セキュリティ対策としてネットワーク分離を行おう！

ビジネスにおけるデジタルトランスフォーメーション(DX)の加速に伴い、組織・企業を狙ったサイバー攻撃が近年増加傾向にあります。サイバー攻撃は、不特定に対する「バラマキ型」から特定の組織・企業を狙った「標的型」へ複雑かつ巧妙化し、なかでもランサムウェアなどマルウェアを用いたサイバー攻撃は悪質さが増しています。

ランサムウェア(身代金要求型ウイルス)は、Webの脆弱性を利用した金銭目的のサイバー攻撃です。システムのハードディスクドライブが暗号化され、データやシステムは使用不能状態に陥ります。ハードディスク内にあった機密情報・データを人質に、組織・企業に対して高額の金銭を要求します。

組織・企業におけるサイバーセキュリティ対策の推進が必要

組織・企業におけるIT利活用の促進、巧妙化するサイバー攻撃の増加を背景に、2015年(平成27年)12月28日、経済産業省、独立行政法人情報処理推進機構(IPA)は、大企業および中小企業の経営者に向けて「サイバーセキュリティ経営ガイドライン(旧版Ver 1.0)」を公表しました。現在は、2017に作成されたVer2.0が最新です。

【サイバーセキュリティ経営ガイドラインの概要】

■3原則

経営者がサイバーセキュリティ経営を行ううえで認識すべき原則

■重要10項目

経営者が情報セキュリティ対策を実施するうえで意識して指示すべき重要項目

「サイバーセキュリティ経営ガイドライン」を通じて、サイバー攻撃から組織・企業を守るための理念・行動を提示し、組織・企業のサイバーセキュリティ対策において「検知・対応・復旧」に重点を置いた事後対策を求めています。

サイバー攻撃によって個人情報や技術情報などの情報漏洩・流出、データの改ざん・不正利用が生じた場合、甚大な被害につながります。社会に対して大きな損害を与え、経営者のリスク対応の是非および経営責任が問われるでしょう。株主、顧客、取引先など関係者の不信感は大きく、組織・企業に対する信用・信頼は失墜するでしょう。

サイバー攻撃は、組織・企業の事業継続を脅かします。それゆえ、組織・企業の経営者は、ビジネスにおけるIT利活用を推進するなかでセキュリティ対策の重要性・必要性を認識し、サイバー攻撃に対する保護・防衛策を講じることが求められます。

単一ソリューションでは標的型サイバー攻撃対策として不十分

ファイアウォールや不正侵入検知製品、アンチウイルスソフトなどを導入する組織・企業は多いですが、最近では、サイバー攻撃は特定の組織・企業を狙った標的型へと複雑かつ巧妙化し、その悪質さは日に日に増しています。それゆえ、従来の入口対策のみでは標的型サイバー攻撃の対策として不十分です。

適切な保護対策を講じない場合、サイバー攻撃の状況を正確に把握できず、被害は拡大し、組織・企業の事業存続に関わる致命的な被害に発展する恐れがあります。

経済産業省、独立行政法人情報処理推進機構は「サイバーセキュリティ経営ガイドライン」では、複雑かつ巧妙化するサイバー攻撃による情報漏洩・流出を防ぐため、複数のセキュリティ対策を組み合わせた「多層防御」を推奨しています。

また、サイバーセキュリティリスクに対応する保護対策(防御・検知・分析)を実施する体制構築に「ネットワーク分離」を有効な施策であるとしています。

なお、多層防御では、複数のセキュリティ対策ツールを組み合わせて階層(レイヤー)を築き、階層ごとに防御対策を用意します。入口対策(自社ネットワークへの不正アクセス防御)、内部対策(ネットワーク侵入後の保護対策)、出口対策(攻撃による被害の抑制)より、セキュリティを強化します。

Web経由の標的型サイバー攻撃に備えてネットワークを分離する

世界中で発生件数が増加傾向にあるランサムウェアによる標的型サイバー攻撃は、Webの脆弱性を利用します。メールやWebページにランサムウェアへのリンクを潜ませ、ユーザー側はメールやWeb閲覧経由で、それとは気付かずにランサムウェアを実行してしまいます。

このような攻撃に対しての防御策としては、インターネット接続にて利用する「情報系ネットワーク」と顧客情報や機密情報が保存される「基幹系ネットワーク」を切り離し、基幹系システムに保存されている機密情報などの重要データを脅威から守る方法がとられます。

