昨年11月から3か月に渡った「先端セキュリティ構築術」の連載は今回が最終回である。一口にセキュリティと言っても、ウイルス対策からクローンツールまで幅が広い。それゆえ、高いセキュリティを実現することは非常に困難ということになる。セキュリティトラブルをすべて防止するのは不可能としても、ネットワークセキュリティを管理する「ベストプラクティス」はある。最後にこれを紹介してこのコラムを終わりたい。
1．目的を理解する ネットワークに接続すれば、安全ではないということを明確に認識する。リスク管理によって、リスクが回避できるわけではない。ネットワークに関しては、全面的に安全ということはありえない。
ときには、ある弱点の修正に要するコストが、脅威がもたらすコストを上回ることがある。この場合、ネットワークのその部分は脆弱なままで残される。ある場合には、特定の弱点を修正する手段が存在しないことがある。脅威は突然姿を現すので、修正が間に合わないことが多い。
2．セキュリティ評価を実行する どのような資産があるのか、それらの資産の弱点と脅威はどのようなものか、評価を行う。さまざまな脅威の可能性を理解する。特定の攻撃や故障が発生した場合にネットワークが受ける損失を定量化する。資産の優先度を決定し、次に、最良のセキュリティ手段を使って、重要なシステムを保護する。
3．方針と手順を決定する ネットワークの評価が終われば、企業のセキュリティ方針と手順について、合意に基づく決定をITが下すことができる。最終的な方針と手順を作成すれば、先を見越したネットワーク保護を、効率よく、高い費用効果で実現することに役立つ。
4．重要なシステムに最良の修復を加える 最も危険が大きい弱点に関しては、よく知られた防護手段がある。重要なシステムとその弱点を明らかにし、次に、その弱点に対する最良の修復法を探す。セキュリティトラブルによる損失を最小にするには、重要なシステムに時間とリソースの大半を投入する。
5．重要でないシステムは、ベースラインで最適手段を実行する ハッカーは、システムを破壊しようとするとき、あまり時間と労力はかけない。裏口の大半が侵入不可能であれば、ハッカーは別な獲物を狙う。目につくセキュリティホールをふさいでおけば、ほとんどの侵入者を阻止することができる。
6．事故対応計画を作成する IT専門家は、セキュリティトラブルに対して十分な準備をしなければならない。強力な事故対応計画を作成することは、実行する価値のある投資だ。安全なネットワークと共に、セキュリティトラブルによる損失を最小にすることは、ITにとって最大の目的である。これが意味するところは、侵入検出などの早期警報システムを設置し、重要なシステムとデータのバックアップを取ることである。
ネットワーク上の脅威はさらに増え続けるので、リスク管理は企業の生き残りに欠かせないものである。脅威の先行管理としてネットワークセキュリティに取り組めば、新たな課題を克服し、損失を最小限に抑えることができる。（シマンテック Symantec Security Responseマネージャー 星澤裕二）
