情報セキュリティ基盤論

(1)

情報セキュリティ基盤論

2010年度

(2)

開講に当たって

• この講義は、以下の目的で開講するものです。

昨今、インターネットを舞台としたセキュリティ侵害に関する事

件、事故が多発している。それらに対応するために暗号化、

PKIを含むさまざまな技術と制度が提案され、実際に効果を

上げている。ここでは、セキュリティに関係する技術とそれを

実際に配備する制度の両方について講義を行い、学会と社

会の具体的な要求に応えることを目標とする。

(3)

授業スケジュール

• ガイダンス (4/6 今日)

• コンテンツの電子化・ネット化・クラウド化

–

分散化するコンテンツ利用

–

集権化するコンテンツ管理

• セキュリティ・リスク分析（ISO31000)

–

リスク評価

–

リスク分析

• 具体的なリスク (NetHackの実際)

–

脅威・脆弱性

–

演習

• 対策

–

電子認証

• 社会制度

(4)

講義・評価のスタイル

• この時間はガイダンスです（約1時間）

– キーワードのいくつかは示しますが、この1時間で「わかった気持ち」になって

はいけません。

– キーワードを操ってなにかをしようとする考えは学問をする姿勢とは対極にあ

るものです。

• SIGMAXYZ (

http://www.sigmaxyz.com/

) の講師による講義と

演習

から

なります

– ときどき、基礎的な事項について佐藤が講義をすることがあります

• 学期末レポートの提出により成績をつけます

– レポートは添削して返却します

(5)

Webページ

• http://www-sato.cc.u-tokyo.ac.jp/PKI-project/SecInf.html

• 講義資料はWebページにアップロードします

(当日の朝までには…)

• Proprietaryのものがほとんどですのでアクセス制御

をかけます

(6)

教科書

• 昨年の講義までで、講義の「標準体系」ができつつ

あるので、冊子体の教科書を作りました。

• 授業のWebページの資料編と同じところに、「教科

書」をアップロードしておきます。

• 授業の予習・復習に使ってください。

(7)

(8)

Security?

• システムをターゲットにしたセキュリティ

– コンピュータセキュリティ

– ネットワークセキュリティ

• 「情報」をターゲットにしたセキュリティ

– 組織のもつ情報資産の保護

• 知的財産、財務、個人情報、…

• 「組織」での対応の仕方

– 運用（Operation）

– 管理（Management）

– セキュリティポリシー

(9)

Definition of Security

• Computer Security (Wikipedia)

コンピュータ

を災害、誤用および不正な利用からコンピュータシステムを

守ることであり、ハードウェア、ソフトウェア、データのいずれについて

もその機密性、完全性、可用性を維持することである。

• Network Security (Wikipedia)

コンピュータネットワーク

の

インフラ

の規定、無資格者のアクセスから

ネットワークとネットワークからアクセスできる資源を守るために

ネット

ワーク管理者

によって導入される方針、および一貫した継続的な監

視とその効果(場合によっては欠陥)の評価

• Information Security (Wikipedia)

(10)

この講義では…

• この授業は、「情報科学の一分野としてのセキュリティ」とい

うよりは、実社会での情報セキュリティの問題の現れ方、使

われ方に力点をおきます。

• 大枠は体系的に構築しますが、トピックは具体的に提示しま

す。見え方がアドホックであることを恐れません。

• 「概念的」「教科書的」な講義ではありません。実際の場にい

るものの体験に基づく講義です。

(11)

この講義では…

• 「実社会」で「標準的」に展開されている情報セキュ

リティ技術を体系的に解説します

– Computer Scienceでは、ともするとシステムをひとつ固

定した中で「病理学的」なアプローチからシステムの脆弱

性を解析することがある（システム内でのセキュリティバ

グの発見、セキュアプログラミング方式の提案 etc.）

– 実社会では、セキュリティは個々のシステムだけを対象に

対策されているのではない！

(12)

