情報処理安全確保支援士 2012年 秋期 午後2 問02

　 　T社は、商品やサービスをインターネット上で販売するためのWebサイト（以下、ECサイトという）の開発、構築及び構築支援を主力事業とする企業であり、従業員数は150名である。T社には、ECサイト開発事業部、ECサイトコンサルティング事業部、情報システム部、営業部及び総務部の五つの部署がある。ECサイト開発事業部とECサイトコンサルティング事業部では、顧客から預かった機密資料や機密データを扱うケースが多い。 　 〔オフィス及びネットワークの構成〕 　T社のオフィスは、都内のビルの1フロアにある。執務室では、座席を部署ごとに集めて配置し、その他に来客用の会議室を二つ、社内用の会議室を二つ用意している。 　T社のフロアのレイアウトの概要を図1に示す。

　各従業員には、ノートPC1台と、入退室の認証に使用するICカードが貸与されている。入退室で通常使用する執務室のドアは1か所で、非接触型のICカードによって認証し、開錠を行っている。受付担当者は、来客があると、担当者を呼び出し、来客を来客用会議室に案内する。 　T社のネットワーク構成の概要を図2に、社内サーバの機能一覧を表1に示す。

　ノートPCから社内サーバ及びインターネットへの通信の可否は、次のとおりである。 　・社内サーバLAN上の全てのサーバとの通信は許可されている。 　・インターネットへの通信は、FWで禁止されている。ただし、OA-LANに接続されたノートPC上のブラウザから、プロキシサーバを経由したインターネット上のWebサイトへのアクセスは許可されている。 　L3SW及びFWは必要最低限の通信だけを許可するよう設定されている。また、各サーバ及びネットワーク機器で取得したログは、ログサーバに転送し、保管している。 　 　T社の情報セキュリティ管理規程（以下、規程という）を図3に示す。

