情報処理安全確保支援士 2009年 秋期 午後2 問02

　A社は、従業員数1,000名の電子部品メーカーである。都心に本社、郊外に工場があり、全国の主要都市に拠点オフィス（以下、本社、工場、拠点オフィスを事業所という）をもつ。本社には、営業部、総務部及びシステム部があり、拠点オフィスには、営業部に所属する従業者（従業員、派遣従業員及びアルバイト）が常駐している。工場には、総務部、システム部、設計部及び製造部がある。 　A社の主力製品は、独自の先端技術を用いた電子部品であり、CADシステムを用いた設計を行っている。近年では顧客の要望にこたえた特注品も生産するようになり、高い技術力と短納期で売上を伸ばしている。 　A社では、受注、生産及び出荷データを管理するネットワーク（以下、Sネットワークという）と設計データを管理するネットワーク（以下、Tネットワークという）を利用している。Sネットワークには本社業務サーバと工場業務サーバなどが接続され、Tネットワークには開発サーバと製造サーバなどが接続されており、二つのネットワークはつながっていない。 　 〔セキュリティ区画の構成〕 　A社のセキュリティ区画の定義を表1に示す。

　本社は、サーバエリア及び執務エリアから構成されており、拠点オフィスは、執務エリアだけで構成されている。工場は、サーバエリア、設計エリア、執務エリア及び作業エリアから構成されている。極秘情報とは、機密性が極めて高く、設計部など一部の従業員にしか開示しない情報で、開発中の製品データや高度な技術的ノウハウが含まれる。機密情報とは、極秘情報に次いで機密性が高く、発注者である顧客などとの間で機密保持契約が結ばれている場合だけ当該顧客に開示できる情報で、受注情報や生産管理情報が含まれる。設計部員は、極秘情報及び機密情報を扱う場合は設計エリアで作業を行っている。 　機密区画への立入りは、磁気カードによる認証が必要である。極秘区画への立入り及び退出の際には、磁気カードによる認証に加えて指紋認証も必要である。一般区画への立入りについては、特別な認証制限を行っていないが、工場においては、敷地外から敷地内に入る際に、外来受付で従業員証又は入構証の提示による入構管理を行っている。従業員証と入構証のどちらも保持していない場合には、その都度、臨時の入構証が発行される。各エリアの業務従事者を表2に示す。

　A社の情報セキュリティポリシでは、次のことを規定している。 　・極秘情報を保存するサーバが接続されたLANを、機密区画又は一般区画のLANと接続する場合には、ファイアウォール（以下、FWという）によるアクセス制御を行う。 　・機密区画のPCから極秘情報を保存するサーバへのアクセスは、原則禁止するが、許可する場合には、適切なアクセス制御を行う。 　 〔Sネットワークと内線電話構成の概要〕 　Sネットワークは、本社業務サーバが接続された本社LAN、工場業務サーバが接続された工場LAN、拠点LAN及びこれらのLANを接続するデータ通信用の専用線で構成されている。Sネットワークと内線電話の構成を図1に示す。Sネットワークで取り扱う情報には、機密情報が含まれる。本社LAN及び拠点LANには、各事業所において使用する業務用のPC（以下、GPCという）が接続されている。工場LANには、工場内で使用するGPCのほかに、無線接続が可能なGPC（以下、NPCという）と無線アクセスポイント（以下、APという）で構成される無線LANが含まれる。

