中小企業のための Security by Design WG 活動紹介 NPO 日本ネットワークセキュリティ協会西日本支部株式会社インターネットイニシアティブ大室光正

複雑化していく成果物様々な脅威や手法を検討する毎に複雑化扱う情報に関する質問分類した対象毎にセキュリティ要件を整理収集する利用者に関する質問分類した利用者毎の回答大項目小項目質問の説明 A. 利用者 A-1. 利用者属性質問の選択肢要件項目優先度(A>>C) システムを利用するために実 1.1.1 通信制御 A 名登録は必要か (匿名/非匿 1.1.2 ネットワーク分離 1.1.7 リモートアクセス 1.2.3 アクセス認証 A 名) また利用に際して申請及び許可は必要か(特定/不特定) 特定許可された利用者のみ利用可能 1.2.4 アクセス認可要件例 1.1 攻撃侵入口の最小化(入口対策) 非匿名かつ不特定 1.1.1 通信制御 1.1.1 通信制御 FW導入によるトラフィックフィルタリング UTM導入によるトラフィックフィルタリング 1.1.2 ネットワーク分離のデータあり匿名かつ不特定 1.1.2 ネットワーク分離 1.1.3 マルウェア検知利用者の識別不要 1.1.4 侵入検知利用者数はどの程度の人数が想定されているか 1.1.5 スパムフィルタ 100人以下 1.1.6 アンチウイルス 1.1.7 リモートアクセス 100~1000人程度 1.2 多層防御(出口対策) 1.1.8 外部媒体/不要ソフトウェアの利用制限 1.2.1 URLフィルタリング小項目質問の説明. 情報 -1. 外部公開の可否関係者外秘の情報か公開情報か公開数万人想定 1.2.3 アクセス認証 1.2.4 アクセス認可利用頻度がどの程度のシステムか毎月程度 1.2.5 監査毎週程度 1.3 監視毎日 1.3.1 内部監視 1.3.2 外部監視 1.4 運用 1.4.1 サービスレベル目標 1.4.2 脆弱性対応パッチマネジメント 1.4.3 障害対応要件の説明 OS標準機能の利用 FW等 1.2.3 アクセス認証 VLANによるNW分離 1.2.4 アクセス認可外部からアクセスのあるシステムのクラウド移行 WAF UTMの利用 1.1.1 通信制御リバースProxyサービスの利用外部からのアクセスのあるシステムのクラウド移行 1.1.2 ネットワーク分離 IDS/IPSの導入 1.3.1 内部監視外部からアクセスのあるシステムのクラウド移行 Anti-Spamソフトウェアの利用 1.3.2 外部監視メールゲートウェイ等のクラウドサービスの利用 1.4.1 サービスレベル目標 Anti-Virtusソフトウェアの利用メールゲートウェイ等のクラウドサービスの利用 1.4.3 障害対応 VPNの利用 1.3.1 内部監視接続元の制限 1.3.2 外部監視デバイス制御ソフトウェアの利用ディレクトリサービスのポリシー設定(AD等) 1.4.1 サービスレベル目標 Webゲートウェイ等のクラウドサービスの利用 1.4.3 障害対応 Proxyサーバの導入 OS標準機能の利用(bitlocker等) 1.3.1 内部監視ファイル暗号化ソフトの利用 1.3.2 外部監視 ID/パスワードによる利用者特定ディレクトリサービス利用による利用者特定(AD等) 1.4.1 サービスレベル目標多要素認証の利用 1.4.3 障害対応重要情報へのアクセス権の設定ディレクトリサービス利用によるポリシー設定(AD等) 1.4.1 サービスレベル目標外部から内部へのアクセスログの保管内部から外部へのアクセスログの保管 1.4.1 サービスレベル目標重要システムへの特権ユーザログインの記録セキュリティ機器のシグネチャ更新失敗検知 1.4.1 サービスレベル目標セキュリティ機器のアラート設定によるインシデント検知プロセス死活監視機器死活監視(ping) 通信ポート監視(tcp/udp) サービス提供状況監視(http等) サービス正常性の定義サービスレベルの定義セキュリティ機器シグネチャ更新失敗時の復旧手順の準備ソフトウェアアップデート自動更新機能の利用脆弱性情報の共有方法対象定義プロセス自動起動設定の利用サービス正常確認手順の準備サービス停止時の復旧手順の準備インシデント発生時の対応フロー準備バックアップ/リカバリ手順の準備 Copyright (c) 2000-2019 質問の選択肢非公開 -2. 情報へのアクセス権限利用者がどの情報を読み取り/ 書き込みできるか C -3. 