〔オフィス効率化委員会〕 　T社では、ITを活用した働きやすいオフィス作りを推進するために、オフィス効率化委員会を月次で開いている。オフィス効率化委員会は、情報システム部のU部長を委員長とし、メンバは各部から従業員1名を選出して構成しており、全社的にメリットがあると判断した要望について改善策を検討している。 　最近、オフィス効率化委員会には次のような要望が多く寄せられている。 　(1) ECサイト構築プロジェクトに関する要望 　　・ECサイト構築プロジェクトでは、ECサイトコンサルティング事業部とECサイト開発事業部からメンバを集めて案件ごとにチームを編成する。ミーティングを行う機会が多いので、プロジェクトメンバの座席はまとめて配置してほしい。 　(2) 会議室利用環境に関する要望 　　・社内用会議室と来客用会議室（以下、会議室という）にはLANがないので、会議中に資料が必要なときは、必要なファイルをあらかじめノートPCに保存した上で会議室内で参照・編集している。会議室から社内のファイルサーバにアクセスして、ファイルを参照・編集できるようにしてほしい。 　　・会議中に疑問点を調べるために、インターネット上のWebサイトを閲覧できるようにしてほしい。 　 　U部長は、次の改善策についてオフィス効率化委員会で検討することにした。 　・ECサイト構築プロジェクトの効率を向上させるために、座席を柔軟に移動できるようにする。 　・会議室利用環境の改善を行う。 　 　オフィス効率化委員会では、“ECサイト構築プロジェクトの開始・終了時に、座席移動を行ったり、レイアウトを変更したりするとき、有線LANだと、その都度、LANケーブルを配線し直さなければならないので、社内関連部署に負荷が掛かる”という意見が出た。また、今後はスマートフォンを社内業務に導入していきたいというM社長の意向があった。そうした背景を踏まえ、今回は無線LANの導入を検討することにした。対象エリアは執務室の一部と会議室とすることを決めた。U部長は、情報システム部のC君に、無線LANの方式を検討するように指示した。 　 〔無線LAN導入の検討〕 　次は、C君が無線LAN導入の検討結果をU部長に報告したときの会話である。 　 　U部長：無線LANを導入する上で、盗聴・不正利用を防止する対策が必要になるが、それは当社の無線LAN上を流れる情報の特性や無線LANの利用可能エリアを考えると、どのようにすべきだろうか。 　C君　：まず、盗聴を防ぐためには①通信を暗号化する必要があります。そのための規格としてはWPA2を利用します。 　U部長：では、不正利用を防ぐにはどのようにすべきだろうか。 　C君　：無線LANを利用するノートPCの認証が必要だと考えています。その方式には、無線LAN用のアクセスポイント（以下、APという）とノートPCとの間で事前共有鍵を設定しておく方式と、動的に鍵を交換するaという方式があります。事前共有鍵を各従業員が設定する場合、②鍵を知る者の退職時などに必要なことがあります。一方、aを利用する場合は、認証サーバが必要ですが、ディレクトリサーバに認証サーバの機能をもたせることもできます。 　U部長：それなら、aを採用することにしよう。 　C君：それから、より強固な認証を行うために、aの中でもクライアント証明書を用いるEAP-TLSを採用すべきです。 　U部長：なるほど。ではEAP-TLSを採用しよう。クライアント証明書はどのように配布するのかな。 　C君：クライアント証明書は、全て情報システム部がノートPCにインストールするのがよいと思います。 　 　U部長とC君は、不正利用を防止する対策について更に検討を行った。次は、U部長とC君の会話である。 　C君：無線LANの不正利用対策としては、他にも③ノートPCのネットワークインタフェースがもつMACアドレスによるフィルタリングや、APが定期的に送信しているbを停止する④SSIDのステルス化、c応答の禁止がありますが、これらの対策も実施してはどうでしょうか。 　U部長：確かにそういう対策があるね。でも、それらの対策は、もし実施するとしても限定的な効果しかないことを踏まえておくべきだと思うよ。 　 〔会議室への無線LAN導入の検討〕 　続いて、C君は会議室への無線LANの導入について検討を進めた。まず、C君は、1台のAPでは安定した通信を提供できないことから、執務室、社内用会議室、来客用会議室のそれぞれにAPを設置する方針とした。そして、次のようにすることにした。 　・会議室用のLAN（以下、会議室LANという）をL3SW配下に新設し、そこに会議室用のAP（以下、会議室LAN用APという）を設置する。 　・執務室用のAP（以下、OA-LAN用APという）は、OA-LAN上に設置する。 　・APで取得するログは、その他のネットワーク機器と同様にログサーバへ転送する。 　・従業員が接続先の無線LANを識別できるように、執務室用の無線LANと会議室用の無線LANとでSSIDを分ける。 　・接続先の無線LANを各従業員が設定できるように、ノートPCのネットワーク設定を変更する権限を、PC管理サーバで各従業員に付与する。 　・会議室LANからアクセスできるサーバや機器は必要最小限に絞る方針とし、OA-LANからアクセスできるサーバのうち、一部のサーバについては、会議室LANからのアクセスを禁止するようL3SWを設定する。 　・会議室に導入する無線LANの暗号化方式や認証方式などは、執務室に導入予定の無線LANと同じにする。 　 　C君は、会議室への無線LANの導入についての検討内容をU部長に報告した。 　 　C君：以上のように検討しましたが、いかがでしょうか。 　U部長：会議室LANを新設するとなると、⑤アクセスコントロールについては、L3SWの設定だけでなくFWの設定も変更する必要があるね。 　C君：承知しました。 　 　C君はU部長の意見を踏まえ、無線LANの導入を進めることにした。 　 〔無線LANの導入〕 　C君は執務室と会議室への無線LANの導入を進め、無事導入を終えた。無線LAN導入後のT社のネットワーク構成の概要を図4に、T社のネットワーク接続ポリシを表2に示す。

