情報資産を取り巻く環境には自然災害、破壊、故障などの物理的な脅威、不正アクセス、コンピュータ・ウイルス、情報の改ざんといった技術的な脅威、また、誤操作、設定ミス、情報の不正持ち出しなど人的な脅威が存在しています。
これら脅威から情報資産を守るためには入室管理やアクセス制御、セキュリティポリシーの周知徹底など物理的、技術的、人的にバランスのとれた対策が必要です。
特に、不正アクセス行為から情報資産を防御するためには、次のことに留意して情報セキュリティ対策を行う必要があります。
利用者(ユーザ)の注意点
識別符号(ID・パスワード)の適切な管理
推測されやすいパスワードの解消・定期的な変更
IDと同一又は似たものや誕生日、名前、電話番号等、第三者に推測されやすい単語をパスワードとして使わないようにしましょう。
また、同じパスワードは使い回さないようにしましょう。
トロイの木馬等不正なプログラム対策
不審な電子メールを受信した場合、添付ファイルは、不用意に開かないようにしましょう。ID・パスワードを盗むコンピュータ・ウィルスなどの不正なプログラムを仕掛けられる恐れがあります。
ソーシャルエンジニアリング対策
ソーシャルエンジニアリングとは、管理者等を装って利用者から識別符号や機密情報などを聞き出す行為です。電話での問い合せや不審なメールへの対応について注意しましょう。
アクセス管理者の注意点
サーバの適切な管理
使われなくなったIDの抹消
利用者の登録抹消等により使われなくなったIDは、不正アクセス行為に使われやすいので、管理者は不要なIDを抹消しましょう。
セキュリティ責任者の設置
コンピュータ・ネットワークに不具合が生じたときの対処等における責任を明確にするため、あらかじめセキュリティ責任者を決定しましょう。
アクセス制御機能の付加
利用者に応じた適切なアクセス制限を行いましょう。
不必要なサービスの停止
使っていないサービス(サーバの機能)は停止しましょう。
裏口の有無の確認
侵入者が裏口(不正なアカウント等)を設けていないかチェックしましょう。
ポートの確認
サーバが不要なポートを開放していないか(ネットワーク経由で利用可能としていないか)確認しましょう。不要なポートは、利用停止しましょう。
セキュリティホールの解消
サーバで使用しているソフトウェアが古いものだとセキュリティホールが存在する可能性が高くなります。関連情報を確認の上バッチを充てて、セキュリティホールを解消しましょう。
外部との接続の制限
ファイアウォールの設置
外部ネットワークと内部ネットワークの間には、ファイアウォールを設置するとともに、アクセス制限ルールを適切に設定しましょう。
リモートアクセスの適切な管理
ダイアルアップ等により、リモートアクセスさせる場合には、ネットワークへのアクセス箇所、接続ID等を適切に管理しましょう。
データのバックアップ
システムデータ及びユーザデータのバックアップ
万が一、システムダウンしたときも容易に復旧できるよう、システムデータ及びユーザデータのバックアップを定期的に実施しましょう。
ログの安全な保存及び監査
ログの保存
ネットワーク上の各サーバについて、ログを取得しましょう。取得したログには侵入者の痕跡が残っている可能性がありますので定期的に保存しましょう。
また、ログの改ざん・消去のためには、バックアップが有効です。
取得したログの監査
取得したログを定期的にチェックするようにしましょう。気がつかないうちにシステムに侵入されたり、他のサイトへの踏み台にされているかもしれません。
不正アクセス検知
不正アクセス検知装置の設定
侵入者がいた場合に自動的にメールでそれを通知したり、システムを強制的に切断する不正アクセス検知装置を必要に応じて導入しましょう。