【NETWORK Guide】情報セキュリティ基礎ガイド［第2回：脅威の多様化と適切な内部統制の必要性］

企業活動を正常に遂行するための
Guide 1　何のためのセキュリティ対策なのか Guide 2　脅威の多様化と適切な内部統制の必要性 Guide 3　まずは本人認証から Guide 4　SSOと認証サービスの連携機能 Guide 5　端末認証と検疫ネットワーク	Guide 6　浸透するTPM搭載のPCたち Guide 7　ソフトウェアの安全性を高めるDEP Guide 8　暗号化技術にとらわれすぎると陥る罠 Guide 9　求められているのは重層的な防御態勢 Guide10　現場の理解が不可欠

Guide 2

>脅威の多様化と適切な内部統制の必要性 ～情報システムに対する脅威は多様化している。過去の認識のままでは対応が難しい～

セキュリティ対策を立案・実行する際に重要なのは、「脅威の評価」と、それに対応する「守るべきものの明確化」だ。また、それぞれの組織が置かれている状況によって、重点を置くべき分野、あるいは講じるべきセキュリティ対策の度合いが異なってくるのはいうまでもない。 　これまで、コンピュータやネットワークによって構成される情報システムの脅威として取り上げられることが多かったのは、個人的な関心事として不正侵入行為などを行う、いわゆる「クラッカー」だった。たしかにこうした種類の脅威は、現在でも存在している。 　しかし、インターネット利用の拡大や、社会がコンピュータやネットワークに依存する比率が高まってきたことで、新しい種類の脅威が出現している点を見落とすことはできない。一例を挙げると、国際的な政治情勢が情報セキュリティのリスクにつながる可能性がある。日本と何らかの利害関係を持つ国や組織が、日本の政府関係機関、あるいは大企業などが運用するWebサイトや情報システムを標的にして、組織的にサイバー攻撃をかける事態、あるいは自国内のクラッカーを扇動してサイバー攻撃を仕掛けるような事態は、すでに現実のものとなっている。 　また、フィッシングや架空請求のように金銭が関わる犯罪行為が増加しており、国際犯罪組織やテロ組織などが、資金集めの手段として利用する可能性もある。そのような組織犯罪行為では、個人が行うものとは違うレベルの巧妙さを持つ攻撃が仕掛けられる可能性を考慮しなければならない。 　そのほか、2005年に施行された個人情報保護法、2006年5月から施行される新会社法、あるいは2008年の施行が予想されている日本版SOX法といった法律の規定により、企業が取り扱う個人情報の保護に加えて、適正な企業業務の遂行といった面から内部統制を行うことが求められている。情報分野のセキュリティ対策は、そうした内部統制の一環としてとらえる必要もある。 >>>Guide3、Guide4の公開は7月26日です。

井上孝司　Kouji Inoue テクニカルライター。マイクロソフトを経て、1999年春に独立。マイクロソフト 製品や通信、セキュリティ関連の話題を中心に、書籍、雑誌、Webなどで執筆活 動を展開中。Webサイトは http://www.kojii.net/