対策

4-1人的対策

店長の手を止めたのは、ソフトでも鍵でもなく、壁の紙1枚でした。このように、人の判断と行動に働きかける対策を人的セキュリティ対策と呼びます。技術的対策と物理的対策が仕組みで脅威を止めるのに対し、人的対策は、人が自分で立ち止まれるようにします。教育、規則の整備、訓練がここに入ります。

人的対策が相手にするのは、外から来る攻撃だけではありません。従業員や元従業員が、持っている権限を使って情報を持ち出す内部不正も、人の側の問題です。IPA（情報処理推進機構）は、内部不正を防ぐための考え方と対策の例を組織における内部不正防止ガイドラインにまとめています。そこでは「不正をやりにくくする」「やれば見つかるようにする」といった原則を立て、権限の与え方や記録の残し方を具体的に示しています。

休憩室の貼り紙は、情報セキュリティ啓発の一つです。啓発は、教育や情報の発信を通じて、一人ひとりのセキュリティへの意識を高める活動を指します。研修のような教育のほかに、手順書やパンフレットを配る資料配付と、ポスターや社内のネットワーク、動画を使って呼びかけるメディア活用が代表的な方法で、ミナトの貼り紙はメディア活用にあたります。

ただ、知っていることと、そのときに手が止まることは別です。そこで、実際の場面をまねて体を動かしてみる情報セキュリティ訓練を行います。よく行われるのが標的型メールに関する訓練で、攻撃メールに似せた訓練用のメールを従業員に送り、添付を開いたりリンクを押したりしないか、開いてしまったときにすぐ報告できるかを確かめます。開いた人を探し出して責めるためのものではありません。責められると分かっていれば、次に開いてしまった人は黙っているでしょう。

もっと大がかりなのがレッドチーム演習です。攻撃者の役を受け持つチーム（レッドチーム）が、本物の攻撃者と同じ考え方で組織への侵入を試み、守る側がそれに気づいて対応できるかを確かめます。メールだけでなく、システムの弱点や建物への立ち入りまで含めて試すことがあります。

人的対策は、一度やれば終わりにはなりません。人は入れ替わり、攻撃メールの文面も毎月のように変わります。貼り紙を書き換え、訓練を繰り返して、はじめてこの列の守りが保たれます。

4-2技術的対策

ソフトウェアや機器の働きで脅威を止めるのが、技術的セキュリティ対策です。こむぎ堂でいえば、レジのパソコン、通販と予約のサーバ、店のWi-Fiとルータ、店長とミナトのスマートフォンが守る対象になります。守りを置く場所は、外から入ってくる所、中で動いている所、外へ出ていく所に分けると整理できます。そして、それでも破られたときのために、元に戻す手段を別に用意します。

あの晩の管理画面に記録されていたのは、許可のない誰かが店のシステムを使おうとした跡です。こうした使い方を防ぐ技術的対策をまとめて不正アクセス対策と呼び、ログインの仕組みを固めること、使える範囲を限ること、記録を残して監視することが含まれます。

入ってくるファイルを調べる

ログインの失敗とは別の道から入ってくる脅威もあります。メールの添付やダウンロードしたファイルにまぎれたマルウェアです。これを見つけて取り除くのがウイルス対策ソフトで、名前に「ウイルス」とありますが、ワームやトロイの木馬、ランサムウェアなど、マルウェア全般を相手にします。

ウイルス対策ソフトは、すでに知られているマルウェアの特徴を集めたデータと、検査するファイルを照らし合わせます。このデータをウイルス定義ファイル（パターンファイル）と呼びます。新しいマルウェアは毎日のように現れるので、定義ファイルが古いままでは新しいものを見つけられません。多くのソフトは、定義ファイルを自動で更新するようになっています。

いつ検査するかも問題です。ファイルを開く、保存する、ダウンロードするといった操作のたびに自動で検査が行われるよう、ソフトを常にメモリに置いて動かしておく方式を常駐検査（リアルタイムスキャン）といいます。週に一度、ディスク全体を検査するだけでは、そのあいだに開いたファイルを見逃してしまいます。