　本社業務サーバでは受注管理アプリケーションが稼働しており、本社及び拠点オフィスの営業担当者は、執務エリアに設置されたGPCを用いて、受注管理アプリケーションに受注データを入力する。入力された受注データは、受注管理アプリケーションの夜間バッチによって集計され、工場業務サーバに転送される。工場業務サーバでは生産管理アプリケーションが稼働しており、集計された受注データは生産データ及び出荷データの二つにまとめられる。生産データは製品型番別の生産数を集計したものであり、出荷データは出荷先の顧客別に製品型番、納品数及び納品日をまとめたものである。工場では、製造部の担当者が、工場の執務エリアに設置されたGPCを用いて、生産指示書として生産データの印刷を行い、それに基づいて製品を製造する。完成した製品は、作業エリア内の製品保管庫で保管され、顧客向けに出荷される。工場の製造部の担当者は、NPCから無線LAN経由で工場業務サーバにアクセスし、出荷データに従って製品を出荷する。NPCは共用のPCであり、全員が同じアカウントでログインして使っている。無線LANには、WPA2方式を採用している。生産指示書及びNPCは、作業を行う都度、作業エリアに持ち出して使用し、使用後は執務エリアにおいて保管している。 　A社の内線電話は、各事業所に設置されたPBXと電話によって構成されており、各事業所のPBX間は音声通信用の専用線によって接続されている。 　本社業務サーバ、工場業務サーバ、本社と工場のルータ及びPBXは、サーバエリアに設置されている。一方、各拠点オフィスのルータ及びPBXは、施錠ラックに格納され、各拠点オフィスの執務エリアに設置されている。 　 〔Tネットワークの概要〕 　A社では、CADシステムと連動した製造装置を5年前に導入し、設計工程及び製造工程の効率向上を図っている。Tネットワークは、これらの製造装置の導入時に構築されたものであり、開発LAN及び製造LANで構成されている。開発LANには、開発サーバ及び設計エリアのPC（以下、KPCという）が接続されており、開発サーバではCADシステムの製品開発用アプリケーションが稼働している。製造LANには、製造サーバ、執務エリアのPC（以下、SPCという）及び作業エリアの製造装置に組み込まれたPC（以下、MPCという）が接続されている。Tネットワークの構成を図2に示す。

　図2中の開発サーバに保存されるCADデータは極秘情報に該当するので、A社の情報セキュリティポリシに従い、開発LANと製造LANは、FWを介して接続されている。また、製造LANの一部は、作業エリア内にも敷設されている。作業エリア内のネットワークケーブルは、電線管によって保護されている。 　設計部では、KPCを用いて開発サーバ上の設計中の電子部品に関するCADデータにアクセスし、電子部品の設計を行っている。KPCには、CADシステム専用の端末アプリケーションがインストールされており、開発サーバとはCADシステム固有のプロトコルで接続する。設計部において電子部品の設計が完了し、商品化が決定したら、その製造に用いるデータ（以下、製造データという）は、開発サーバから製造サーバへ移され、製造サーバで管理される。製造部では、SPCから製造データにアクセスし、各種製造装置に製造データを入力して製品を製造する。 　Tネットワークの構築当時は、同一規格品の生産が主であり、製造データには極秘情報に該当するものは含まれていなかった。しかし、特注品の生産増大に伴い、製造データには極秘情報に該当する独自のノウハウが含まれるようになってきている。つまり、製造サーバにも極秘情報が保存されてきており、この現状はA社の情報セキュリティポリシに違反しており、製造LANの情報セキュリティ対策がシステム部において大きな課題になっている。 　　 〔A社の経営課題〕 　A社では、拠点オフィスが増えたことに伴い、内線電話のために設置している専用線の維持費負担が経営課題の一つとなっている。また、顧客からの製品仕様の変更要求に迅速に対応するために、本社又は拠点オフィスの営業担当者と工場の設計担当者との間で迅速に情報連携を行う必要があり、製品仕様変更の打合せでのCADデータの積極的活用が課題となっている。この二つの課題への取組みのため、現在は接続されていないSネットワークとTネットワークの統合を含む、社内LANの再構築が経営会議で決定された。また、これを契機に、将来のテレビ会議システムの導入も視野に入れて検討するよう指示があった。この社内LANの再構築は、システム部が主管となって進めることになった。 　 〔音声通信とデータ通信の統合〕 　まずシステム部では、検討の結果、次の基本方針を定めた。 　・音声通信とデータ通信は統合した上で、専用線はIP-VPNに変更する。 　・既存の電話はIP電話端末（以下、IP電話という）に置き換え、社内LANに接続する。 　この基本方針を伝えた上で、音声とデータの通信を統合する方式の提案をSIベンダのB社に求めた。それに対してB社からは、SIPを採用したSIPサーバを含むシステム提案があった。 　B社の提案したSIPサーバは、音声通信用のサーバであり、IP電話のアドレス情報の管理、呼制御及び構内電話交換を行うものであった。接続を確立する過程と接続を切断する過程では、SIPサーバが通信制御に介在し、電話番号から相手のIPアドレスを検索して接続要求を転送するなどの処理を行う。接続が確立されてから切断されるまでの通話を行う過程では、IP電話同士が直接通信を行う。 　工場のネットワーク構成の見直しは、工場のシステム部に所属しているC君が担当することになった。次は、C君とB社のセキュリティエンジニアのD氏の会話である。 　 　C君：工場では、TネットワークのFWを通して、SネットワークとTネットワークを接続することを検討しています。音声とデータの通信を統合する際に注意すべき点を教えてください。 　D氏：IP電話間の通話に使われるプロトコルであるRTPは、UDPポート番号の使用範囲が広く、かつ、使用するポート番号を動的に割り当てます。そのため、FWのパケットフィルタリングでは、広範囲なUDPポート番号を許可する必要があります。これに対して、SIP対応機能をもつFW（以下、FWxという）がベンダ各社から提供されています。FWxでは、通話時に割り当てられたポート番号によるIP電話間のアクセスだけを許可し、それ以外のアクセスを遮断することができます。 　C君：それでは、現在Tネットワークで使用しているFWは、利用を継続することができないのでしょうか。 　D氏：利用を継続することは可能です。しかし、SIP対応機能をもたないFWは、音声パケットの通信に利用されるポートを動的に開閉することができないので、①FWxに置き換えることの効果は大きいと思います。 　C君：開発LANのIPアドレスが、本社LANのIPアドレスと重複しているのですが、NATなどのアドレス変換を行う場合についての問題はありませんか。 　D氏：現在のFWでアドレス変換を行う場合には、パケットのルーティングができないので、IPアドレスを一部変更して重複がないようにしておく必要があります。 　C君：分かりました。SネットワークとTネットワークの統合を検討する際に考慮することにします。 　 〔SネットワークとTネットワークの統合〕 　C君の検討結果を基に作成した、A社の新ネットワークの構成を図3に示す。

