ネットワークセキュリティポリシーの制御とプロトコルを徹底解説

ネットワークセキュリティ制御とは

ネットワークセキュリティ制御とは、サービスの機密性・完全性・可用性を確保するために講じられる技術的・管理的な保護措置のことです。セキュリティ侵害（インシデント）のリスクを最小限に抑えることを目的として実装されます。

効果的なネットワークセキュリティポリシーの第一歩

効果的なセキュリティポリシーを作成する際には、まず誰がポリシーに資金を提供し、承認するのか、そして誰がその影響を直接受けるのかを明確にすることが重要です。アクセスポリシーでは、管理者、ネットワーク運用担当者、一般ユーザーがそれぞれ何にアクセスできるかを定義します。

ネットワークセキュリティポリシーの主な種類と対策技術

ネットワークセキュリティには、以下のような多様な手法があります。

• ファイアウォール：事前に定義されたセキュリティルールに基づき、すべてのネットワークトラフィックを制御します。
• ネットワークセグメンテーション：ネットワークを分割し、被害の拡大を防ぎます。
• リモートアクセスVPN：暗号化された安全な通信経路を通じて、社外から安全に接続します。
• メールセキュリティ：フィッシングやマルウェアなど、メール経由の脅威から組織を守ります。
• DLP（データ損失防止）：機密データの外部への漏えいを防止します。
• IPS（侵入防止システム）：不正侵入を検知し、自動的に阻止します。
• サンドボックス：疑わしいファイルを隔離された環境で安全に検証します。
• ハイパースケール時代のネットワークセキュリティ：大規模・分散型環境に対応したセキュリティ設計が求められます。

セキュリティポリシーの5つの構成要素

セキュリティポリシーには、次の5つの重要な要素が必要です。
① 機密性　② 完全性　③ 可用性　④ 真正性　⑤ 否認防止
これらは情報セキュリティの基本目標として広く知られています。

セキュリティポリシーに含まれる制御項目

セキュリティポリシーには、以下のような具体的な制御項目が含まれます。

• ウイルス対策の手順
• 侵入検知（IDS）
• インシデント対応手順
• リモートワークに関する規定
• 監査（オーディット）
• 従業員への要件
• 違反時の結果と懲戒処分
• 退職者のアカウント処理
• IT資産の物理的セキュリティ
• サポート窓口の連絡先

ネットワークセキュリティポリシーの定義

組織のネットワークセキュリティポリシーとは、コンピュータネットワークへのアクセスに関するガイドラインとその施行方法を定め、セキュリティポリシーがどのように適用されるかといったネットワークの運用アーキテクチャを決定するものです。

セキュリティ制御の4つの分類

• 物理的制御：施設への物理的なアクセスを制御します。
• サイバー制御：サイバー空間を通じたデータへのアクセスを制御します。
• プロセス制御：業務プロセスにおける統制を行います。
• 技術的制御：技術的な手段による保護を実施します。

さらに、コンプライアンスの監視と管理も重要な要素となります。

ネットワークセキュリティの3つの制御カテゴリ

ネットワークセキュリティの制御には、「物理的制御」「技術的制御」「管理的制御」の3種類があります。それぞれの違いと実装方法を理解することが、効果的なセキュリティ体制の構築につながります。

ネットワークアクセス制御（NAC）とは

ネットワークアクセス制御（NAC）は、許可されていないユーザーやデバイスがプライベートネットワークに接続できないようにする仕組みです。NACにはさまざまなツールが存在し、その機能は多くの場合、1台以上のアクセスサーバーによって実行されます。

ネットワークセキュリティポリシーに含めるべき項目

• ポリシーの目的
• 対象者（関係者の範囲）
• 情報セキュリティの目標
• アクセス制御および権限ポリシー（物理的・論理的セキュリティの両方）
• データ分類体系
• データに関わるサービスと運用
• セキュリティ意識の啓発と対応方針
• 各個人の権利と責任

ネットワークセキュリティポリシーが重要な理由

ネットワークセキュリティポリシーは、セキュリティ脅威を限定し、ITセキュリティの脆弱性を軽減するとともに、ネットワークへの不正侵入が発生した際にとるべき対応手順を定義します。また、従業員にとって適切な行動とは何かについて具体的な指針を示す役割も担います。

ネットワークセキュリティを効果的にするための対策

• 物理的な対策を徹底する
• サーバーのセキュリティ機能を有効化する
• ハードウェアとソフトウェア両方のファイアウォールを使用する
• サーバーのソフトウェアを常に最新の状態に保つ
• パスワードを厳重に管理する
• Wi-Fiの安全な使い方を理解する

セキュリティポリシーの3つの種類

セキュリティポリシーは、大きく3つに分類できます。

• 組織（マスター）ポリシー：組織全体に適用される基本方針
• 副次的ポリシー：マスターポリシーを補完する詳細な方針
• 技術（システム固有）ポリシー：特定のシステムや特定の課題に適用されるポリシー

ネットワークポリシーとは

ネットワークポリシーは、ユーザーやデバイスがネットワークに接続できる条件と制約、および接続可能な状況を定義します。NPS（ネットワークポリシーサーバー）は、認可プロセスを通じて、ユーザーやコンピュータがいつネットワークへの接続を許可されたかを判断します。

セキュリティの5つの種類

• クリティカルインフラストラクチャセキュリティ：社会基盤となるシステムやサービスを保護します。
• ネットワークセキュリティ：ネットワーク通信を脅威から守ります。
• クラウドセキュリティ：クラウド環境上のデータやアプリケーションを保護します。
• IoTセキュリティ：IoTネットワーク特有のリスクに対応します。
• アプリケーションセキュリティ：アプリケーションの脆弱性を防ぎます。

セキュリティポリシーの基本構成要素：CIA

セキュリティポリシーの中核となるのは、CIA（機密性・完全性・可用性）です。

• 機密性：データや情報資産が、許可されていない者と共有・開示されないこと。
• 完全性：正確で完全なデータ基盤と、シームレスなITインフラストラクチャが維持されていること。
• 可用性：ユーザーが必要な情報やシステムに常にアクセスできること。

情報セキュリティ管理の5原則

米国国防総省は「情報保証の5本柱」モデルにおいて、ユーザーデータを不正なアクセス、改ざん、開示、破壊から保護することを義務付けています。この5本柱とは、機密性、完全性、可用性、真正性、否認防止です。組織がセキュリティポリシーを策定する際にも、これらの原則を踏まえた設計が推奨されます。