ここまでの守りをまとめてマルウェア対策と呼びます。その基本は、端末やサーバに対策ソフトを入れておくマルウェア対策ソフトの導入と、ソフトが照らし合わせに使うデータを最新に保つマルウェア定義ファイルの更新の2つです。ソフトを入れても定義ファイルが古ければ、新しいマルウェアは見つけられません。

通す通信を選ぶ

あの晩のログインの失敗は、インターネットの側から通販サーバに向けて届いていました。インターネットと店の中のネットワークの境目で、通信を通すか止めるかを決めるのがファイアウォールです。送り元と送り先のアドレスやポート番号などを規則に照らし、許した通信だけを通します。家庭や小さな店のルータにも、たいていこの機能が組み込まれています。

パソコン1台ずつに入れるファイアウォールもあります。これをパーソナルファイアウォールといい、その端末に出入りする通信を監視します。外のWi-Fiにつないだノートパソコンのように、店のファイアウォールの内側にいない端末を守るときに役立ちます。

通すか止めるかの規則の書き方には、2つの考え方があります。通してよい相手だけを並べ、それ以外はすべて止めるのが許可リスト（ホワイトリスト、パスリスト）です。止めたい相手だけを並べ、それ以外は通すのが拒否リスト（ブラックリスト、ブロックリスト）です。許可リストは知らない相手をまとめて止められる代わりに、必要な相手を書き漏らすと仕事が止まります。拒否リストは作るのが手軽ですが、まだリストに載っていない新しい攻撃元は通してしまいます。

アドレスやポート番号で通すか止めるかを決めるファイアウォールは、通信の中身までは調べません。予約フォームの入力欄にデータベースを操る命令をまぎれ込ませるSQLインジェクションのような攻撃は、ふつうのWebの通信と同じ道を通ってきます。そこで、Webアプリケーションに届く通信の中身を検査し、攻撃のパターンを見つけて止めるWAF（Web Application Firewall）を、Webサーバの手前に置きます。

電話回線を使って外から社内のシステムにつないでいたころには、コールバックという対策が使われました。外から接続の求めを受けたら、いったん回線を切り、あらかじめ登録してある番号へシステムの側からかけ直します。登録した場所からしかつながらないので、IDとパスワードを盗まれても、別の場所からは入れません。

通販サーバのように外から見えないと困るサーバと、顧客の名簿のように外から見えては困るデータを、同じネットワークに置くのは危険です。そこで、インターネットと内部のネットワークのあいだに、ファイアウォールで区切った中間の区域を設け、公開するサーバだけをそこに置きます。この区域をDMZ（非武装地帯）と呼びます。公開サーバが乗っ取られても、内部のネットワークへ進むには、もう一枚の壁を越えなければなりません。

外から持ち込まれた端末を、いきなり内部のネットワークにつながせない仕組みが検疫ネットワークです。つなごうとした端末を、まず隔離した区画に入れ、OSの更新やマルウェア対策ソフトの定義ファイルが最新かを調べます。条件を満たした端末だけを内部につなぎ、満たさない端末は、更新を済ませるまで隔離したままにします。

中に入れたあとも、誰が何を使えるかは分けておきます。利用者やプログラムが情報資産を使える範囲を、権限に応じて限るのがアクセス制御です。その具体的な作業がアクセス権の設定で、ファイルやフォルダごとに、誰が読めて、誰が書き換えられて、誰が実行できるかを決めます。アルバイトは予約の一覧を読めるが、顧客名簿の書き出しはできない、といった具合です。

入られたことに気づく

ファイアウォールを置いても、許した通信の中に攻撃がまぎれていれば、そのまま通ってしまいます。そこで、通信やログを監視し、攻撃らしいものを見つけたら管理者に知らせる仕組みを置きます。これを侵入検知といい、そのためのシステムをIDS（Intrusion Detection System：侵入検知システム）と呼びます。IDSは知らせるところまでを受け持ち、通信を止めはしません。

