Recommended
More Related Content
Similar to 情報セキュリティと標準化I 第１３回
Similar to 情報セキュリティと標準化I 第１３回 (20)
More from Ruo Ando
More from Ruo Ando (20)
情報セキュリティと標準化I 第１３回
- 2. 前期：第１５回 1 情報セキュリティの概要：基本概念、実装技術と対策方法 2 情報セキュリティの概要：脅威リスクの分類と評価、その対策方法 3 技術的セキュリティの技術と実装 4 人的・物理的セキュリティと技術的セキュリティの関係 5 対称暗号技術：秘密鍵技術と実装（セキュアプログラミング） 6 非対称暗号技術：公開鍵技術と実装（セキュアプログラミング） 7 セキュリティ監査と管理:セキュリティ技術評価 評価方法、保証レベル 8 セキュリティ監査と標準化:セキュリティ評価基準と標準化 9 リスクの分析評価と管理対策：情報資産とリスクの概要， リスク分析評価 10 情報セキュリティのマネジメントとセキュリティポリシー: IMIS、関連法規 11 デジタル認証技術と標準化: デジタル署名、メッセージ認証、認証基盤 12 物理的認証技術と標準化:利用者確認、生態認証、関連標準化動向 13 観測・基盤実装技術:セキュアOS，セキュアプログラミング 14 観測・応用実装技術:アプリケーションセキュリティ 15 情報セキュリティ技術、分析評価方法、管理対策、標準化動向まとめ
- 4. その他のセキュリティ対策 • 隠蔽：資産が存在する場所を多数にする。 • 不可視化：資産が見えないようにする • 反撃：相手にコストやダメージを与える • 陽動：相手の攻撃の焦点をずらす • だまし：偽の資産を標的にさせる • 逃走：相手の攻撃範囲から外れる • 封印：攻撃の記録をする • 複製：情報資産が盗難されても紛失しないようにする。 • 警告表示：防御反撃策の存在を示す • 嫌悪感の喚起：情報資産の価値を下げる
- 5. 脅威の種類 • 破壊：データやコンピュータを壊す • 漏洩：組織の機密情報や個人情報を外部に漏らす • 改ざん：ホームページなどが改ざんする • 盗聴：メールなどが盗み見される • 盗難：コンピュータやUSBメモリなどが盗まれる • サービス停止：組織が提供しているサービスが落とされる • 不正利用：組織のネットワークやシステムが別の目的で不正に 利用される。 • 踏み台：他の組織の情報システムを攻撃する手段に利用される。 • ウィルス感染：ウィルス感染により組織の大事なデータが破壊さ れる。 • なりすまし：パスワードを盗まれ、本人のアカウントが情報を盗ま れたり、買い物をされる。 • 否認：文書がメールで送信した内容を、否定される。
- 8. 記憶媒体の管理とセキュリティ 紙 書類、印刷物 メモ書き 盗難 紛失 置き忘 誤送付、誤送信 電子データ メディア（記録媒 体） USBメモリ SDカード CD、DVD 外付けハードディ スク 盗難 紛失 置き忘 誤送付、誤送信 SNS、ファイル共有ソフ トの利用、なりすまし、 不正アクセス、マル ウェア、ウィルス感染 システム（内蔵型） データベース 内蔵型HDD SNS、ファイル共有ソフ トの利用、なりすまし、 不正アクセス、マル ウェア、ウィルス感 誤送信 ユーザ 記憶 （パスワードなど） 他人に話してしまう 誘導尋問
- 9. 区画化と関門 入室入館 ①申請許可 ②持込管理 ③入場受付 退館退室 ④持ち出し管理 ⑤退場確認 B 事務室 A サーバ室 C 応接室 C 受付 B 会議室 C:公開区画 A:アクセス制限区画（特定メンバのみ入室可能） B:業務区画（社員、派遣社員入室 可能） C:一般区画（訪問者、外来者の入室可能）
