社員のセキュリティに対しする意識 Part2

前回の続きです。

前回はセキュリティ対策の一番の肝は「社員のセキュリティに対する意識」だということの話をさせていただきました。

しかし、これが本当に難しい。

セキュリティは仕事とは関係ないと思っている人が多いからです。

もし、私のメールパスワードが単純で、破られてしまった場合、
そのメールに客先から重要な情報の書かれた添付ファイルがあったとします。

例え、その添付ファイルにパスワードかかけてあり、
別のメールでパスワードが送られていたとしても、パスワードが破られては何もかもおしまいです。

添付ファイルにパスワードをかけ、そのパスワードを別のメールで送ってくる企業は感度が高いので、パスワードが破られ、ファイルが外に漏れたことを知る可能性はあるでしょう。

そうなればその客先との取引は止められ損害を受けることになります。その客先が会社の業績を左右するようなところであれば、責任を取るしかなくなることだってあり得ます。

また、直接そういった被害にあわなくても、踏み台にされ多大な迷惑をいろいろな方面にかけることだってあり得ます。

決して仕事とは関係ないことではないと思ってもらいたいだけです。

また、セキュリティ対策はウィルスチェックのソフトを入れるだけでは叶いません。

パスワードの書かれた紙を普通にごみ箱に捨て、それを拾われるソーシャルエンジニアリングといったものもありますし、

さまざなまサービスでパスワードを使いまわすことによって被害が拡大するパスワードリスト攻撃などいろいろあります。

これはウィルスチェックソフトでは防げません。

それを防ぐにはシステムエンジニアや情報システム部門だけではできません。

意識を高めてもらうしかありません。

システムエンジニアといれば、PCに一日中向かって、プログラミングやサーバの設定をいじった入りといった印象が強いかもしれませんが、これからは「教育する」といったことも必要になり、今まで必要とされたスキル以外に、

人前でわかりやすく話す技術であったり、だれにでもわかる資料の作り方であったり、
そういったスキルを高める必要が出てきたのを強く感じました。

社員のセキュリティに対しする意識

こんばんは！

以前はPCのハードウェア面だったり、OSが起動しなくなったなどのトラブルの対処が仕事の中で、大きな割合を占めていましたが、ここ数年はセキュリティへの対策などに時間を割くことの方が多くなりつつあります。

最近はハードウェアも昔に比べ壊れにくくなってきていますし、SSDなどの普及もあり、そういった面での仕事は楽になってきてはいます。

また、OSもVista以降、ハードディスクに問題があり、そろそろ壊れそうになると警告を出してくれたりといった機能もあり、完全に壊れてしまう前に対処でき、メンテナンスも楽になりました。

物事って、何かが楽になると新しい試練が待ち構えているという仕組みなんでしょうか。

セキュリティ対策は非常に難しいです。

私は、遠隔地を事業所として持っている会社にいますが、普段合わない社員にまで浸透させるのは至難の業です。

セキュリティ対策が浸透する、会社として合格点といえるようになる方法はただ一つしかありません。

社員のセキュリティ感度を上げること

これしかありません。
逆に言うと、これが高ければあとはこちらから何もしなくても、自発的に、
「こういうサイトは大丈夫かな？」
「こういうフリーソフト入れたいんだけど」
「外部のクラウドストレージは不安だから、会社でやってよ」
など、意見や質問が来ることにります（※上記のものはそれ自体に問題があるわけではありません）。

個人個人でいろいろ考えてくれると、例えばファイアウォールを導入するときにも、簡単な説明で納得してもらえます。

会社としてセキュリティ対策をしていくと、不満が出る場合もあります。ファイアウォールを導入するときを例にとると、

「突然、あのサイトが見られなくなったんだけど」

というような不満が出ます。
ファイアウォールの主機能のひとつに「URLフィルタリング」という機能があります。

メーカーがサイトのデータベースを作成し、好ましくないサイトまたはカテゴリー対してブロックするように設定されています。

この設定はサイトごと、カテゴリーごとに解除することができますが、
セキュリティ対策としてそれでいいのか、疑問を持たないことが「セキュリティ感度が低い」ことになります。