見つけるだけでなく、その場で通信を止めるのが侵入防止で、そのためのシステムをIPS（Intrusion Prevention System：侵入防止システム）と呼びます。IDSが知らせるだけなのに対し、IPSは不正な通信の遮断まで自動で行います。

こむぎ堂の場合、通販サーバに残ったログを相棒と一緒にたどると、数百回のログインはすべて失敗していました。入られなかったと言い切れたのは、記録が残っていて、それを読んだからです。ログが無ければ、「たぶん大丈夫」としか言えなかったでしょう。

監視する場所は、ネットワークだけではありません。パソコンやサーバ、スマートフォンのような端末（エンドポイント）の上での動きを記録し、侵入の跡を見つけて、調べる・ネットワークから切り離すといった対応を助ける仕組みをEDR（Endpoint Detection and Response）といいます。ウイルス対策ソフトがマルウェアを入れないことに力を入れるのに対し、EDRは、入られたあとに早く気づいて手を打つことに力を入れます。

機器が増えると、ログはファイアウォール、サーバ、端末とばらばらに残ります。それらを1か所に集めて照らし合わせ、別々に見ていては分からない攻撃の流れを見つけるのがSIEM（Security Information and Event Management）です。ファイアウォールが通した通信と、その数分後のサーバへの不審なログインが同じ送り元から来ていた、といったつながりが見えるようになります。

脆弱性を直し、起動から固める

攻撃の多くは、ソフトウェアの作りの弱点、つまり脆弱性を入り口にします。見つかった脆弱性を直すために開発元が配る修正用のプログラムをパッチファイル（修正プログラム）といい、これを当てることを脆弱性修正プログラムの適用（セキュリティパッチの適用）といいます。修正が公開されると、攻撃者もそれを手がかりに、どこに弱点があったかを調べられます。公開から適用までの日数が長いほど、狙われる期間も長くなります。

パッチを当てるのは、その場かぎりの作業です。どの機器でどのソフトのどの版が動いているかを把握し、新しい脆弱性の情報を集め、急ぐものから順に直し続ける活動の全体を脆弱性管理といいます。いちばん基本になるのが、OSを最新の状態に保つOSアップデートです。

OSが動き出す前の段階にも、守りが要ります。電源を入れてからOSが起動するまでのあいだに、起動用のプログラムが不正なものにすり替えられていると、OSの上で動くウイルス対策ソフトからは見つけにくくなります。セキュアブートは、起動の途中で読み込むプログラムの電子署名を確かめ、改ざんされたものや署名の無いものを動かさない仕組みです。パソコンの起動を受け持つUEFIというファームウェアの機能として備わっています。

TPM（Trusted Platform Module）は、パソコンの基板に載せたセキュリティ用のチップです。暗号の鍵を作って中にしまい、外へ取り出させないように作られています。ディスクを暗号化する機能の鍵をTPMにしまっておけば、ディスクだけを抜き取られても、中身を読まれにくくなります。

ディスクそのものに鍵をかける方法もあります。ハードディスクの装置に設定するハードディスクパスワードは、正しく入力しないとディスクの読み書きができなくなるパスワードです。パスワードはパソコンの側ではなくディスクの側に記録されるので、盗んだディスクを別のパソコンにつないでも、そのままでは読み出せません。ただし、多くはデータそのものを暗号化する仕組みではないので、ディスクの暗号化と組み合わせると守りが厚くなります。

情報を外へ出さない

ここまでの守りは、攻撃を中へ入れないためのものでした。反対向きの守りもあります。顧客名簿のような機密情報が、メールの添付やUSBメモリへのコピー、Webへのアップロードで外へ出ていくのを監視して止めるのがDLP（Data Loss Prevention）です。守りたい情報の特徴をあらかじめ登録しておき、それを含むデータの送信や書き出しを止めたり、管理者に知らせたりします。

