セキュリティポリシー

セキュリティポリシーを持っていますか？

必要以上に堅牢なシステムを構築して不便になっていたり、重要なサーバがアクセスし放題になっていたりしていませんか。 あなたのサイトにあったセキュリティポリシーを持つことが重要です。 いくつかチェック項目を挙げてみましょう。 いろいろな条件によって、セキュリティポリシーも変わって来ます。

1. ネットワークにつなぎますか？
2. 一人で使いますか？
3. サーバ(WWW,mail,FTPなど)は立ち上げますか？
4. ファイアウオールがありますか？

などなど。 一般的なチェックポイントとしては、

1. 必要のないサービスを行っていたり、必要なサービスが行われていなかったりしていませんか？
2. リモートから管理者(root)にログインできたりしませんか？
3. サーバに複数の機能を持たせていませんか？
4. ユーザへの教育は十分ですか？
5. 外部からのアクセスを制限していなかったり、制限しすぎていたりしませんか？

例えば

たとえば、会社と学校ではセキュリティポリシーは違うでしょう。 学校は、多くの学生を抱え、教育のためにインターネットを活用している場合が多いと思います。 この場合、情報の発信という役割よりも情報の受信のほうが重要になってきます。 どう言ったことに気を付けるべきでしょう？

• 不適切なページ(アダルトページなど)の受信
• 他のサイトへのいたずら
• ソフトウエア(ウイルス等を含む)の勝手なインストール
• インターネット詐欺
• 商業活動(ネットサーフィン、メールで収入を得るタイプを含む)
• パスワードの漏洩

また、会社などでは業種によって異なりますが、情報を発信しつつ大切な情報が漏れないようにする必要があります。

• 重要な情報があるコンピュータがちゃんと保護されているか。
• 情報(顧客等)の社員による漏洩
• 商業活動(ネットサーフィン、メールで収入を得るタイプを含む)

このページでは

1. もちろんネットワークにつなぐ
2. 小人数で使う
3. いくつかサーバ(WWW,mail)を立ち上げる。
4. ファイアウオールはない。
5. アクセスもそんなにない。

という状況を考え、

1. ほかから(違うドメイン)からアクセスしない。
2. リモートから管理者(root)にログインできない。
3. サーバに複数の機能を持たせない。
4. ユーザへの教育は不十分(笑)。
5. スキルのあるクラッカーに対してはあきらめる(爆)

という感じで話を進めています。

Links

• セキュリティ関連の RFC
• セキュリティポリシーでネットビジネスに勝つ
• Internet Security Policy: A Technical Guide
• セキュリティ評価基準