なんとなくわかる「人的脅威への対策」

先日まとめさせていただいた情報セキュリティにおける３つの「脅威」について今回は人的脅威に対しての対策について解説していきます。

情報セキュリティの脅威については上の記事でご覧ください。

Contents

人的セキュリティ対策

人に対して行うセキュリティ対策でセキュリティに対する意識の徹底や情報資源の重要性についての教育を行ったり、利用者がミスをした場合の対策や攻撃への対策がここに含まれる。

犯罪の予防方法を検討するための理論です。次のような効果が望めるセキュリティ対策を検討する。

以下の３つの要因が揃ったときに内部不正が発生するものとして対策を講じる方法。

要因	要因の解説
機会	不正が行える状況。社内の情報資産の管理のずさんさ、セキュリティに対する意識の低さなど
動機	不正を行う理由となるもの。金銭面の問題、職場への過度なストレスなど
正当化	不正を正当化する理由づけ。会社のセキュリティなら犯罪がバレないなど

この３つの要因が揃わないように対策していく必要があります。

パスワードクラックに対してセキュリティ対策を行います。パスワードクラックについては別に記事にまとめましたので参考にしてください。

パスワードに対してミスできる回数を設定し、それを超えた場合はログイン方法が変わったり管理権限を持つアカウントからのアカウントロックの解除をする。これはブルートフォース攻撃に対して対策することができる

サイトごとでパスワードを使い回さずに、それでいて長くて複雑なパスワードを設定すること。パスワードリスト攻撃、フィッシングに対して対策されている。

管理者権限のような権限を持ってシステムに対して命令が行えるユーザを特権ユーザといい、そのユーザの持つ権限を特権的アクセス権という。特権ユーザを定めることで一般ユーザが悪意を持ってシステムを変更して混乱を招くことや社内のユーザの削除などをできなくすることができる。

特権ユーザを作成するときに、そのユーザが使う権限のみを与えるようにする考え。必要最低限の権限にしておくことで仮に特権ユーザに不正ログインされたときに全ての権限を与えた特権ユーザが被害を受けたときに比べて被害を縮小することができる。

ログとは情報機器に通信の履歴でネットワークの異常などを時系列の記録する。このログを用いて不正アクセスや攻撃を記録することで攻撃方法や攻撃を受けた原因の究明を行うことができる。