ネットワークセキュリティ計画の策定方法｜テストと監視のための実践ガイド

ネットワークセキュリティ計画の重要性

優れたネットワークセキュリティ体制を整えることで、企業はデータ窃取やハッキングによる被害のリスクを大幅に低減できます。ネットワークセキュリティは、ワークステーションをスパイウェアから守るだけでなく、共有データの安全性を確保する役割も担います。また、大量のトラフィックがもたらす不安定性やシステム脆弱性の露呈を防ぐためにも、計画的なセキュリティ運用が欠かせません。

ネットワークセキュリティの主な目的

ネットワークセキュリティの最大の目的は、ネットワークとデータを侵害・侵入・その他の脅威から保護することです。これは単一の技術ではなく、ハードウェアとソフトウェアのソリューションに加え、ネットワークの利用方法・アクセス制御・攻撃からの防御方針までを網羅する包括的な概念です。

ネットワークセキュリティ計画の策定方法

サイバーセキュリティ計画を始めるには、まず「何を守るのか」という保護対象資産を明確にすることが出発点となります。以下の手順で計画を進めましょう。

• 資産・リスク・脅威の優先順位付け：保護すべき資産、想定されるリスク、脅威の3要素を整理し、重要度の高いものから対処します。
• 目標達成のための計画作成：具体的なアクションプランを策定します。
• ポリシーの文書化：サイバーセキュリティポリシーは必ず文書として残し、組織内で共有します。
• 組織目標との連携：セキュリティ目標を経営目標と結び付けます。
• 脆弱性の確認：計画段階および運用段階で脆弱性がないかを検証します。

具体的なセキュリティポリシーとしては、以下のような施策が挙げられます。

• ネットワーク内外のトラフィックをフィルタリングするファイアウォールの導入
• 機密情報の安全な保管場所の確保
• DMZ（非武装地帯）の構築
• 認証方式の明確化
• データ暗号化システムの設計
• ソーシャルエンジニアリング攻撃への対策強化

セキュリティ計画を構築する6つのステップ

1. ビジネスモデルの理解：自社のビジネス構造を把握し、守るべきものを特定します。
2. 脅威評価の実施：実際にどのような脅威が存在するのかを分析します。
3. ITセキュリティポリシーと手順の策定：システムごとのルールを文書化します。
4. セキュリティ意識の浸透：組織全体に安全・保安の重要性を根付かせます。
5. インシデント対応プロセスの定義：発生時の対応フローをあらかじめ決めておきます。
6. セキュリティ管理策の実装：技術的・運用的な対策を実際に導入します。

ネットワークセキュリティテストの実施方法

ネットワークセキュリティテストとは、ネットワーク上に存在するセキュリティ管理策を評価・記録し、脆弱性を特定して実証する手法です。電子的なあらゆるデータを対象に実施でき、セキュリティ防御の正当な検証手段として、コンプライアンス要件の充足にも活用されています。主なテスト手法は以下の5つです。

1. ポートスキャン：ポートスキャナーを使い、ネットワークに接続されているすべてのホストを検出します。
2. 脆弱性スキャン：既知の脆弱性が存在しないかを自動的に診断します。
3. 倫理的ハッキング（ペネトレーションテスト）：攻撃者の視点でシステムへの侵入を試みます。
4. パスワードクラッキング：パスワードの強度を実際に検証します。
5. 脆弱性テスト：個別の弱点を重点的に確認します。

自社ネットワークへのペネトレーションテストは可能？

自ら所有・管理するネットワーク内でテストを行うこと自体に法的な障害はありません。ただし、実施前にはPTES（Penetration Testing Execution Standard）やOSSTMMといったペネトレーションテストの標準フレームワークを学び、テストの全体像と進め方を理解しておくことが重要です。

おすすめのセキュリティテストツール

• Metasploit（metasploit.com）：無料で使えるオープンソースのペネトレーションテストフレームワーク。
• Wireshark（wireshark.org）：ネットワーク上のパケットを詳細に解析できるプロトコルアナライザー。
• w3af（w3af.sourceforge.net）：Webアプリケーションの脆弱性診断に特化した、使いやすいオープンソースフレームワーク。
• Nipper（titania.co.uk コミュニティ版）：ファイアウォールやルーターなどの設定ミスを監査するツール。

ネットワーク・コンピュータセキュリティの5つの必須要件

1. 正確な識別：ネットワークユーザー、ホスト、アプリケーション、サービス、リソースを確実かつ正確に識別できること。
2. 境界防御：ネットワークの境界線における保護措置。
3. データの機密保持：データのプライバシーを確保すること。
4. セキュリティ監視：システムのセキュリティ状態を継続的に監視すること。
5. ポリシー管理：セキュリティポリシーを一元的に管理する仕組み。

セキュリティの5要素（情報保証の5本柱）

米国では、情報保証（IA）の5本柱モデルとして、以下の5要素でユーザーデータを保護することが提唱されています。

• 機密性（Confidentiality）：許可された者だけが情報にアクセスできること。
• 完全性（Integrity）：情報が不正に改ざんされないこと。
• 可用性（Availability）：必要なときにいつでも情報へアクセスできること。
• 真正性（Authenticity）：情報の発信元が本物であることを保証すること。
• 否認防止（Non-repudiation）：取引や通信の事実を後から否認できないようにすること。

日頃から実践したいネットワークセキュリティ要件

• 最新のパッチとアップデートを適用し続ける
• 強固なパスワードポリシーを徹底する
• VPNの安全性を確保する
• データへのアクセス権限を適切に管理する
• 休眠アカウントを放置せず、定期的に棚卸しする

エンタープライズネットワークを守る5つの実践対策

1. ファイアウォールの導入：第一の防衛線として必ず設置します。
2. ルーターによる保護：ルーターのセキュリティ機能を活用します。
3. WPA2の利用：Wi-FiネットワークはWPA2（Wi-Fi Protected Access 2）以上で暗号化します。
4. メールアカウントの保護：安全なメール環境を維持します。
5. ウェブサイトのセキュリティ確保：公開サイトも常に安全な状態に保ちます。

まとめ

ネットワークセキュリティ計画は、「何を守り、どのような脅威から守るのか」を明確にすることから始まります。資産・リスク・脅威の優先順位付け、ポリシーの文書化、インシデント対応プロセスの整備に加え、ポートスキャンや脆弱性スキャン、ペネトレーションテストなどの定期的なセキュリティテストを実施することで、防御体制の有効性を継続的に検証できます。機密性・完全性・可用性・真正性・否認防止という5要素を軸に、多層的な対策を講じることが、堅牢なネットワークセキュリティへの近道です。