出ていったことを後から示せるようにする技術もあります。電子透かしは、画像や音声、文書などのデジタルデータに、作った人や配った相手の情報を埋め込む技術です。見える形で入れるものもありますが、多くは目や耳では気づきにくい形で埋め込みます。店で撮ったパンの写真が無断で使われたとき、埋め込んだ情報を取り出せば、店の写真であることを示せます。

スマートフォンやタブレットは、持ち歩くぶん、なくしやすい機器です。組織が配った携帯端末をまとめて設定し、なくしたときは遠くから画面をロックしたり、中のデータを消したりできるようにする仕組みをMDM（Mobile Device Management）といいます。予約の通知を受ける店のスマートフォンをMDMで管理しておけば、置き忘れても、拾った人に顧客の名前を見られる前に消去できます。

メールとWebも、情報の出入り口です。アクセス先のURLを危険なサイトの一覧と照らして止めるのがURLフィルタリング（Webフィルタリング）、ページの中の言葉や画像などの内容を調べて止めるのがコンテンツフィルタリングです。URLフィルタリングは一覧に載っていない新しいサイトを止められず、コンテンツフィルタリングはそこを中身で補います。

壊れても戻せる

冒頭の文具店のように、ランサムウェアに暗号化されると、パソコンの中のデータは開けなくなります。入口と中の守りをどれだけ固めても、すり抜けられる見込みはゼロになりません。最後の守りは、データの写しを別の所に持っておき、壊されても元に戻せるようにしておくことです。こむぎ堂も、予約の台帳と通販の注文の記録を、毎晩どこかへ写しておくことにしました。

この守りを、ランサムウェア対策としてまとめます。中心はデータのバックアップですが、ランサムウェアは、つながっているバックアップの置き場所まで探して暗号化することがあります。パソコンにつなぎっぱなしの外付けディスクは、元のデータと一緒に暗号化されかねません。

そこで、置き方の目安として3-2-1ルールが使われます。データを3つ持つ（元のデータとコピー2つ）、2種類以上の異なる媒体に保存する、そのうち1つは別の場所に置く、の3つです。こむぎ堂なら、店のパソコンの元データ、ふだんは外しておく外付けディスク、クラウドのストレージ、という組み合わせになります。

写しそのものを書き換えられないようにする方法もあります。WORM（Write Once Read Many）は、一度書き込んだデータを、読み出せても変更や削除はできないようにする記録の方式です。この性質を使い、決めた期間は管理者の権限でもバックアップを変更・削除できないようにしたものをイミュータブルバックアップといいます。攻撃者に管理者のアカウントを乗っ取られても、その期間のバックアップは消されません。

起きたあとに調べる

それでも入られたときは、何が起きたかを確かめ、同じ手口で二度と入られないようにします。どこから入り、何に触れ、何を持ち出したかが分からなければ、直すべき弱点も、お客さんに知らせる中身も決められません。

不正アクセスや情報漏えいが起きたとき、ログやディスクの中身などの電子的な記録を集めて保存し、分析して、何が起きたかを明らかにする技術と手順をデジタルフォレンジックスといいます。調べた結果は、警察への届け出や裁判で証拠として使われることがあります。

店の外へ広がる守り

こむぎ堂の守りは、店の中の機器だけでは終わりません。通販のサイトは借りているクラウドの上で動き、オーブンの温度はネットにつながったセンサで見ています。守る対象は、店の外にも、パソコンではない機器にも広がっています。

借りているクラウドのサービスにも、使う側が受け持つ守りがあります。クラウドサービスのセキュリティでは、事業者が守る範囲と利用者が守る範囲を確かめたうえで、利用者の側の設定、特にデータの公開範囲とアカウントの管理を誤らないことが中心になります。保管場所を「誰でも見られる」設定にしたまま顧客の情報を置いてしまう事故は、攻撃を受けなくても起きます。

4-3物理的対策

ネットワークやソフトの守りをどれだけ固めても、機器そのものが壊れたり持ち去られたりすれば、情報は失われます。建物や部屋、機器に対して、物理的な手段で行う対策を物理的セキュリティ対策といいます。相手にするのは、侵入や盗難のような人の行為と、地震・火災・水害・落雷・停電のような災害の両方です。

