TOP＞比較データ＞ 技術的安全管理措置の確認

個人情報保護法から見るセキュアOSの必要性 第1回：個人情報保護法とセキュリティ対策 著者：ミラクル・リナックス  石井 友貴   2005/2/23

前のページ  1  2   3  次のページ

技術的安全管理措置の確認

「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」の大部分は、法で規定された「ルール」の説明ですが、法第20条「安全管理措置」に関するガイドラインでは、事業者が情報管理を行う際の具体的な作業内容について説明されています。

法第20条    個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

ガイドラインでは、次の4つの観点から見た安全管理措置の指針が挙げられています。

組織的安全管理措置 社内ポリシーや手順書を作成し、適切に運用できるように組織体制を整備すること 人的安全管理措置 従業員に適切な教育・訓練を行うこと 物理的安全管理措置 入退室管理など、盗難に対して物理的な対策を施すこと 技術的安全管理措置 個人データを扱う情報システムに対して適切な対策を施すこと

この中の「技術的安全管理措置」がセキュアOSと関わっていますので、詳しい内容について解説していきましょう。「技術的安全管理措置」では、個人情報を扱う情報システムに対して、どのような対策を施すべきかを次の8つの事項で説明しています。 技術的安全管理措置として講じなければならない事項

個人データへのアクセスにおける識別と認証 個人データへのアクセス制御 個人データへのアクセス権限の管理 個人データのアクセスの記録 個人データを取り扱う情報システムについての不正ソフトウェア対策 個人データの移送・送信時の対策 個人データを取り扱う情報システムの動作確認時の対策 個人データを取り扱う情報システムの監視

この8つの事項は、すべて「しなければならない」と規定されているものの、その実現方法については厳密には規定されていません。つまり、具体的にどのような技術やサービスを使って実装するのかについては、事業者の判断に任されています。対象となるシステムによって実装方法が変わるのは当然ですが、このことが実際の対策を行う際のハードルになっているとも言えます。そこで、ここではそれぞれの事項でどのような実装方法を行うべきかを考えてみます。

個人データへのアクセスにおける識別と 認証を行う上で望まれる事項

いわゆるセキュリティの3A（Administration：セキュリティ管理、Authentication：認証、Authorization：認可）を確実に行うということを意味しています。これらはセキュリティ対策の中では最も基本的で、最初に考えるべき部分ですが、これらを守ることで不正アクセスや情報漏えいに対する直接的な効果があります。    ユーザ認証については、パスワード認証、バイオメトリック認証（指紋や声紋）や、ICカード、USBなどのセキュリティカードを使用した認証が考えられます。    パスワードによる認証は最も基本的な認証方法ですが、使いやすい反面、セキュリティ強度は相対的に低くなり、破られる危険性が高いといえます。パスワード認証を採用する場合には、パスワードの複雑さを保証する仕組みや、同一パスワード再利用の禁止、パスワードの一定期間ごとの変更など、セキュリティ強度を高めるための追加ルールを設定するべきです。    また、万が一パスワードが流出してしまった場合を想定し、ログインできる端末の制限を行ったり、サーバルームの入退室管理などの物理的な対策を行ったりして、パスワード認証と複数の対策と組み合わせて運用するのが望ましいと言えるでしょう。

個人データへのアクセス制御を行う上で望まれる事項

データへのアクセスについては、許可する範囲が極力小さくなるように検討します。こうすることにより、不正アクセスが発生した場合の被害範囲を狭くできるのと同時に、管理しなければならない対象の範囲が狭くなるので、管理漏れなどの人為的ミスの可能性を減らすことができます。

個人データへのアクセス権限の管理を行う上で望まれる事項

ユーザへのアクセス権限の設定は、最初に設定したものをずっと使い続けるのではなく、定期的に権限の割り当て状況を確認し、必要に応じて権限の追加や削除を行います。特に、退職者のアカウントや、新システムに移行した際に削除していない、旧システムやテストシステムのアカウントを放置しておくと、情報漏えいの危険が大きくなります。

前のページ  1  2   3  次のページ

著者プロフィール ミラクル・リナックス株式会社  石井 友貴 外資系ソフトウェアベンダーにてデータベースやセキュリティ関連の研修カリキュラム開発などを担当した後、2004年よりミラクル・リナックス社に在籍。MIRACLE HiZARDをはじめとするセキュリティ製品のプロダクト・マネジメントを担当。日本でのセキュアOSの普及を目指し日々奮闘中。Linuxコンソーシアム セキュリティ部会メンバー。

INDEX 第1回：個人情報保護法とセキュリティ対策   企業から見た個人情報保護法の意味 技術的安全管理措置の確認   個人データへのアクセスの記録を行う上で望まれる事項

個人情報保護法から見るセキュアOSの必要性 第1回 個人情報保護法とセキュリティ対策 第2回 セキュアOSとは 第3回 セキュアOS紹介（1）〜 MIRACLE HiZARDとLIDS 第4回 セキュアOS紹介（2）〜 Trusted SolarisとPitBull 第5回 セキュアOS紹介（3）〜 SELinux

Linuxディストリビュータが紐解くセキュアOS 第1回 セキュアOSの動向 第2回 Red Hat Enterprise Linuxセキュリティの概要と特徴 第3回 MIRACLE LINUXのセキュリティへの取り組み 第4回 Turbolinuxのセキュリティに対する取り組み