ネットワークセキュリティポリシーの主な目的にすべきでないものはどれ?基本目標を徹底解説

ネットワークセキュリティを学ぶ上で、「何がセキュリティポリシーの主な目的になり得るのか」「逆に、主目的にすべきでないのはどれか」という問いは非常に重要です。この記事では、ネットワークセキュリティの基本目標である「CIAトライアド」をはじめ、セキュリティポリシーに含めるべき要素、統制の種類、そして主な脅威までをわかりやすく解説します。

ネットワークセキュリティの基本目標「CIAトライアド」

情報セキュリティ(サイバーセキュリティ)には、次の3つの基本的な目標があります。

• 機密性(Confidentiality):許可された人物だけが機密情報にアクセスできる状態を保つこと。暗号化サービスを活用すれば、転送中・保存中のいずれのデータも安全に保てます。
• 完全性(Integrity):データが不正に改ざんされず、正確かつ妥当な状態を維持すること。
• 可用性(Availability):必要なときに、必要な人がシステムやデータへアクセスできること。

コンピュータネットワークやシステムのセキュリティを考える際には、ほぼ必ずこの3つの目標が議論されます。CIAトライアドは、セキュリティの各要素がそれぞれ根本的な目標を表す、情報セキュリティの基本モデルです。

ネットワークセキュリティの主な目的

ネットワークセキュリティの中核となる目的は、識別(Identification)、認証(Authentication)、アクセス制御(Access Control)の確保です。つまり、「誰がネットワークに接続しようとしているのかを特定し、本人であることを確認し、適切な権限を持つ者だけにアクセスを許可する」ことが求められます。

主な目的にすべきでないものとは?

ネットワークセキュリティポリシーの主目的は、機密性・完全性・可用性の確保や、識別・認証・アクセス制御の実現といった「セキュリティそのものの目標」です。したがって、単なる利便性の向上や業務の高速化、コスト削減のような運用上の目的は、セキュリティポリシーの主な目的にすべきではありません。ポリシーはあくまで「組織の情報資産を脅威から守るための規律」を定めるものであり、他の目的を優先するとセキュリティの本質が損なわれてしまいます。

セキュリティポリシーに含めるべき内容

ネットワークセキュリティポリシーには、少なくとも以下の要素を盛り込むことが推奨されます。

• 既知のリスクとその対策
• 障害発生時の復旧(リカバリー)手順
• システムの冗長化に関する方針
• ネットワークやシステムの問題を報告するための連絡先情報
• 本番ネットワークに接続するルーターやスイッチの設定方針

セキュリティポリシーに記載すべき主要テーマ

• 目的の明示:ポリシーが何のために存在するのかを説明する
• 対象読者の定義:ポリシーが誰に適用されるのかを明確にする
• 情報セキュリティの目標:組織が達成すべきセキュリティ目標を列挙する
• 権限とアクセス制御の方針
• データ分類:情報の重要度に応じた区分け
• データのサポートと運用
• セキュリティ意識と責任ある行動
• 従業員一人ひとりの権利・責任・義務の一覧

情報セキュリティ統制の3つの類型と5つの目的

ITセキュリティの統制(コントロール)は、大きく分けて技術的統制、管理的統制、物理的統制の3類型があります。また、統制は以下の5つの目的のいずれかを達成するために実装されます。

• 予防:脅威の発生を未然に防ぐ
• 検知:異常や侵害を発見する
• 是正:被害を復旧・修正する
• 補償:他の統制の弱点を補う
• 抑止:攻撃の意欲をそぐ

システムセキュリティの4大目標

コンピュータセキュリティの主要な目標は、否認防止(Nonrepudiation)、機密性、完全性、可用性の4つです。具体的には、コンピュータが秘密を守り、妥当な情報を維持し、オンライン取引を正しく処理・表示し、不正アクセスを防ぐことを指します。

セキュリティ戦略の主目的

戦略的な情報セキュリティ計画を作成することで、企業は人・プロセス・技術に関わる情報リスクに対して、低減(Mitigate)、移転(Transfer)、受容(Accept)、回避(Avoid)のいずれかの対応を選択できます。これにより、組織は機密情報の保護、完全性、可用性を全面的に確保しやすくなります。

なぜネットワークセキュリティポリシーが必要なのか

ネットワークセキュリティポリシーは、組織のセキュリティ統制を明文化するものです。適切なユーザー管理体制と組み合わせることで、悪意のあるユーザーを締め出しつつ、リスクの高いユーザーによる影響を最小限に抑えられます。

良いネットワークセキュリティポリシーの条件

どんなに立派な方針でも、組織やその構成員が実際に実施できなければ意味がありません。そのためには、完全でありながら簡潔で、可能な限り詳細を提供する文書が必要です。曖昧さを排除し、誰が読んでも同じ行動を取れるように記述することが重要です。

ネットワークセキュリティの基本ポイント

• ネットワークやサーバーへのアクセス権限を持つ人物を常に把握する
• すべての従業員を無条件に信用しない
• パスワードのベストプラクティスを徹底する
• サーバーやデバイスを確実に保護する
• 定期的にセキュリティテストを実施する
• ネットワークアプリケーションのトラブルシューティング体制を整える
• ファイアウォールなどのハードウェアツールを活用する

コンピュータセキュリティにおける3大脅威

コンピュータ上の情報とアクセスに対する主要な脅威は、次の3つに分類できます。

• データ窃取:軍事機密などの情報を盗み出す行為
• 破壊行為(バンダリズム):コンピュータウイルスなどを用いた破壊活動
• 不正行為(詐欺):例えば銀行員が自分自身の口座へ資金を送金するような内部犯行

まとめ

ネットワークセキュリティポリシーの主な目的は、機密性・完全性・可用性(CIA)の確保、および識別・認証・アクセス制御の実現です。これら以外の項目――例えば利便性や性能の向上といった運用面のゴール――は、セキュリティポリシーの主目的に据えるべきではありません。まず「何を守り、どう守るか」を明確にし、実行可能で詳細なポリシーとして文書化することが、堅牢なセキュリティ環境構築の第一歩となります。