この講義では…

• 「実社会」での情報セキュリティの考え方は「病理学的」なア

プローチだけではない

• 「社会」において「組織」が活動するときに必要となる情報シ

ステムのセキュリティをどう担保するか？

– 現在、「情報システム」は組織の意思決定に必須のものである

– 組織の有限の資源の配分を考えれば、何が起こり得るかを正しく分

析した上での効率的な投資が求められる

– 「疫学」的なアプローチが実は重要である。

• 「疫学的なアプローチ」とは、「集団の振る舞いに対して」「仮説を立てて」

「分析しながら仮説を実証していく」アプローチである

(13)

• 例えば、日本における代表的な資格である「情報セ

キュリティアドミニストレータ」では何を期待されてい

るか？

• http://www.jitec.jp/1_11seido/h13/ss.html

(14)

情報セキュリティの目的

• このようにして何を守るのか？（Revisited）

– 情報を

– 権限を有しない人からのアクセス（読み（窃盗を含む）書き（改竄を含む））や暴露から

• Man-in-the-middle Attack

• Privilege Escalation

• …

– 守る

• 情報セキュリティの議論は情報へのアクセス権限のコントロールの議論と表裏一

体です（このラインの話は別の場でします）

• 情報は「可用性」を持つのが基本（その情報を必要な正しい人はアクセスできる）

– 問題は「正しい人」の認識

– 問題は「誰でもできる」ことを組み合わせて「特定の人にしかできない」ことが構成され

ることを保証すること

• では、情報のもつ価値とは?

(15)

情報のもつ価値

• 安全保障

– スパイ映画でおなじみ

• 財産

– 財産、経済活動に関する情報

– 情報自体のもつ財産的な価値

• 自己決定権

– プライバシー

• 情報の持つ価値がわかれば、それに対するリスクの分析の仕方も決まる。

– 脅威の認識と頻度と「やられた時」の損害の評価

– 対策の決定

(16)

リスク分析

• 情報が価値を持つことがわかった（情報資産）

• 価値を持つものを所有することに対してはリスクが生じる

• リスクは、一番広い意味では「結果の不確実性」そのものを

指す

• 情報セキュリティに関しては一般に以下のように考える

• リスク＝資産×脅威×脆弱性

– 情報資産－その情報はどのくらい重要か

– 脅威－資産を持っていることで生じる危険性

(17)

リスク対応

• リスクがあることがわかったら、それにどう対応する

かが問われる

• 軽減（対策を取る）←セキュリティ技術の出番

• 回避（やめる）

• 移転（保険をかける）

• 受容（あきらめる）

(18)

脅威の認識

• 脅威の認識・分析は固定的なものではない

– 情報環境の激変

• ネットワーク環境の高度化

• サービスのクラウド化

– 組織の方針の変更

• 保証レベルの上下

• 外注による外部組織とのインタラクションの発生

(19)

授業スケジュール

• ガイダンス (4/6 今日)

• コンテンツの電子化・ネット化・クラウド化

–

分散化するコンテンツ利用

–

集権化するコンテンツ管理

• セキュリティ・リスク分析（ISO31000)

–

リスク評価

–

リスク分析

• 具体的なリスク (NetHackの実際)

–

脅威・脆弱性

–

演習

• 対策

–

電子認証

• 社会制度

(20)

キーワード

• リスク分析

– リスク分析の手法の解説

– たとえばセキュリティポリシーの実施に際してこの分析は

必須項目

• ネットハック

– Computer Security/Network Securityの観点から見た脆

弱性の解説と演習

• SQL Injection

• Session Hijack

• …

(21)

キーワード(Cont’d)

• この講義では「リアリティ」がキーとなります

– リスク分析の手法は実際に行なわれている・コンサルティ

ングで提示されるもの

– ネットハックの技術はここ数年現れ、対策されたもの

– 実際にセキュリティベンダーでは何が行なわれているか・

セキュリティコンサルティングでは何が行なわれているか

を実感してください

(22)

リアリティとは

• 現在の情報システム環境の大変化に対応し、情報

セキュリティのポイントも変化を余儀なくされている

– 5年前の常識が通用しない

• ディジタルコンテンツの流通拡大とそのビジネスモ

デル確立の遅れ

– 著作権の概念整理と公正利用への圧力

• クラウドの隆盛

– 従来の「組織」を前提とした情報セキュリティから、クラウ

(23)

具体的な脅威（「2010年版 10大脅威あぶり出さ

れる組織の弱点！」 by IPA)

