【CISSPセミナー】アクセス制御
こんにちは。鈴木悠です。
前回に引き続き、CISSPの10ドメインに関してご紹介していきます。
■アクセス制御
道を歩いていると、様々な道路標識があります。「一方通行」や「駐停車禁止」、「歩行者通行止め」など、道路標識では禁止するものや注意を促すようなものがあります。このように、適切な対象者のみが通れるように交通整備をすることをコンピュータの世界では「アクセス制御」といいます。アクセス制御を行うことにより、正当な利用者のみが情報を閲覧できたり、トラフィック（コンピュータにおける道路交通量）を抑制したりすることが可能になります。
適切なアクセス制御を行うためには、以下のポイントを押さえておかなければなりません。
- 職務の分離(Separation of Duties)
プロセスの個々の段階では、それぞれ異なる人物によって実行されるようにすることです。例えば、申請者と承認者が同じ人物にならないようにすることなどが該当します。これにより、特定の人物が全体を制御したり、個人的な利益のために利用されないようにします。 - 知る必要性(Need-to-Know)
利用者が業務を遂行する上で、どのような情報や機能が必要なのかということを明確にすることです。例えば、営業部門担当者と研究・開発部門担当者では、業務は全く異なります。アクセス制御をする上で、利用者が業務を柔軟に遂行できるように十分考慮しなければなりません。 - 最小特権(Least Privilege)
上記の知る必要性に基づき、利用者が業務をする上で必要最小限の情報にのみアクセスできるよう制限することです。 - 情報の分類
権限がある人物のみがアクセスできるよう、企業内の情報を分類する必要があります。情報区分は企業によって特色がありますが、大体は極秘・秘・取扱注意・一般などに区分されます。
この中で情報の分類が一番大変だと思っているのですが、前段階として行わなければ実装したアクセス制御が意味を成さなくなってしまいます。歩行者道路に誤った道路標識を立てないように、コンピュータのアクセス制御も気をつけないといけませんよね！
余談ですが、上記のようなシステム機能やファイルへのアクセス制御だけでなく、社内ネットワークにおけるアクセス制御も重要です。企業にてたくさんのPCを一つのネットワークで利用していることが意外と多いようですが、ウイルス感染の被害拡大防止やトラフィック軽減のためにもセグメントの分離を推奨します。
| 固定リンク
コメント
こんにちは。通りすがりの者です。
私も昔、CISSP を取得したのですが、このブログは良い復習になるので、毎回、更新を楽しみにしています。
復習と言っても、断片的に用語を思い出すだけなのですが、用語は概念と紐付くので、意外と本質かもと思ったり。
Need-to-Know や Least Privilege がきちんと整理されていると、Discretionary Access Control (随意アクセス制御)の一種であるRole Based Access Controlが実装できるという話でしたね、たしか。
一方、情報の分類とアクセス主体の分類を照合して機械的にアクセス可否を判定するイメージなのが、Mandatory Access Control (強制アクセス制御)でしたね。
（間違ってるかも）
忘れられないのが「ベル・ラ・パデュラ」。
アクセス制御のモデル（らしい）のですが、最初はアラビアーンな恋の呪文かと思いました。
投稿： アナンド | 2008年10月24日 (金) 09時53分
アナンドさん、こんにちは。
復習と言っても、ブログでは全部を書くことはできないので、重要なポイントのみを書くようにしています。
DAC、RBACについては、アクセス可否を情報所有者（オーナー）が決めるということも重要なポイントだと思います。
また、アクセス制御モデルについても、情報セキュリティのC(機密性)、I(完全性)、A(可用性)のどの観点を最も重要視するかによって適切なアクセス制御モデルを選択するというお話ですよね。CISSPでは、機密性を重要視する「ベル・ラ・パデュラ」を始め、様々なアクセス制御モデルがありますね。
このあたりについては、「セキュリティアーキテクチャと設計」のドメイン紹介にて触れようと思います。
投稿： 悠 | 2008年10月25日 (土) 14時01分