従来からあるアプローチであり、顧客情報や機密情報などの情報漏洩・流出対策として、組織・企業のネットワークにおいて「情報系ネットワーク／業務系システム／部門系システム」と「基幹系ネットワーク」を分離します。

情報系ネットワークと基幹系ネットワークの分離は有効なセキュリティ対策である

ネットワーク分離(インターネット分離、Web分離)は、外部の脅威(サイバー攻撃など)に備えるセキュリティ対策です。組織・企業規模に関係なく、有効なセキュリティ対策として広く認識されています。

通常、情報系システムと基幹系システムのネットワークを分離して、セキュリティを強化します。

情報系システムとは、組織・企業内外のコミュニケーション、事務処理、意思決定支援などに利用されるシステムです。

メールソフト(メールシステム)、グループウェア(情報共有ツール)、スケジュール管理システム、社内SNSをはじめ、多くの社内システムは、インターネットに接続して使用します。外部とのやり取りを円滑に行え、日々の業務に必須なシステムです。現在はテレワークを実現するための仕組みも多くの会社取り入れられ、こちら情報系システムへ分類されるでしょう。

一方、基幹系システムは、顧客情報や機密情報が保存され、組織・企業の業務内容と直接的に関与するシステムです。このシステム内にある情報は秘匿性が高く、この情報が漏えいした場合の会社への影響は甚大です。

外部との接続が常時行われている情報システムと重要な情報を扱う基幹系システムは、ネットワークを分けることで、相互の接続がなくなり、基幹系システム内の情報が外部へ漏れることを防ぎます。

「セキュリティレベル」「利便性」「費用」においてメリット・デメリットがある

ネットワーク分離では、組織・企業の内部ネットワークに接続している端末(基幹系システム)、インターネットに接続している端末(情報系システム)を物理的、論理的、仮想的に切り離します。

ネットワークを物理的に分離する場合、インターネット接続端末と内部ネットワーク接続端末をLAN回線で接続しません。インターネット接続環境を内部ネットワークと物理的に切り離すことにより、ランサムウェアなど標的型サイバー攻撃によるウイルス侵入経路を物理的に遮断できます。

しかし、物理的分離では、情報系システムを処理する端末、基幹系システムを処理する端末と複数台の端末が必要です。また、ネットワーク間はLAN回線で接続されていないため、情報伝達には、USBメモリなどの可搬媒体を使用します。利便性は低く、可搬媒体の使用にはウイルス感染などリスクが伴います。

一方、ネットワークを論理的に分離する場合、インターネット接続端末と内部ネットワーク接続端末はLAN回線で接続されています。ルーティングやファイアウォールなどでネットワークの流れ・方向、通信プロトコルなどにてアクセスを制限し、倫理的に分離します。

物理的分離とは異なり、倫理的分離では端末の複数台持ちは不要となり、利便性は高まります。しかしながら、ネットワーク間の厳密な通信制御が不可欠です。通信設定を誤ると安全性が損なわれ、費用面でのコストも小さくありません。

ネットワーク分離はセキュリティ強化には効果的ですが、一方、「セキュリティレベル」「利便性」「費用」などの各観点よりメリット・デメリットがあります。セキュリティレベルのプライオリティが高いならば端末を複数台に分ける物理的分離、利便性を重視するならば単一端末で通信制御による倫理的分離が有益でしょう。

利便性を損なわず、強固なセキュリティである「物理分離」を実現する

前節で、ネットワークを物理的に分離する際には、情報伝達のために可搬媒体が必要になり、その利便性や管理面での問題がると述べました。

このため、多くの企業では論理分離を選択することが多いのですが、ソフトウェアによる分離では、人的ミスやゼロデイ攻撃などの脆弱性を突かれることもあり、実際に年に数件の事故が報告されています。

NＴＴテクノクロスの「データブリッジ」はそんな問題を解決する、物理分離環境での情報伝達ツールです。2つの異なるネットワークをUSBケーブルで接続し、データを一方向に渡します。ファイルの制限やログの管理など、管理面でも充実しており、利用者・管理者どちらにとっても有益かつセキュアな通信を行えます。
強固なセキュリティを検討するのであれば、ぜひ「データブリッジ」を検討してください。