第1 位変化を続けるウェブサイト改ざんの手口

第2 位アップデートしていないクライアントソフト

第3 位悪質なウイルスやボットの多目的化

第4 位対策をしていないサーバ製品の脆弱性

第5 位あわせて事後対応を！情報漏えい事件

第6 位被害に気づけない標的型攻撃

第7 位深刻なDDoS 攻撃

第8 位正規のアカウントを悪用される脅威

(24)

対策

• 「組織」が情報セキュリティを担保するときに考えな

ければならないことは何か？

– 実社会の行動とDigital Worldでの行動の対応付け

• Digital Worldでやってよいことは実社会の権限行使を反映してい

なければならない

– 実社会の制度のDigital Worldでの反映

• 実社会での法を含めた制度的な統制がDigital Worldで実現され

ていなければならない

(25)

Real WorldとDigital World

• 2つの世界

ID

File/

Process

File/

Process

実社

Digital World

(26)

Digital WorldにおけるID

• 「認証」＝インターネットの世界で、プロセスの持ち

主をどのように識別するか

In

computer security

, authentication is the

process of attempting to verify the

digital identity

of the sender of a communication such as a

request to

log in

. (Wikipedia)

(27)

Digital Identity

(I)

• 認証のためにはDigital Identityの管理が本質的

• 認証技術とは、認証を確実に行うためのIDの付与

の仕方、認証に当たってのチャレンジの方法と、そ

れが破綻する理論的な確率の研究を含む

(28)

Digital Identity

(II)

• Digital Identityの管理は、自然におおがかりなもの

になります

– 組織の中でのＩＤ管理体系（マスターデータの管理）

• IDのライフサイクル管理

– IDの作成→更新→廃棄の管理

– これをサポートするソフトウェアの開発

– ログの採取

• 組織の中でのID Managementへ

(29)

Digital

Identity

(III)

• 認証の強度

– 強度によって、アクセスできる情報の重要度を変えるということが普

通に行なわれています

– 「グレード」の概念

• NIST (National Institute of Standards and Technology)

のIDの認証の強さの基準

– ID Proofing

– Token管理

– Authentication

– Assertion

(30)

Access Control

• Digital IDと本人の結合ができてもそれだけでは十

分ではない

• IDが持っている

権限

(privilege, permission)は、

Real Worldでの対応する人の権限を反映していな

ければならない

• 「権限」を決めるのは組織の

ポリシー

(31)

Policy Enforcement Point

Servers

Policy Decision Point

1. Request

2. Request

For Check

3. Result of Check

(Yes/No)

5. Access

4. Reply

Attribute Provider

Making Decision

(32)

社会制度としてのセキュリティ

• 組織をとりまく環境について

組織

社会制度（法律等）によ

強制

O 個人情報保護法

O 金融商品取引法

「世間の目」による信

O ブランド

O 格付け

(33)

社会制度としてのセキュリティ

• 各種マーク

組織

Security Policy

評価＆格付け →資

プライバシーマー

セキュリティマーク

…

WTCA

EV証明書

(34)

組織のセキュリティ統制

• セキュリティポリシー

– 基本方針・対策基準・実施手順

– 外部に対する宣言/内部統制のための規則

• 内部統制

– 統制のための基準としてのISMS、CISSP

– コンプライアンスの本来の意味は「上の意思の強制」

• 監査

– 外部監査・内部監査

– 外部に対して基準の遵守を主張する手段

(35)

社会制度としてのセキュリティ

• 社会において、組織（法人）があることを主張するに

は

– 組織そのものの持っているブランドによる力

• 「おれは偉いんだ」スキーム

– 権威ある第三者機関のお墨付き

• 各種「マーク」制度・「シール」制度

– 主張のお墨付きのための監査制度

• 公的な外部監査、内部監査、内部統制

(36)

社会制度としてのセキュリティ

• マーク制度ではさまざまな規則制定と定期的な監査が強制

される

– 例えば

• マークの権威が大きくなるにつれて「大きすぎてつぶせない」

問題との折り合いをどうつけるかが問題になる

– つい最近にも問題が顕在化（金融機関の話には限らない）