情報を送受信する方法その情報はどのような方法で Web 送受信されるか A ネットワークを内部と外部に分離しトラフィックを制御するネットワークを内部と外部に分離しトラフィックを制御するネットワーク内部のシステム毎に通信ポリシーを設定する内部ネットワークを重要度や通信ポリシーに応じて分離する外部ネットワークを通信ポリシーに応じてアウトソースするメールファイル転送その他コマンドライン等 A 物理媒体経由(US等) -3. 保存期間その情報はどの程度の期間システム内に保持する必要が C あるか C 数年単位 -4. 記録媒体 C 許可された利用者のみシステムを利用できるようにし盗聴を防止する許可された接続元のみシステムを利用できるようにするキャッシュのみ数カ月単位 C その情報はシステムで利用される際どこに保存されているか -5. 漏洩時の影響度可搬媒体(USメモリ等) い利用者に漏洩した場合の影ストレージ(HDD等) その情報が参照する権限の無金銭被害大数十万円以上響はどの程度か様々な脅威や攻撃手法を検討する毎に内容が増えていく目的(簡略化)を見失っている 1.2.2 ファイル暗号化 A-3. 一人当たり利用頻度 ③ ③ ③ ③ ③ ③ ③ ④ ③ ④ ⑤ 大項目 A 1.2.5 監査セキュリティ要件項目利用許可は不要利用者固有 A-2. 利用者数セキュリティ要件金銭被害小数万円以下金銭被害なし利用者の識別確認を行い権限のない第三者の利用を防止する利用者の識別確認を行い権限のない第三者の利用を防止する A 認証に複数の要素を利用し利用者を識別確認する精度を向上する利用者の役割毎に利用できるシステム等を制限する利用者の役割毎に利用できるシステム等を制限する C 誰が外部から内部へ接続したかを追跡可能な状態にする誰が内部から外部へ接続したかを追跡可能な状態にする誰が特権ユーザを利用したか追跡可能な状態にするシステムの内部的なふるまいを確認/記録し異常に気付ける状態にする A システムの内部的なふるまいを確認/記録し異常に気付ける状態にするシステムの内部的なふるまいを確認/記録し異常に気付ける状態にするシステムの外部から見たふるまいを確認/記録し異常に気付ける状態にするシステムの外部から見たふるまいを確認/記録し異常に気付ける状態にするシステムの外部から見たふるまいを確認/記録し異常に気付ける状態にする何ができればシステムが正常であるかを事前に定義するどの程度の停止を許容するかを事前に定義するシグネチャ/パターンアップデート失敗を識別した場合の対応手順を用意するソフトウェア更新時の影響範囲の調査と自動更新の実行を検討する脆弱性情報の調査範囲と確認する対象を事前に定義する OS等に用意された自動復旧機能の利用を検討する定義に従いサービスが正常かどうかを確認できる手順を用意する監視アラートに対応する復旧手順を用意するインシデント発生時の体制連絡方法及び各組織の対応を用意するバックアップからデータ/システムをリカバリする手順を用意する NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会 -6. 改ざん時の影響度回復不能なプライバシー侵害回復可能なプライバシー侵害プライバシー侵害なしその情報の内容を不正に改ざんされた場合の影響はどの程度か金銭被害大数十万円以上金銭被害小数万円以下金銭被害なし回復不能なプライバシー侵害回復可能なプライバシー侵害プライバシー侵害なし Page 12

例 : 毎年発表される新しい脅威 IPA 情報セキュリティ 10 大脅威 2019 昨年順位個人順位組織昨年順位 1 位クレジットカード情報の不正利用 1 位標的型攻撃による被害 1 位 1 位フィッシングによる個人情報等の詐取 2 位ビジネスメール詐欺による被害 3 位 4 位不正アプリによるスマートフォン利用者の被害 3 位ランサムウェアによる被害 2 位 NEW メールや SNS を使った脅迫詐欺の手口による金銭要求 4 位サプライチェーンの弱点を悪用した攻撃の高まり NEW 3 位ネット上の誹謗中傷デマ 5 位内部不正による情報漏えい 8 位 10 位偽警告によるインターネット詐欺 6 位サービス妨害攻撃によるサービスの停止 9 位 1 位インターネットバンキングの不正利用 7 位インターネットサービスからの個人情報の窃取 6 位 5 位インターネットサービスへの不正ログイン 8 位 IoT 機器の脆弱性の顕在化 7 位 2 位ランサムウェアによる被害 9 位脆弱性対策情報の公開に伴う悪用増加 4 位 9 位 IoT 機器の不適切な管理 10 位不注意による情報漏えい 12 位 Copyright (c) 2000-2019 NPO 日本ネットワークセキュリティ協会 Page 13