止めない、失わない

物理的対策がまず守りたいのは、システムが故障せずに動き続けることです。この性質をReliability（信頼性）といい、故障から次の故障までの平均の時間（MTBF）が長いほど、信頼性が高いと考えます。雷の夕方のサーバは、故障ではなく停電で止まりましたが、止まれば予約が消えるという点では同じです。

雷の夕方に起きたのは、わずか2秒の停電でした。停電したときに、内蔵のバッテリから電気を送り続ける装置をUPS（無停電電源装置）といいます。長い時間はもちませんが、そのあいだにサーバを正しい手順で止めれば、書きかけのデータが壊れるのを防げます。こむぎ堂のサーバにUPSがあれば、消えた1件の予約は残っていたはずです。

ただし、店ごと火事にあえば、店の中のどの機器も助かりません。災害に備えて、データの写しを離れた場所に保管しておくのが遠隔バックアップです。こむぎ堂なら、遠くのデータセンタで動くクラウドのストレージが置き場所になります。

入る人を絞る

サーバの棚に誰でも手が届いたのは、守る区域を決めていなかったからです。建物の中を、扱う情報の大事さに応じて区域に分け、区域ごとに入れる人を決めることをゾーニングといいます。こむぎ堂なら、お客さんが入る売り場、従業員の作業場、サーバを置く場所の3つに分けられます。いちばん奥の区域にあたるのが、サーバを集めて置き、出入りや温度を管理するサーバルームです。小さな店では部屋を用意できなくても、鍵のかかるラックを1台置けば、同じ考え方で守れます。

区域への出入りを、ICカードや暗証番号で制限し、誰がいつ出入りしたかを記録するのが入退室管理です。部屋や保管庫、ラックの鍵を、誰が持ち、いつ使ったかまで含めて管理するのが施錠管理で、合い鍵が何本あるか分からない状態では、鍵をかけても守りになりません。監視カメラは、不正な立ち入りを記録するとともに、見られていると知らせることで、立ち入りそのものを思いとどまらせます。

入退室管理には、すり抜けを防ぐ仕組みがあります。アンチパスバックは、入室の記録が無い人の退室を認めず、同じカードで続けて2回入室することも認めない仕組みです。カードを使った人のすぐ後ろについて入る共連れをすると、入室の記録が無いので出られません。入ったあとでカードを外の人に渡すと、同じカードの2回目の入室になるので入れません。インターロックは、2つの扉のうち片方が開いているあいだは、もう片方が開かないようにする仕組みです。扉と扉のあいだの小部屋に、重さを量る床やカメラを組み合わせて1人ずつしか入れないようにすれば、共連れそのものを防ぎやすくなります。

机の上と、手放す機器

情報は、入り口を通らなくても、机の上から漏れます。席を離れるときに書類を机に出したままにしない、パソコンの画面をロックして見えなくする、という決まりをクリアデスク・クリアスクリーンといいます。店の外で画面を開くときは、画面が見える角度を狭くするのぞき見防止フィルムを貼っておけば、斜めや横からのぞかれても中身を読まれにくくなります。真後ろからの肩越しののぞき見までは防げません。

機器ごと持ち去られるのを防ぐには、ワイヤを使います。ノートパソコンを机や柱につないで鍵をかけておく器具を、セキュリティケーブル（セキュリティワイヤ）といいます。

機器を手放すときにも、中のデータは残っています。ファイルを消してごみ箱を空にしても、ディスク上のデータはすぐには消えず、専用のソフトで読み出せることがあります。ATAという規格に沿ったハードディスクやSSDの多くには、装置の内部でデータを消去するSecure Eraseという命令が用意されています。磁気で記録するハードディスクや磁気テープなら、強い磁気をかけて記録を壊す磁気消去も使えます。ただし、フラッシュメモリでできたSSDやUSBメモリのデータは、磁気消去では消せません。