TOP
＞
情報セキュリティ
＞ はじめに
クラッカーから企業Webサイトを守り抜け！
第４回：Webサイトのセキュリティを維持・向上する施策
著者：
NRIセキュアテクノロジーズ 木村 尚亮
2006/11/30
1
2
3
次のページ
はじめに
第3回までは、Webサイトのセキュリティを高めるために必要な施策を「外部からの脅威」「内部からの脅威」にわけて解説してきました。脆弱性の内容によっては、情報漏洩など大きな問題に直結する可能性があります。すでにWebサイトにまつわる多くの事件が発生している現状を考えると、自社で運営しているWebサイトで思いあたる脆弱性があれば、速やかに対策状況を確認する必要があるといえます。
対策状況を確認していく中で問題が見つかった場合には、まず応急処置が必要となりますが、次のステップとして、今後のエンハンスや新規のWebサイトの開発における再発を防止するために、継続的にセキュリティ対策に取り組むことが必要です。
また、セキュリティ対策が進んでいる企業では修正コストを抑えるために開発の上流工程（要件定義、設計フェーズ）からセキュリティを検討する施策も設けています。
そこで今回は組織として、Webサイトの構築・運営においてセキュリティを維持・向上させるために必要な施策を総論的に解説します。
開発工程におけるPDCAサイクル
組織としてWebサイトの安全性を高めていくためには、システム開発において守るべきセキュリティ対策をまとめたガイドライン（注1）を作成する必要があると考えられます。守るべきルールがなければ、セキュリティレベルは顧客や開発担当者の知識／リテラシ／プロジェクトのスケジュール／コストなどの制約に依存してしまうことになります。
注1：
ガイドラインと一口にいっても、開発工程（フレームワークなど）や開発環境（要員配置、職責分離、テストデータの取り扱いなど）に言及するものもありますが、今回取り扱うガイドラインは、これまでの連載で述べた脆弱性を開発時に作り込まれないようにするために、開発対象システムで行うべき具体的なセキュリティ対策についてまとめたものを指します。
セキュリティ対策が進んでいる企業では、Webサイトのセキュリティリスクをコントロールするためにガイドラインとセキュリティ診断を利用し、マネジメントサイクル（PDCAサイクル）を構築しています（図1）。
図1：システムセキュリティにおけるPDCAサイクル
要件定義や設計フェーズで開発担当者はガイドラインに対する準拠状況をチェックしながら開発を進め、実装後に開発に携わっていない第三者によってセキュリティ診断が行われます。セキュリティ診断の結果は、セキュリティ対策の不備を洗い出して脆弱性を修正する、という本来の目的に加え、ガイドラインの有効性の検証にも活用されます。
脆弱性の修正の際には、「SQLインジェクションで脆弱性が発見されたので、バインドメカニズムを利用することで修正した」という事実だけでなく、脆弱性を作り込んでしまった原因の分析を行う必要があります。ガイドラインに記載されているのに対策ができていないのであれば、周知や理解が足りなかったということになりますし、そもそも記載内容が不十分であれば、ガイドライン自体を修正する必要があります。
セキュリティ診断の結果を受けて、ガイドラインの改訂や教育の徹底といった次の施策へ結びつけることでサイクルが一巡します。セキュリティ対策が進んでいる企業では、このサイクルを継続して実施することで、開発工程においてセキュリティを維持・向上するためのマネジメントサイクルを確立しています。
1
2
3
次のページ
著者プロフィール
NRIセキュアテクノロジーズ株式会社 木村 尚亮
1998年に野村総合研究所に入社。入社時より情報セキュリティ事業に携わる。2000年のNRIセキュアテクノロジーズの立ち上げとともに同社へ出向。セキュリティシステムの導入や不正アクセス監視などの業務を経て、現在はセキュリティ診断や不正アクセス調査などの業務に従事している。
INDEX
第4回：Webサイトのセキュリティを維持・向上する施策
はじめに
セキュリティガイドラインの作成
開発工程別で必要となるセキュリティ施策
