tatara_secos

セキュアOSカンファンスの報告

会場：東京都港区北青山　青山ダイヤモンドホール
聴講者：150～200人くらい

以下、聴講した発表の報告です．

-------------------------------------------------------------------------------------------

「基調講演」

●タイトル
    電子政府におけるアクセス制御

●発表者
    内閣官房　情報セキュリティセンター
    参事官　青木　信義

●概要
    ・情報セキュリティセンターの設立

        ・情報セキュリティ政策に関する基本戦略の立案

        ・政府機関の総合対策推進

        ・政府機関の事案対処支援

        ・重要インフラの情報セキュリティ対策

        各々、詳しくは情報セキュリティセンターのHPに書いてあることを参照

    ・IPAによるアクセス制御関連の調査

        内閣官房と連携して16年度事業として以下の3テーマを実施

        １．アクセス制御に関するセキュリティポリシーモデルの調査

            ・BLP、Biba、RBAC、TE等のモデルの主要なセキュリティポリシー
            　モデルの文献調査

            ・モデルの特徴、コンセプトの概要、形式的ないし
            　数理理論学的な表現によるモデルの開設

            ・最近の研究成果を含めた網羅的な調査として初めてのもの

            ・セキュリティポリシーモデルは、OSのみならずアプリケーションの
            　構築において十分考慮すべき

            ・わが国においても独自の研究を期待

        ２．電子政府システムにおけるアクセス制御要件に関する調査

            ・文書管理システムにおけるアクセス制御をRBACを用いて検討

            ・情報公開法の考え方にしたがって、行政文書のライフサイクル
            　管理モデルを提案

            ・ライフサクル管理モデルに基づいてフェーズごとのロール、ディレクトリ
            ACLのケーススタディを実施

            ・電子政府の文書管理システム設計上の検討課題

                ・トップダウン方式のアクセス制御だけでは、
                　上位権限奪取による脅威があるため、Need to Know方式の検討

                ・決済を要しない文書についても明示的な承認プロセスを検討

                ・組織の構成員共有のディレクトリに格納される文書の、
                　Read権、Write権は全構成員に与えられているが、
                　Write権の付与範囲について検討

        ３．強制的アクセス制御に基づくWebサーバに関する調査・設計

            ・Webサーバの被害を限定的なものにすつため、権限を細分化・最小化

            ・このため、Webサーバのポータビリティを低下させるものを
            　分割し、機能モジュール単位で最小の権限を付与

            ・OSはRBACとTEを組み合わせたポリシーモデルを強制する
            　MAC機能を有するものとし、Webサーバはアクセス制御を
            　OSに委譲

    ・電子政府におけるセキュリティに配慮したOSを活用した情報システム等
    　に関する調査研究

        １．セキュアOS概説＋電子政府での適用可能性の基礎的検討

        ２．セキュアOSとは「最小特権や広義の強制アクセス制御を中核とした、
            セキュリティに配慮したOS

        ３．電子政府の典型的な情報システムである公開情報サーバシステム、
            認証局システム、文書管理システムについてセキュアOSの適用可能性を
            検討

        報告書は今月中に公開予定とのこと

    ・検討課題として以下の点を指摘

        ・商用アプリの動作の制約
        ・ベンダのサポート能力の不足
        ・バージョンアップの扱い
        ・セキュリティ評価制度への対応
        ・オペレーション教育の不足
        ・支援ツールの整備
        ・ポリシーモデル等の基礎的研究

    ・今後の検討の方向性

        ・電子政府において秘匿性だけでなく完全性を確保するためには、
        　セキュアOSを可能な限り導入することが有効

        ・電子政府の保有する情報資産の重要性と導入の容易性を総合的に
        　勘案して、セキュアOSを導入すべきシステムをより具体的に検討

        ・電子政府が採用すべきOSのセキュリティ要件を検討し、
        　既存の製品ではこの要件を満たさない場合、わが国において
        　セキュアOSの開発を行うことも選択肢

