第２６１号コラム：丸山 満彦 監事
（デロイト トーマツ リスクサービス株式会社 パートナー、公認会計士、公認情報システム監査人）
題：「セキュリティの基本はずっとかわっていない」
脅威の監視
（中略）
（監視要員）
脅威の監視は、システムの構築と運用に責任をもつ要員から、組織的に分離された人たちによって実行されているか。
（侵害の時間分析）
動的な脅威の監視は、第一義的には、侵害を成し遂げようとする侵入者が利用できる時間を減少させる技術であるので、侵害に必要と思われる期待時間を推定し、次にその有効時間内に、侵害を発見できるような動的技術の最も安価な集合を選んだか。
（中略）
（ファイルへのアクセス記録）
特定ファイルに対するアクセスは、選別して記録され、分析されているか。
（利用者へのアクセス記録）
特定の利用者によるアクセスは、選別して記録され分析されているか。
（誤用の報告）
考えるアクセス上のすべての誤用について、定期的に報告書が作成されているか。
（監視部門）
もし、環境がごくわずかな漏洩さえも許容しないとすれば、監視のための部署が設置され、コンピュータが作動しているときはいつでも、機密保護管理者が配置されているか。そして、ソフトウェアは、可能な妨害をこの部署で動的に記録するために改良されたか。そしてこの情報が即座にわかるように機密保護管理者の利用できる手段はあるか。
（対策行動の責任）
許可されていないアクセスが行われているのを発見した場合に、直ちに行動をおこす責任をもっている人がいるか。
（管理者の対抗策）
ソフトウェアは、管理者が任意に端末をログオフして、動的に脅威の監視を実行することを許すか。もし脅威が十分大きければ、彼はすべてのオンライン・オペレーションを停止させることができるか。
（監視プログラムと手続きの変更）
脅威監視手続きには、監視プログラムと手続きそのものを改善するための分析が含まれているか。そしてこれらのプログラムや手続きが適時に変更されることを保証するメカニズムが存在するか。またこの監視－分析－変更サイクルは、おかれている環境と脅威の項目に対して十分対応できるか。
（後略）
＝＝＝＝＝
上記は、１９７７年２月１５日に発行された「セキュリティ コンピュータ・システムの機密保護マニュアル」（米国情報処理学会システム改善委員会編 横山保・萬代三郎 監訳）の１９８ページから２００ページにかけた文章を抜粋したものである。原文は、１９７４年に発行されているので、およそ４０年前の内容ということになる。
多少訳語が現在とは異なるので、異なったイメージを持つかもしれませんが、内容は現在にも通じる内容と思いませんか。セキュリティの基本というのは、コンピュータができたときからあまり変わっていないのだろうと思っています。そして、今後とも基本は変わらないのだろうとも思っています。なので、クラウドサービス、スマートフォンといった新しい技術やサービス形態、デバイスが登場しても、セキュリティの基本を抑えておけば大きく踏み外すことはないと思っています。むしろ、目先の目新しさに目を奪われて、本質を見逃す可能性も高いのではないかと。基本に立ち戻ることが重要なのではないかと思っています。
【著作権は丸山氏に属します】