〔内部監査での指摘〕 　T社では半年に一度、自社の情報セキュリティ上の問題点を洗い出すために内部監査を実施している。前回の内部監査以降に無線LANを導入したことで、オフィス環境が大きく変わっている。そこで、T社では、今回の内部監査において無線LANの導入後のセキュリティ対策が適正かどうかを重点的に確認する方針とした。 　内部監査の結果、2件の問題が指摘された。次は、内部監査報告会でのM社長、U部長、及び内部監査を担当したECサイトコンサルティング事業部のK部長の会話である。 　 　K部長：今回の内部監査の結果として2件の指摘事項を報告いたします。1件目の重要度の高い指摘事項は、私物のデータ通信カード及び私物の携帯型無線LANルータを社内に持ち込んで、ノートPCをインターネットに直接接続している従業員がいるというものです。⑥セキュリティ対策のうち、幾つかは機能の実効性が損なわれてしまいます。この点については至急改善策を検討することを推奨します。 　M社長：それは問題だね。規程の周知徹底と技術的な対策とを併せて検討してほしい。技術的な対策としてはどのようなものが考えられるのだろうか。 　U部長：本指摘事項については、既存の仕組みを利用して対応可能であると考えています。ノートPCのログインアカウントを各従業員に割り当てていますが、⑦そのアカウントに応じて、OSのネットワーク設定のうち一部だけを許可し、それ以外を禁止します。 　K部長：2件目の指摘事項は、来客用会議室内での従業員のノートPCの扱いが不適切な場合、⑧従業員以外の者がT社のネットワークに不正にアクセス可能になる、というものです。 　U部長：本指摘事項については、新たなルールを規程に追加すればよいと考えています。 　M社長：了解した。では、進めてくれ。 　 　内部監査報告会での指示を受け、情報システム部で改善を進めることにした。 　 〔来客用無線LANの準備〕 　T社では無線LANの利用が進み、“メンバが集まって座れるようになり、ECサイト構築プロジェクトメンバ間でのコミュニケーションがとりやすくなった”、“会議が効率よく行えるようになった”などの声がオフィス効率化委員会に寄せられるようになった。特に、会議中にインターネット上のWebサイトを閲覧できるようになったことは好評であった。 　一方で、最近は来客が小型のノートPCやタブレット（以下、この二つをデバイスという）を持ち込むことが多く、プロジェクトによっては来客との会議でインターネット上のWebサイトを閲覧するケースも増えている。そのような来客用会議室の利用状況を踏まえて、来客用会議室を利用する来客にも無線LANを提供し、来客がインターネット上のWebサイトにアクセスできるようにしてほしいとの要望が出るようになった。オフィス効率化委員会では、来客用に無線LANを準備することにし、その検討をC君が行うことになった。 　来客用に準備する無線LANについて、C君は次のように検討結果をまとめた。 　・LANを新設して（以下、来客LANという）、AP（以下、来客LAN用APという）を新たに設置する。 　・無線LANを利用するデバイスの認証方式は、導入済の無線LANで採用しているaでは運用上の負荷が高いので、事前共有鍵方式を利用する。事前共有鍵は来客に設定してもらう。 　・来客のデバイスからT社内の各サーバには通信する必要がないことから、インターネット接続のための回線を新たに準備し、既存のネットワーク環境とは独立したネットワークを構築する。 　・来客は、プロキシサーバを経由せずに直接インターネットにアクセスする。 　・その際、通信のログは取得しない。 　 　次は、C君の検討結果についてのU部長とC君の会話である。 　 　U部長：来客用のネットワークであるので、当社のネットワークから独立させる方法もある。しかし、設置するAPのメンテナンスやシステムログの取扱いの観点からは、既存のネットワークにAPを設置した方がよいのではないだろうか。そうすることで、通信費用や機器購入のコストを抑えられるメリットもある。 　C君：そうですね。ネットワーク構成を見直します。 　U部長：それから、現行の規程とネットワーク接続ポリシでは、来客が無線LANを利用することを想定していない。⑨来客への無線LANの提供によって、規程とネットワーク接続ポリシを見直す必要がありそうだね。ただし、セキュリティリスクが増大しないように、留意する必要がある。 　C君：承知しました。規程とネットワーク接続ポリシを見直します。 　 　見直し後のT社のネットワーク構成の概要を図5に、見直し後のT社のネットワーク接続ポリシを表3に示す。

　オフィス効率化委員会の検討結果を受けて、情報システム部は、来客LANの構築を行った。