-------------------------------------------------------------------------------------------

「基調講演」

●タイトル
    政府の情報セキュリティに関する取り組み

●発表者
    経済産業省　商務情報政策局　情報経済課
    情報セキュリティ政策室　課長補佐　田辺　雄史

●概要

    ・最近の動向について

        情報セキュリティを取り巻く次代の変化
        ITは経済・社会の「神経系」に。

    ・コンピュータウイルス・不正アクセスの届出状況について
    　（IPA、JPCERT/CCなどの報告）

    ・政府内の最近の動き

        「情報セキュリティ基本問題委員会」の構成と検討内容
        第一次提言により、情報セキュリティセンターの設立へ
        （Secure OSの検討）

    ・経済産業省の政策の概要を紹介

    ・技術的情報セキュリティ対策とソフトウェア開発戦力

        ・IT製品、暗号、暗号製品などの安全性について第三者評価

        ・PKIを用いる認証基盤を整備

        ・情報セキュリティに関わる技術開発を推進
            アクセス制御、IDS、ウイルス対策

    ・組み込みソフトウェアの実施と開発力強化の方向について説明

    ・ソフトウェアエンジニアリングセンターの創設について

        ・エンタープライズ系ソフトウェアの品質・生産性向上

        ・組み込みソフトウェア開発力の強化、人材育成
            組織能力向上、個人能力向上の視点から

    ・おープソースソフトウェア推進の意義について

        ・利用側にとっては、独占の弊害の排除と選択肢の拡大

        ・提供側にとっては、技術力強化とイノベーションの促進

        ・次代を支える人材育成手段として

        →日本OSS推進フォーラムの設立へ

    ・以下のことについて簡単に紹介
        ・OSSに関する経済産業省の取り組みの概要を説明

        ・政府におけるOSS活用に向けての検討について間単に紹介

        ・組織的情報セキュリティ対策

        ・情報セキュリティ早期警戒パートナシップ

●質疑
    なし

-----------------------------------------------------------------------------------------------

●タイトル
    リスクマネジメントの重要性
    ～情報セキュリティ対策を形骸化させないためのマネジメント～

●発表者
    株式会社アズジェント
    取締役　技術本部長　駒瀬彰彦

●概要
    ・情報資産を取り巻く脅威

        ・人的要因

            偶発的：管理者の怠慢、人的ミス

            意図的：ウイルス、盗難、情報漏洩

        ・環境的要因

            災害、地震、システムダウン

    ・情報セキュリティ対策

        ・常に改善のプロセスを行う

        ・内部の要因：セキュリティ対策は製品だけでなくプロセスが重要

        →「改善のプロセス」を包含した「管理項目」を定めるため、
            リスクを識別し、常に監視を実施、評価を受けることが重要

        →組織的安全対策（物理的、技術的、人的安全対策）

    ・マネジメントシステム

        方針→目標→計画→実施→評価→是正（改善）→方針というサイクル

    ・リスクマネジメントの目的と重要性

        取り扱う情報資産に対して以下の点を明確にする

            ・個々の情報資産の管理状況
            ・情報資産が持つ脆弱性
            ・存在する脅威
            ・問題が発生した場合の事業上の影響度

            →費用対効果

        要求される保証の度合いを明らかに→適切な管理策の選択

        リスクが高いものが明らかに→管理策の優先順位を定めることが可能

    ・ISO Guide 73（TR Q 0008:2003）

        ・リスクマネジメント
            ・リスクアセスメント
                ・リスク分析
                    ・リスク因子の特定
                    ・リスク算定
                ・リスク評価

            ・リスク対応
                ・リスクの回避
                ・リスクの最適化
                ・リスクの移転
                ・リスクの保有

