前号の｢Webサイトを利用した攻撃の対策｣に引き続き、今回は、もう少し広い範囲となりますネットワークセキュリティ対策を御紹介します。

IPA（独立行政法人情報処理推進機構）から、2009年版の情報セキュリティ白書が公開され「10大脅威 攻撃手法の『多様化』が進む」では、安全なインターネットの利用における対策が必要な対象者を三分類にして、以下のとおり脅威順に挙げられています（現在は、2010年版「10大脅威あぶり出される組織の弱点！」が公開されています。）。

ＤＮＳサーバの情報が偽の情報に書き換えられると、正しいメールアドレスを指定しても、偽のメールサーバに　　誘導されてしまいます。

攻撃対象を特定の組織や人に限定して、巧妙に人間の心理・行動の隙を突き情報を不正に取得する攻撃です。

毎日のように個人情報や技術情報といった機密情報などの各種情報漏えい事件・事故が話題になっています。

ネットワークに接続されたＰＣがメールやWebアクセスして感染するほか、ソフトウェアの脆弱性を利用した、ＰＤＦファイルやWordファイルなどによる感染、USBメモリなど外部媒体を介する感染など多様化しています。

脆弱な暗号方式を利用している場合、通信内容を盗聴されたり、アクセスポイントを不正利用されたりします。

広告やフィッシング詐欺、ウイルス感染などの目的で無差別かつ大量に送信され、受信者本来のメールの利用を妨げられます。

複数のサービスに同一のユーザＩＤやパスワードを設定する、いわゆる使いまわしの行為をすると、一つのサービスで情報漏えい事件があった場合、他のサービスなどに不正にログインされます。

脆弱な正規のウェブサイトが改ざんされ、その結果、改ざんされた正規のウェブサイトを閲覧した利用者も被害を受けます。

脆弱なウェブサーバが狙われて正規ウェブサイト上に偽りのページが表示され、その利用者が誘導される形（誘導型攻撃）の被害が増加しています。

電気製品などの組込み製品でもネットワーク環境が整いつつあり、ＯＳやミドルウェアなどのソフトウェアの汎　　用化が進んでいるため、脆弱性があった場合、攻撃に悪用されやすくなっています。

以上は、インターネットの外的要因によるものであります。
一方で組織内部の関係者による攻撃あるいは単純な間違いから発生する脅威もあります。

このような状況の中で、センターの周りの組織において、セキュリティ問題の一つの事例として、ウイルス対策ソフトをインストールしていなかったり、ウイルス定義ファイルが古いまま運用されている状態のためウイルス感染し、復旧作業に多くの労力や費用を要したケースが発生しています。原因としては、基本的な対策が実施・運用されていないことにあります。

運用管理が適切に実施されていれば、感染しなかったと思われます。対策としては、関係者のセキュリティ意識向上のための教育訓練が第一に必要と思われます。

しかしながら、関係者が多数の場合、周知徹底したり、すべてのＰＣを確認したりするには、多くの時間が必要となります。

組織全体でセキュリティ対策を実現し維持することは、通常、管理作業の増加を意味します。これがセキュリティの維持改善に対する最も大きな障壁です。これらの対策として、ＩＴの運用状況を監視するツールを導入することも一つの方法です。

また、事前対応と事後対応が十分でない場合には、たった一つのワームやウイルス攻撃などによりウイルス感染した場合に必要な情報システムの修復時間は、適切にセキュリティを保護するために先行投資した場合の時間と比較して長くなり、復旧に要する費用も多くなります。

ネットワークのセキュリティを向上するシステムやソフトウェアの事前対策の選択肢として、ネットワークセキュリティ管理ツールがあります。主な管理ツールとその機能概要については、以下のとおりです。

管理ツールは、セキュリティ問題の抑止及び情報漏えいした場合の漏えい経路の追求の助けにもなります。

ＩＴセキュリティに対し適切なセキュリティポリシーを採用し、ネットワークを適宜監査・監視する仕組みがあれば、ネットワーク全体を一定のレベルで保護することができます。最終的には、管理ツールを人間が適切に運用し、的確な対応を行うことは言うまでもありません。