ネットワークセキュリティの資産とは？具体例と管理・保護の方法を徹底解説

ネットワークセキュリティにおける「資産（アセット）」とは、組織にとって価値のあるあらゆるデータ・デバイス・システム構成要素を指します。本記事では、資産の定義から具体例、情報資産の分類方法、そして保護のための実践的な対策までをわかりやすく解説します。

ネットワークセキュリティにおける「資産」とは？

資産とは、組織のシステムを構成する要素のうち、機密情報を含んでいる、またはその情報へのアクセス手段を提供しているなど、価値があるとみなされるデータ・デバイス・コンポーネントのことです。デスクトップPC、ノートパソコン、会社支給のスマートフォンなどは資産の代表例であり、これらの上で動作するアプリケーションも同様に資産に含まれます。

資産セキュリティ（アセットセキュリティ）とは

サイバーセキュリティの文脈でいう資産セキュリティは、単にお金や財産を守ることだけを意味しません。パートナー企業、従業員、施設、機器、そして情報そのものまで、幅広い対象を監視・保護することが求められます。情報セキュリティの国際資格であるCISSPでも、「資産セキュリティ」は重要なドメインの一つとして位置づけられています。

なお、金融用語の「アセットバックド・セキュリティ（資産担保証券）」とは異なる概念なので注意が必要です。資産担保証券とは、ローンや賃貸契約、クレジットカード債権など、債務からキャッシュフローを生み出す債権を裏付けとした投資商品のことで、住宅ローンを束ねたMBS（不動産担保証券）もその一種です。一方、サイバーセキュリティにおける資産セキュリティは、情報資産を脅威から守る活動を指します。

情報資産の種類と分類

情報資産の主な形態と具体例

情報資産にはさまざまな形態があります。紙に印刷された文書、デジタル・電子的なファイル、データベースに保存された情報、パスワードで保護されたデータなどがその例です。保存媒体も多岐にわたり、紙、USBメモリ、ハードディスク、ノートPC、サーバー、クラウド、バックアップテープなどが挙げられます。また、パスワードや暗号化キーといった認証情報そのものも、非常に重要な情報資産です。

医療分野では、超音波診断装置、X線撮影装置、医療用レーザー機器などが情報資産の典型例です。IoT（モノのインターネット）に接続される機器や、電子保護医療情報（ePHI）をはじめとする機密データを作成・受信・保持・送信するすべてのデバイスを、組織の情報資産インベントリ（台帳）に登録しておくことが推奨されます。

CRAMMにおける3種類の資産

リスク分析手法であるCRAMMでは、情報システムを構成する資産を次の3つに分類しています。

• データ資産：顧客情報や業務データなど、システムが扱う情報そのもの
• アプリケーションソフトウェア資産：業務を処理するプログラムやシステム
• 物理資産：サーバーやネットワーク機器などのハードウェア

組織がシステムを有効活用するためには、これらの資産それぞれに対する価値評価が欠かせません。

資産分類（アセットクラシフィケーション）とは

情報セキュリティにおける資産分類とは、情報の機密レベルと、不正な開示・改ざん・破壊が発生した場合に組織へ与える影響度に応じて、情報をランク付けする手法のことです。分類を行うことで、重要度の高い資産から優先的に適切な保護措置を講じることができます。

ネットワーク資産とは

ネットワーク資産には、ネットワークグループによって構築されたサブネット、IPアドレス、ドメイン名、さらにデータを保護できるデバイスやアプリケーションが含まれます。これらを正確に把握することは、自社の攻撃対象領域を理解するための第一歩となります。

ネットワーク資産の発見と管理

ネットワーク資産ディスカバリとは

ネットワーク資産ディスカバリとは、企業ネットワークに接続されているすべての資産を洗い出すプロセスです。対象はデバイスだけでなく、アプリケーションやサービス、従業員のユーザーアカウント、サードパーティプロバイダーにまで及びます。テレワークの普及などにより企業ネットワークは動的な環境になりつつあるため、継続的な発見作業が不可欠です。

ハードウェア資産管理とは

ハードウェア資産管理とは、コンピュータやネットワークの物理的な構成要素を、ライフサイクル全体を通じて追跡・管理する業務のことです。ITインフラストラクチャ内のすべてのハードウェアを台帳で一元管理し、インベントリに関する包括的な情報を提供します。

サイバーセキュリティ資産管理とは

組織のサイバーセキュリティ資産管理プログラムでは、所有するすべてのIT資産をリアルタイムかつ継続的に識別し、それぞれのセキュリティリスクや脆弱性（ギャップ）を把握したうえで、対応の要否を判断します。ここでいう「資産」には、PCやサーバーといった従来型のデバイスに加え、クラウドサービスやSaaSなども含まれます。

情報資産をどう特定するか

情報資産は、根底にある概念によって論理的に整理された固有のものであり、物理的な実体がなくても存在を確認できます。アプリケーションや技術の層にとらわれず、「その情報が何のために存在し、ビジネス上どんな意味を持つのか」という目的に焦点を当てることが、情報資産を正しく理解する鍵となります。

医療機関における情報資産管理

医療機関の情報資産（データおよびメタデータを含む）を扱う情報資産管理（IAM：Information Asset Management）は、情報ガバナンス、コンテンツ管理、エンタープライズ情報管理（EIM）プログラムにおける重要な領域です。ガバナンスポリシーを策定し、組織のEIMプログラムを適切に運用・管理することが求められます。

ネットワーク資産を守るための対策

ネットワーク資産を保護するためには、以下のステップを着実に実践しましょう。

• 資産を把握する：まず、組織が保有する資産をすべて特定します。
• 脅威を理解する：想定される脅威や攻撃手法を把握します。
• 脆弱性を最小限に抑える：弱点を洗い出し、修正・軽減します。
• デバイス設定を強化する：不正アクセスを防ぐため、端末の設定を安全な状態に保ちます。
• ネットワーク接続を保護する：通信経路を暗号化し、安全な接続を確保します。
• データを守る：転送中・保管中のいずれの状態のデータも適切に保護します。

まとめ

ネットワークセキュリティにおける資産とは、機密情報を含むデータ、デバイス、アプリケーションから、IPアドレスやドメイン名に至るまで、組織に価値をもたらすあらゆる要素です。資産を正しく分類・把握し、継続的に管理・監視することが、効果的なセキュリティ対策への近道となります。まずは自社の資産インベントリの整備から始めてみてはいかがでしょうか。