            ・リスク受容

            ・リスクコミュニケーション

    ・リスクマネジメントの目的

        ・リスクアセスメントの結果から、そのリスクに対する
        　適切な対処方法を決定
        ・許容範囲までリスクを削減するための管理策を実装

        ・実装されたセキュリティ管理策を見直す
        　（適応性、新たな脆弱性、脅威、要件の変動）

    ・業務プロセスと要求事項、情報資産、脆弱性、脅威の因果関係を
    　把握することが重要

    ・リスク対応の考え方

        回避：リスクを持つ対象を除去

        最適化：対応策実装によるリスク削減

        移転：保険、契約

        保有：積極的、消極的

    ・リスクマネジメントに基づく方針、戦略について
    　簡単に紹介

    ・成功要因１

        ・経営目標を反映する適切なセキュリティポリシを策定

        ・組織の文化に合ったアプローチを採用

        ・経営陣のサポート及びコミットメントを得る

        ・適切なリスクアセスメントを実行

    ・成功要因２

        ・管理者及び従業員にセキュリティ要因を効率よく認識させる

        ・適切な教育、トレーニングを提供、改善に向けて体制を確立

    ・成功要因３（脆弱性の識別）

        ・運用面、管理面から識別
            例：暗号されていない場合、など

        ・監視、監査の視点から識別
            例：評価など

        ・事後対応の視点から識別
            例：復旧の可能性

    ・構築支援ツールの紹介

        ・M@gicPolicy
            情報セキュリティマネジメント構築支援ツール

        ・RA2 art of risk
            リスクアセスメントツール

-------------------------------------------------------------------------------------------------

●タイトル
    DBセキュリティとセキュアOS
    ～本当に守るべきものは何か？～

●発表者
    株式会社ラック　取締役　執行役員　SNS事業本部長　西本逸郎

●概要
    ・セキュリティの現状

        過去の動きからイベンドドリブン、対処療法的

    ・求められていること

        個人情報取り扱い事業者は取引先に個人情報保護を要求

        コンプライアンスやガバナンスに関わる管理責任が増大

    ・セキュリティ診断

        ・サーバの検査では、かなり良い結果

        ・Webアプリでは脆弱性がごろごろと

            ・SQLインジェクション、クロスサイトスクリプティングが
            　たくさん見られる

    ・対策

        PDCA管理サイクル（Plan=Do=Check=Action）は
        セキュリティでは、
        Check=Plan=Doとなる

    ・レイヤを意識した対策

        アプリケーションへの対応だけでは限界（トレンドマイクロの例）
        インフラをしっかりと構築（フェイルセーフ）

    ・データベースセキュリティ

        ・セキュリティ管理基準、アクセス制御、改善プロセスなどの重要性

        ・セキュリティ要件、取り組みの紹介

    ・まとめ

        当面のキーワード

        ・ウェブアプリケーション
        ・メールセキュリティ＋DoS
        ・イントラネットセキュリティ（ハッキング対策）

        いずれも一般的なセキュリティ製品技術だけでは対応が困難
        上記はいずれも人間系に近いところで発生

        小手先での対応は限界に来ており、インフラからの
        根本的対策の実施が必須

---------------------------------------------------------------------------------------------------------

●タイトル
    情報保護対策におけるセキュアOSの役割
    ～事例で見る個人情報保護～

●発表者
    NECソフトウェア東北株式会社
    事業企画部　エキスパート　飯田眞吾

●概要

    ・組織の社会的責任（Corporate Social Responsibility）

        →情報漏洩により（個人情報保護などを怠ると）社会的信用の失墜

    ・組織内部からの情報漏洩

        電子メールの誤送信、不正アクセス、不正持ち出し

    ・個人情報漏洩による企業の損失

        「重要（機密）な情報」が漏洩した場合、5万円/1件と言われている
        （例：エステ関連企業C社）

    ・個人情報保護法の規定

        ・利用目的の明確化・通知
        ・監督
        ・適正な取得
        ・第三者提供
        ・正確・安全な管理（←セキュアOSの役割）
        ・本人の関与

