サイバーセキュリティーについて思っていることを話しておきます。
運用管理者の責務の中でもっとも大事なのは把握です。会社にどんなネットワークが構築され、その中にどんなサーバーがあり、何を動かしているか。そしてユーザー管理、権限管理がどのように機能しているか。そして最近はインターネット経由で会社の外と連携しています。SaaSを利用しているかもしれませんので、閉じた世界で考えるのは危険です。いくら社内がヘルシーに動いていても、会社の外で使っていたあのサービスが問題を起こしたときに、思っても見ない事故につながることもあるやもしれません。
把握していない場所で何が起こっても運用管理者は手出しができない割に、経営者からは説明責任を求められます。とにかく把握把握ということで、運用管理者は把握できやすくするためにいつも努力をしているといっても過言ではありません。
そこで運用管理者は把握するために何をするでしょうか。ここが大事です。「集中管理」です。WindowsならばActive Directoryドメインを構築しようとします。全てのサーバーやクライアントPCをドメインコントローラーにぶら下げればあら便利。全て一つのコンソールから管理できるようになります。テンプレートを作って配下にばらまいて、同じ管理ポリシーを適用することもできます。
また、最近はクラウドを企業が使うのが当たり前になってきたのですが、クラウドも複数の種類を使う（例えばAWS、Azure、Google Cloudなど）ことも多く、どこに何があるのかを把握することが大変になっていました。また同じAWSでもアカウントが部署ごとに別ということもあります。このようなニーズに対して、全てのクラウドに接続し一つの管理コンソールで確認できるソリューションも流行しています。確認だけではなく、サーバーを作成したり、料金を比較したりなど、この分野も進歩しています。
その他いくつでも例は挙げられますがこの辺にして、集中管理と把握は結びついていることが前提として、サイバーセキュリティーの盲点を話します。
集中管理できる状態のときに、何でもできるID、特権IDの存在が大問題になります。
Windowsドメインであれば、ドメインアドミニストレーター権限を持つIDです。このIDが攻撃者に知れ渡ると、基本的にはドメインの下にあるリソース全てが脅威にさらされます。
ドメイン配下にバックアップサーバーがある構成は最悪です。バックアップサーバー自体も同時に攻撃されたときに、どこにもバックアップが無い状態でデータを人質に取られてしまいます。
特権IDのパスワードは運用管理者が厳重に管理しているから大丈夫、と思っている人もいるかもしれません。しかし運用管理者の端末が何らかのマルウェアに感染し、バックドアを仕掛けられ、その端末に「password.txt」なんてファイルがあってそれを開けたら特権IDのパスワードやIPアドレスが書かれていたら？。
もしくは、ドメインコントローラーのWindows自体にバックドアが仕掛けれられたら終わりです。特権IDのパスワード自体を変えてしまえばいいのですから。
最近、よく使われるLinuxであるUbuntuが21.04でActive Directoryに参加する機能を実装しましたが、絶対私は使用しないです。面倒であっても各サーバーごとに独立して権限設定すべきだと思っています。
クラウドの集中管理であったって、各クラウドの参照だけに留めるべきだと思っています。全クラウドでサーバーを作ったり削除できたりする権限まで持ったとしたら、第三者がサーバーを立てまくるかもしれません。
各システム、各機能ごとに、権限は全く別にし、分散して管理するのがサイバーセキュリティーを高めるポイントだと考えます。
A社のシステムが危険だとしても、B社のシステムが同時にダウンすることはあまりないのです。それはA社とB社が独立性を保っているからです。
これが、A社とB社が経営統合し、システム更新のときに共通基盤を作り、その基盤上にA社とB社のリソースを載せた時に問題が起こります。共通基盤が脅威にさらされたとき、A社とB社が両方吹っ飛ぶ可能性があります。
こんなことを言うと、集中管理しないことで運用コストがかかるじゃないか、という意見が出てきます。そうです。サイバーセキュリティーにはコストがかかるのです。このコストを省略するために集中管理を進め、その結果一か所に権限が集中し過ぎて、それを破られたときに全部アクセス不能になる。
実際、サイバーセキュリティーにおけるPDCAの現場では、運用管理者が把握できているかを厳しく問われます。そのため情報システム投資の目的で多くの集中管理ソフトウェアが導入され、その結果把握に関してどんどん自動化できるようになっています。
ところが、この進捗こそがサイバーセキュリティーを脆弱にしていくのです。そして特権IDの管理方法についてとても厳重にしていくのですが、結局は運用管理者は作業のために利用せざるを得ず、そこが弱点となっているシステムが多数世の中に存在すると思っています。
この辺りの考え方は、実はサイバーセキュリティーの本を見たってどこにも書いてありません。分散管理することで把握に人手が必要になり、コストが増えていくことは、経営者にとってうれしくないからです。ほとんどのサイバーセキュリティーの理論は経営者目線で書かれています。ベンダーも、経営者に対してサービスを売るので、そうならざるを得ないからです。
今、システム構築や運用に関わっている方は、ぜひ、分散し冗長に管理することのメリットを頭に入れておいてほしいです。人手はかかります。でも問題が起こった時に、「ああ、分けておいてよかった」と思うと思います。
