【デジタル署名とは】
本日は、デジタル署名について書きます。
デジタル署名とは、送信者が送信したデータが勝手に改ざんされていないことを保証するための、公開鍵を使った署名方法です。
セキュリティの3大要素の1つである「完全性」を保証するためのものになります。
下の図に基づいてご説明します。
送信者と受信者に分けて考えます。
【送信者】
・生成したハッシュ値に対し、送信者の秘密鍵を使って暗号化する。
・暗号化したものがデジタル署名であり、元の文書とデジタル署名を受信者に対して送信する。
【受信者】
・受信した元の文書から、ハッシュ関数を使いハッシュ値を生成する。
・受信したデジタル署名を、送信者の公開鍵を使って復号し、暗号化される前のハッシュ値を求める。
・受信者側で生成したハッシュ値と、復号で得たハッシュ値を突き合わせ、差異がなければデータの改ざんはないと判断できる。
今回は以上です。
ISMS（情報セキュリティマネジメントシステム）とは
1.ISMS（情報セキュリティマネジメントシステム）とは
ISO/IEC 27001として標準化された、情報セキュリティの国際規格です。
Information Security Management Systemの頭文字をとって、ISMSです。
ISOとは、スイスジュネーブに本部がある非政府組織の国際標準化機構です。
このISMSが保護する対象は、組織のすべての情報です。
企業がセキュリティの資格を資格する際に、ISMSとプライバシーマークのどちらを
取得するかで悩む場面があるそうで、
両方取得したり、目的に沿っているほうを取得することになるそうです。
下記に、ISMSとプライバシーマークの違いを表にしています。
|*項目|*ISMS|*プライバシーマーク|
|認証の対象|組織の情報全般|個人情報|
|国内規格|JIS Q 27001|JIS Q 15001|
比較したプライバシーマークが保護する対象は、「個人情報」に限定されています。
2.そもそもなぜISMSが必要なのか
セキュリティ対策とは、セキュリティ製品を入れて終わりではなく、
継続してマネジメントしなければならず、
そのためにはPDCAサイクルを実践する必要があります。
策定（PLAN）
例えば、職場PCで作成した重要なデータを、自宅の個人PCに送信して、持ち出さないようにルールを設けたとします。
導入・運用（DO）
策定したルールを社員に周知します。
監視・見直し（CHECK)
ルールがきちんと守られているかを監視します。
維持・改善（ACT）
守られていない場合、社外へのファイル送信には上司の承認がなければ
送信されないような技術的な対策を適用します。
組織が、上記のようなプロセスを構築し、
それがJIS Q 27001に適合するかを評価する制度としてISMS適合性評価制度があり、
適合していると評価された場合、ISMS認証されます。
今回は以上です。
セキュリティの３要素と拡張要素
今回は、セキュリティを確保するために必要な要素を整理したいと思います。
【セキュリティの３要素】
・機密性
・完全性
・可用性
■機密性
機密性とは、限られた人しか情報へアクセスできない、見られないような仕組みを言います。
例えば、ファイルへのアクセス権を制限したり、データを暗号化するなどの対策例があります。
■完全性
完全性とは、データに勝手に手を加えられないような仕組みを構築し、データが「完全」であることを保証することです。
例えば、WEBページの改ざん、インターネットバンキングの残高の改ざんされないようなセキュリティを強化したり、改ざんを検知する仕組みの導入などが対策例としてあります。
■可用性
可用性とは、必要な時にデータにアクセスできることを保証することを言います。
セキュリティを強化しすぎて、本当にアクセスが必要な人まで使えなくなるというのは、可用性を確保できているとは言えません。
対策例としては、WEBサーバーでファイルを公開している企業などは、サーバーへのDoS攻撃を防ぐ仕組みを導入するなどがあります。
上記が、基本的な３つの要素でした。
下記は、上記３つに加えて理解が必要な拡張要素です。
【セキュリティの拡張要素】
■信頼性
信頼性とは、システムが正しく動作している（信頼できる）状態を確保することです。
■責任追跡性
責任追跡性とは、利用者がシステムにアクセスしたかの記録を残すことです。
誰が、いつ、どのシステムにアクセスしたかをわかるようにします。
■真正性
真正性とは、本当に本人か？を認証することです。
例えば、ある企業の拠点間で暗号化された通信を導入していても、認証を適切にしないと攻撃者が通信できてしまう可能性があります。