        →守らなければ、6ヶ月以下の懲役又は30万円の罰金

            ・経営者の責任
            ・信頼失墜による株価下落・機会損失、情報回収に関わるコスト
            ・金銭的賠償（1件の事故あたりの平均損害賠償額→2億4036万円（JNSA試算））

            →セキュアOSの導入
            　MAC、最小特権による技術的安全管理措置

    ・NECのソリューション　SecuveOSの機能

        ドライバ・組み込み型（LSM、KM型とは異なり、既存の環境への適用可能性が高い
            ような説明を行っていた、詳細は不明）

        ・MAC
        ・電子証明書による特権ユーザ認証（ID・パスワード認証とは区別）
        ・イベントログはセキュリティカーネル（実装は不明）で保護
        ・リアルタイムアラート機能
        ・ログレポートツール（統計データ）
        ・Unti-Kill機能（MACによるKill権限の限定付与、と思われる）

-----------------------------------------------------------------------------------------------------------

●タイトル
    How Information Flow Control Enforces Security

●発表者
    Argus Systems Group Inc.
    Chief Executive Officer Andrew S. Jones, Ph. D.

●概要

    ・マルチレベルセキュリティについての説明

        合衆国の取り組みと、Common Criteriaの策定状況について
        解説

-----------------------------------------------------------------------------------------------------------

●タイトル
    情報保護の観点からのセキュアOS

●発表者
    日立ソフトウェアエンジニアリング株式会社
    技術開発本部　研究部　才所秀明

●概要

    ・個人情報保護法の制定により個人情報・個人データを
    　機密情報として扱わなければならなくなった
        →安全管理措置に注目

    ・安全管理措置

        ・組織的管理措置
            責任と権限、規定や手順の整備・運用、実施状況の確認

        ・人的安全管理措置
            個人データの非開示契約、教育・訓練

        ・物理的安全管理措置
            入退室の管理、個人データの盗難防止

        ・技術的安全管理措置
            個人データを扱うシステムのアクセス制御、
            不正ソフトウェア対策

    ・機密情報は集中管理（サーバ）

        →物理的、技術的管理が容易に

    ・クライアントサイドでの対策

        ・必要最小限のアクセスを許可（特定のサイトのみ）

        ・クライアントPCからの流出、
        　クライアントPCへの流出防止

    ・サーバ側の対策技術がより重要

        ・管理者権限での不正やミス

        ・攻撃者による権限ダッシュ

        →これらの対策だけでは限界（セキュアOSの必要性）
        　強制アクセス制御、最小権限を可能に

    ・SELinuxの取り組み、日立の取り組みを紹介

        IPA公募、ツールを整備、システム構築、対応製品など

------------------------------------------------------------------------------------------------------------

●タイトル
    サーバベースドコンピューティングとセキュリティ
    ～シンクライアント＋αの組み合わせでセキュリティ強化～

●発表者
    株式会社富士通ソーシアルサイエンスラボラトリ
    ネットワークシステム事業部複合ネットインテグレーション部
    課長　石津昌弘

●概要

    ・シンクライアントの紹介

        Oracle, Microsoft (NC, WBTなど)
        Citrix (MetaFrame)
        Sun (Sun-Ray Tarantella)

        アプリケーションが限定、ネットワーク環境が必須、高性能サーバ
        →広く普及までは至らなかった

    ・環境変化

        →上記の要件を満足
        　及び情報漏洩の観点からシンクライアントにスポットライト

        →シンクライアントシステムにより機密情報の集中管理
        　ライセンス、バージョンの集中管理
        　TCO削減

    ・サーバ管理（100台規模）の課題

        ・様々なアプリケーションが導入されているため、
        　パッチを適用しても問題がないかの事前検証が必要

            →適用までに時間がかかる

        →シンクライアント＋αによるセキュリティ強化が必要
        　（サーバにセキュアOSを導入）

    ・富士通SSLのセキュリティソリューションをいくつか紹介

-------------------------------------------------------------------------------------------------------