長くなってしまったので、続きは次回へ

Palo Alto Networks（パロアルトネットワークス）のファイアウォール

最近ちょくちょくPalo Alto Networks（パロアルトネットワークス）の情報をネット上でもよく見かけるようになりましたね。

まだ、設立されて日が浅い会社のようですが、技術力はしっかりしているようで今の乗っている企業のようです。

実は筆者の会社でも2年前くらいから同社のPAシリーズのPA-500を使用しています。

他のファイアウォールを利用したことがないので、他との比較はできませんが、私の思い描いていた機能を備えているものだと思いました。

なかでも、ファイアウォールを通過したログをアプリケーション単位で見えることが、非常に面白いと感じました。
通信をアプリケーション単位で認識しますので、当然特定のアプリケーションの通信のみをブロックするというようなことが可能です。

利用する場面としては、ファイル共有ソフトやニコニコ動画などを絞ってブロックすることができます。
また、ここでいうアプリケーションとは、PCなどにインストールするソフトではなく、WebアプリケーションやサービスをAppとして認識できます。
例えば、ブラウザ上で動くFacebookやTwitterなど個別に識別でき、閲覧はできるけど、投稿はできないなどの制御も可能な点はすごいと感じました。

また、SSL-VPN機能「GlobalProtect」がついていて、社外などから、安全に社内のネットワークにアクセスすることができ、ファイアウォールの機能も利用することができ、ウィルスなどから守ってくれます。

導入した当初、マニュアルが辞書みたいで、手順書としての機能がなかったので、苦労しましたが、徐々にベンダーが独自によく使う設定や機能などを手順としてまとめてくれるので、やりやすくなってきています。

PA-500は下から二番目の機種で、中小規模のオフィス向けだと思いますが、もっと小さいところ向けにPA-200という機種もあります。こちらは現物を見ましたが、かなり小さく、そんなに音もなかったような気がします。

一つ難点が……
ファンの音が非常に大きいことです。事務所と同じ場所にはなかなか置きづらいものがありますので、別室に隔離しておくことにります。

ファイアウォールは今後、小さいオフィスでも必須のネットワーク機器になりつつあるかと思います。製品導入の一考に加えてみてはどうでしょうか？

Baidu-imeが世間をさわがせました

昨年末に中国製の日本語入力ソフトBaidu-imeが、入力した情報を外部に送信していたというニュースが世間を騒がせました。

官公庁、大企業でもかなり情報を送信していたという記事を私も目にしました。

当社ではパロアルトネットワーク社製のファイアウォールを採用していて、
年末のバージョンアップ後にBaidu-imeが識別できるようになりました。

やはり当社でも数箇所のPCからそれが外部に対して送信したログが残っているのが、発見されました。

調べてみると、インストールされたのはいずれも2013年10月ごろで、
フリーソフトをインストールした際に一緒に入り込んでいたようでした。

ITの管理者としてこういったことは事前に防がなくてはいけませんが、
まだ新しいソフトの場合は、ファイアウォールで識別し、止めるのは
非常に難しいことです。

あるニュース記事の中でIT管理者が今後どうするべきかと言う
ことが書いてありました。

・クラウドやフリーソフトをインストールしたり、会社に無断で使うのは非常に便利だからつい使ってしまう。
・IT管理者としては、会社で用意するべきものはフリーのものを使うのではなく、しっかり用意してあげる。

といったようなことが書いてあったと記憶しています。

わざわざ、フリーソフトを使用しなくてもいい環境を整えてあげること。
どうしてもそういったツールを使いたい場合は、サンドボックス環境などを構築して、確認してから使用するなどの方法をとるのが、ひとまずは対策でしょうか？

本当に最近はセキュリティに関する問題が多く、頭を悩ませることが多くなりました・・・