　C君は、Sネットワークのプライベートアドレスの振り直しを行うとともに、現在使用中のFWをFWxに置き換え、SネットワークとTネットワークを、FWxを介して接続することにした。さらに、営業担当者と設計担当者との間で情報を共有する必要があることから、事業所間において特注品の設計に関するデータを共有するためのサーバ（以下、情報共有サーバという）を、新規に導入することにした。これによって、設計担当者が、営業担当者との設計変更の打合せの際に、極秘情報を削除した共有データを作成して情報共有サーバに保存することで、営業担当者もそのデータを本社及び拠点オフィスから参照できるようになった。 　設計エリアの IP 電話と GPC は、開発 LAN に接続することにし、工場の執務エリアの IP 電話及び SPC 並びに作業エリアの IP 電話は、工場 LAN に接続することにした。SPC を工場 LAN に接続することに伴い、②製造 LAN のネットワークケーブルを電線管で保護し、執務エリアの床下に敷設することにした。 　また、情報共有サーバの導入に伴い、不正アクセス対策を強化する必要があると考えたC君は、無線LANの認証プロトコルとしてIEEE 802.1X方式を採用することにし、認証サーバを新規に導入することにした。 　認証方式については、利用者IDとパスワードを用いるPEAP方式とPCに組み込んだクライアント証明書を用いるEAP-TLS方式を比較し、業務上利用する必要のない従業者がNPCを執務エリアから作業エリアに不正に持ち出して工場LANに接続する場合を考慮し、③PEAP方式を採用することにした。 　C君が作成したFWxのアクセス制御ルールを、表3に示す。アクセス制御ルールは、項番順に優先して適用される。

〔セキュリティ対策の検討〕 　C君が作成した案に対して、システム部において検討会議が行われた。検討会議では、NPCを用いた不正接続を検知するためには、日常の管理を強化する必要のあることが指摘された。このため、NPCの管理状況を④定期的に点検し、点検結果と無線LANの接続履歴とを照合することにした。 　検討会議の結果を反映させたC君の修正案は承認され、これに基づいてA社の社内LANの再構築が行われ、無事に完了した。