- セキュリティの重要性
LANやインターネットを始めとするネットワークを活用することで個人やに企業おいて情報共有やコミュニケーションの向上というメリットが受けられますが、一方、情報の不正入手など悪意のある操作も可能となってきます。そこで正規の利用者かどうかの認証や盗難時に備えた暗号化などが必要となってきます。
自分のためにと思うと面倒な作業ですが、家族や知人を疑わなくて済むための保険と思えば面倒な手続きも違った受け止め方ができるのではないでしょうか？各セキュリティー技術は非常に高度なものですが、利用する上での操作方法は非常に簡単です。ウイルスやスパイウェアから大事な情報を守るためにも、ワクチン、ファイアウォールソフトは必須のアイテムとなっています。
- 情報システムのセキュリティ
・アクセス制御（access control)
ユーザID、ユーザグループ、アクセス権限
・認証(authentication)
パスワード、コールバック、発信者情報(番号)、デジタル署名、証明書
- 暗号/復号化(encryption/decode)
データの改変、復元
（暗号化）
盗聴の防止
データ混ぜる(例：文字を一つずらすIBM→HAL)
鍵(キー)：ビット列
・秘密鍵暗号方式(共通：common key cryptosystem)
鍵 1つ、
送受信者で同じ(秘密/共通鍵)
処理が高速
鍵の管理が難しい(多い、受け渡し難)
＜規格＞
DES、RC4※64bit
|
(暗号、復号の流れ)
A平文
※ひらぶん |
→
(暗号化
：AB秘密鍵) |
暗号文 |
→
(復号化：
AB秘密鍵) |
平文B |
・公開鍵暗号方式(public key cryptosystem)
鍵 2つ、
送受信者で異なる
暗号：公開鍵(誰でも手に入る)
復号：秘密鍵(本人のみ所持)
処理が低速
鍵の管理が簡単(少ない、受け渡し容易)
＜規格＞
RSA、DSA、楕円曲線
|
(暗号、復号の流れ)
| A平文 |
→
(暗号化：B公開鍵) |
暗号文 |
→
(復号化：B秘密鍵) |
平文B |
・ハイブリッド方式
共通、公開組み合わせ
(暗号、復号の流れ)
| AB暗号鍵 |
→
(暗号化
：B公開鍵) |
暗号キー |
→
(復号化
：B秘密鍵) |
AB暗号鍵 |
| A平文 |
→
(暗号化
：AB秘密鍵) |
暗号文 |
→
(復号化
：AB秘密鍵) |
平文B |
- デジタル署名
なりすまし、改ざん防止
※2つの技術を組み合わせる
（１）公開鍵暗号(鍵を逆に使う)
暗号：秘密鍵(秘密鍵は本人のみ)
復号：公開鍵(誰でも復号)
（２）メッセージダイジェスト
平文の要約文
ハッシュ(一方向)関数
平文→要約文(反対は不可)
＜規格＞
MD5、SHA
(署名の流れ)
平文
A |
→
(要約) |
要約文 |
→
(暗号
：A秘密鍵) |
デジタル
署名 |
→
(復号
：A公開鍵) |
要約文
B |
平文
A |
→
(要約) |
要約文
B |
※上とチェック→一致：OK、不一致：改ざんorなりすまし
・SSL(Secure Sockets Layer)
WWWやFTPの通信データを暗号化
Netscape社が考案
ハイブリッド方式
デジタル署名認証(主にサーバ)
盗聴、改ざん、成りすまし防止
- 不正アクセス
(行為)
IP、PWの無断使用
セキュリティーホール攻撃(アクセス制御無効)
(予防・対策)
ファイアウォール(通信データ監視)
パケットフィルタリング
(プロキシサーバ、ゲートウェイ)
不正アクセス禁止法(1999年制定、2000年施行)
- コンピュータウイルス
悪意のあるプログラム
（定義）
感染、潜伏、発病(いずれか1つ以上)
（感染症状）
画面表示、音楽演奏
プログラム、データの破壊(システム起動不可)
システム性能低下、停止(システム起動時間)
（分類）
・ウイルス 別ファイルに付着、置換(サイズ変更、起動タイミング)
マクロウイルス(データにも感染)
・ワーム ウイルスそのもの(単独活動)
・トロイの木馬 偽装プログラム
アドウェア(広告)、スパイウェア(情報収集)
(感染経路)
１．記録メディア（FD、CD-ROM)
２．ネットワーク(ダウンロード)
３．メール(添付ファイル)
４．Web(スクリプト、拡張プラグイン)
・対策
(予防)
１．ワクチンソフト＋ウイルス定義(1年ライセンス)
「ノートンインターネットセキュリティ(シマンテック)、
ウイルスバスター(トレンドマイクロ)」
２．バックアップ
３．セキュリティホール(パッチ適用)
(感染時)
１．ネットワーク切断
２．管理者への報告
３．ウイルス駆除
４．システム復元(リカバリ、リストア、パッチ)
５．最新プログラムの適用
- セキュリティポリシ
情報資産、組織体制、システム利用運用
↓(リスク分析、まとめ)
セキュリティポリシ
(構成)
１．基本指針(情報資産、脅威、範囲)
２．対策基準(行為、判断、伝達経路)
３．実施手順(マニュアル化、教育)
(関連制度)
・ISMA適合性評価制度(第3者審査登録機関：国際的評価)
リスクマネジメント
・プライバシーマーク
付与機関：JIPDEC：(財)日本情報処理開発協会
個人情報保護→マークの使用許諾
|