■否認防止性
これは、後から「やっていません」と否認する人に対し、システムを利用したという事実を証明可能にすることです。
会社で従業員が退勤した後、こっそりオフィスに戻り、データを抜き出したとします。
その際、自分のIDカードや生態認証で入室していれば、その人が入室したという証明になります。こうして否認を防止することを言います。
FISMAとNISTの関係
FISMAとは、米国連邦政府の情報セキュリティに関する法律です。
このFISMAは、各連邦政府機関が情報システムのセキュリティを強化することを義務付けています。NISTに対しては、「連邦政府がFISMAに準拠するための支援をしなさい」と義務付けています。
FISMAの対象となるのは、連邦政府機関と、連邦政府機関から業務委託を受ける民間の事業者です。
NISTは、米国の連邦情報システムのセキュリティを強化するための標準やガイドラインを作っている政府機関で、
FISMAに準拠することを目的とした「FISMA導入プロジェクト」を実施し、その中で、
FISMA関連のセキュリティ規格（FIPS）およびガイドライン(SPシリーズ）の開発・策定を行いました。
※FISMA：この略称は、2002年制定の「連邦情報セキュリティマネジメント法（Federal Information Security Management Act）」と、その改正法である2014年制定の「連邦情報セキュリティ近代化法（Federal Information Security Modernization Act）」の双方を指すそうです。
ID認識型プロキシ（IAP）
ID認識型プロキシ（IAP）とは、昨今のリモートワークの急増に伴って
VPNに代わる製品・サービスとして近年注目を集めています。
IAPとは、Identity Aware Proxyの頭文字をとったものです。
これは、エンドポイントを保護しつつクラウドやオンプレミスへアクセスすることを実現します。
IAPを経由することで、ユーザーが、オンプレ/クラウドどちらの社内システムにも同じようにアクセスできます。
アクセスする際には、IAPがIAMと連携を取り、認証を代行したうえで、システムへのアクセスをつなぐ、といった役割を持ちます。
オンプレミス側には、「コネクター」を導入することで、
穴あけをせずにIAPからアクセスできるようになります。
では、VPNとの違いが複数あるので、以下ご説明します。
①
VPNとは、社内ネットワークへつなぐもので、一度破られると、同一ネットワークはすべてアクセスされてしまいます。
つまり、ラテラルムーブメントを許すということになります。
それに対してIAPは、アプリケーションごとに制御しているため、
IAPが破られても、該当アプリケーションへのみアクセス可能で、その他のアプリケーションへは攻撃者はアクセスできません。
②
VPNは、接続先への穴あけ作業が必要です。
それに対し、IAPは接続先にコネクターを導入するだけで、アクセス可能になります。
ここのポイントは、設定ミス等でセキュリティホールを作るリスクが、IAPにはないため、よりセキュリティレベルが高いといえます。
③
VPNは、回線業者やハードウェアとの調整が必要になります。
これに対しIAPは、クラウドサービスなので、
アクセス負荷を考慮する必要なく、柔軟にリソースを管理できます。
おもなIAP製品には、
・Akamai「Enterprise Application Access」
・Google Cloud「Identity-Aware Proxy」
などがあります。
SWG（セキュアWEBゲートウェイ）とは
SWG（セキュアWEBゲートウェイ）とは、
ユーザーが、外のインターネットへ接続するときに、
クライアントとインターネットの間にあるものを指します。
SWGでできることは、大きく３つあります。
一つ目は、WEBフィルタリングです。
ユーざーがインターネットへアクセスするときに、危険なサイトにつなごうとしていたら、通信を遮断する。
二つ目は、アンチウイルスです。
怪しいサイトを見ていて、不審な動きをするJavaScript やファイルを検知したら、
ファイルの中をチェックしたり、ダウンロードをやめる、といった機能を持ちます。
三つ目は、情報漏洩防止です（DLP）
許可しないサービスに対してのファイルのアップロードを禁止するものです。
またSWGには、負荷分散という特徴もあり、
従来の境界型セキュリティモデルのように、プロキシへのアクセス集中が軽減されるというメリットがあります。