- 13. 多層防御：権限管理 権限管理 アクセス制御 主体認証 主体 【人・装置・プログラム】 客体 【情報・ファイル】 ID・パスワードに よる認証 アクセス条件の設定 アクセス許可 分類 強制アクセス制御
- 14. アプリケーションとポート番号
- 15. その他のセキュリティ対策 • 隠蔽：資産が存在する場所を多数にする。 • 不可視化：資産が見えないようにする • 反撃：相手にコストやダメージを与える • 陽動：相手の攻撃の焦点をずらす • だまし：偽の資産を標的にさせる • 逃走：相手の攻撃範囲から外れる • 封印：攻撃の記録をする • 複製：情報資産が盗難されても紛失しないようにする。 • 警告表示：防御反撃策の存在を示す • 嫌悪感の喚起：情報資産の価値を下げる
- 16. 脅威の種類 • 破壊：データやコンピュータを壊す • 漏洩：組織の機密情報や個人情報を外部に漏らす • 改ざん：ホームページなどが改ざんする • 盗聴：メールなどが盗み見される • 盗難：コンピュータやUSBメモリなどが盗まれる • サービス停止：組織が提供しているサービスが落とされる • 不正利用：組織のネットワークやシステムが別の目的で不正に 利用される。 • 踏み台：他の組織の情報システムを攻撃する手段に利用される。 • ウィルス感染：ウィルス感染により組織の大事なデータが破壊さ れる。 • なりすまし：パスワードを盗まれ、本人のアカウントが情報を盗ま れたり、買い物をされる。 • 否認：文書がメールで送信した内容を、否定される。
- 18. リスク分析・評価 情報資産の価値を決める 情報資産に対する脅威を分析 内在する脆弱性を分析 ①、②、③からリスク値を算出 機密性：公開・秘密・極秘等 完全性：改竄と業務への影響 可用性：業務停止時間（１分、１日等） 脆弱性レベル ＝ 攻撃難易度 ＊ 監理レベル リスク値 ＝ 情報資産の価値 * 脅威 * 脆弱性 人為的・意図的 人為的・偶発的 非人為的・偶発的
- 20. リスクコントロール • 抑止：リスクの発生する可能性を失くすこと。 • 予防：攻撃（脅威）が発生したときの被害を小さくす ること。 • 検知：不正アクセスなどの問題を早期に発見できる ようにすること。 • 回復：問題や障害が起こった際に正常な状態まで 戻すこと。
- 21. リスク管理 • 許容：リスクのうち、発生頻度やダメージが少ないと 予想される場合、対策を行わないこと。 • 低減：リスクの発生頻度や損害額を抑えること。 • 移転：リスクが発生する情報システムを外部に委託 すること。 • 回避：リスク発生の原因を取り除くこと。
- 28. 識別 (identification)と 認証 (authentication)の種類 ①識別：情報サービスを利用するとき、通信相手や利用者が いったい誰なのかを特定したり、データをファイル名などから識 別すること。 ②認証：通信相手や利用者が本人かを確認し、許可された範 囲と制限事項を設定し、制限すること。 内容 具体例 人の認証 個人を識別し、利用者本 人であるか正当性を保証 する 利用者IDとパスワードの組み合 わせIDカードの認証や指紋など の照合 物の認証 通信機器となる対象物が 偽造されていないか検証 する MACアドレスやSSIDによる端末 の識別 情報の認証 情報が改ざんされていな いか完全性を保証する デジタル署名やメッセージダイ ジェストの添付
- 29. 認証の概要と対象 • Authentication （二者間認証）: 情報システムにア クセスし、情報資産を活用しようとする利用者（認証 請求者）と、システムリソースなどへのアクセス権を 設定し管理する者（登録管理者兼認証者）との２者 間で認証を行うこと。 • Certification (三者間認証）：信頼できる第三者が登 録管理者となり、例えば認証局（登録管理者）で発 行されたデジタル証明書の保有の有無をもとに、認 証請求者と認証者の三者間で認証を行う。