の2つを持つことが最大の特徴で、暗号化に使う鍵と復号に使う鍵が別物である。公開鍵では暗号化しかできないため、途中でデータを盗聴される危険性はなくなるのである。共通鍵暗号方式に比べて、公開鍵暗号方式は暗号化や復号に大変処理時間を要するため、利用形態に応じて双方を使い分けるのが一般的である。改ざんを防ぐデジタル署名デジタル署名とは、公開鍵暗号方式の技術を応用することで、改ざんの危険性を回避するものである。公開鍵暗号方式では、公開鍵で暗号化したものはペアとなる秘密鍵でしか復号できない。この逆も真であり、秘密鍵で暗号化したものはペアとなる公開鍵を使わないと復号できないのである。Aさんの公開鍵で復号できたということは、Aさんが暗号化した後は誰もデータの中身を変更していないといえるのだ。実際には本文全体を暗号化するのではなく、ハッシュ化という手法で短い要約データ(メッセージダイジェスト)を作成し、それを暗号化することでデジタル署名とする。Authority:CA)とは、なりすましを防ぐためにデジタル証明書の発行やその正当性の確認を行う機構である。認証局は以下の流れで公開鍵の正当性を保証する。公開鍵を認証局に登録しておく認証局に登録した鍵によって身分を保証する最後に情報セキュリティ基礎知識として、ネットワークに潜む脅威、ユーザ認証とアクセス管理、コンピュータウイルスの脅威、ネットワークのセキュリティ対策、暗号化技術とデジタル署名の5つについてまとめた。スマホの普及に伴って、LINEやcommなど、無料で通話ができるサービスが出てきている。個人情報の漏洩等セキュリティの観点については気にしておく必要があろう。著者のきたみりゅうじ氏に感謝したい。次回はネットワークに関してまとめる。コメントをキャンセルメールアドレスが公開されることはありません。金融機関経営あなたの魅力、解放します。