情報処理安全確保支援士 2013年 秋期 午後1 問03

　 　P社は、経営コンサルティングを行っている、従業員数60名の会社であり、オフィスは東京にある。P社には、オフィスに常勤している従業員と、主に客先や自宅で作業を行い、打合せのときだけオフィスに出社する従業員がいる。 　社内にファイルサーバを設置して利用していたが、容量は十分であるものの検索の機能が不十分なことから、高機能のファイル共有サービス（以下、Cサービスという）を提供しているC社と契約し、Cサービスを利用し始めた。Cサービスは、ブラウザ経由でアクセスできるSaaS型パブリッククラウドのサービスである。P社は、Cサービスのサーバ内にP社専用の領域を確保して、使用履歴、作成者名、メモなどの情報を添えた上でプロジェクト資料を保管している。P社では、Cサービスを活用することで、検索を高速に行えるようになり、業務効率が格段に向上するものと見込んでいる。 　客先や自宅で作業を行う従業員には、社外で利用するためのPC（以下、リモートPCという）を貸与しており、リモートPCをインターネットに接続できれば、リモートアクセスサーバ（RAS）経由で社内に接続し、社内システムにアクセスできる。客先や自宅からCサービスへのアクセスは、P社ネットワークを経由せずに直接行う。ネットワーク構成の概要を図1に示す。

〔Cサービスの認証の強化〕 　Cサービスの契約と利用者管理については、総務部のX課長が管理責任者を務めている。Cサービスの採用については、Cサービスが停止するような事態が発生した場合の事業継続について具体的対策を1年以内にまとめることを条件に社長の了承を得ていた。 　契約後に、“あるパブリッククラウドサービスから、パブリッククラウドサービス会社の管理が不十分であったのでパスワードが大量に漏えいし、保存されていたデータが漏えいした”との報道があった。漏えいがあったパブリッククラウドサービス会社はC社ではなかったが、報道を聞いたP社の社長は、Cサービスで保管している情報が漏えいして多大な損害が発生することを懸念し、X課長に、Cサービスを利用する際の認証の強化を検討するように指示した。X課長は、部下のQさんに、認証の強化策を調査するよう指示した。 　 　Qさんはまず、Cサービスのセキュリティに関する機能を表1にまとめた。　

　Qさんは、利用者が個人所有の携帯電話メールアドレスを活用することも視野に入れて、追加認証方式の利用について検討した。検討結果を(1)〜(3)に示す。

　(1) 業務上の支障の有無 　　次の理由から、業務上の支障はないと判断した。　 　・P社では、P社が契約した携帯電話を多くの従業員に貸与しており、個人所有を含めると全従業員が携帯電話を利用できる。 　・携帯電話の故障、紛失などが年に数件発生しているが、個人所有の場合も含めて、携帯電話業者に依頼すれば速やかに同一電話番号かつ同一メールアドレスで利用が再開できる。なお、P社貸与の携帯電話は、盗難、紛失があった場合には必ず総務部に連絡することになっている。盗難届、紛失届を受けると総務部は、速やかに対応している。 　(2) 認証強度 　　他のパブリッククラウドサービスで利用者のパスワードが漏えいした事件を踏まえ、Cサービスの利用者IDとパスワードが漏えいした場合であってもなりすましが困難であるかどうかを評価することにした。 　(3) 追加認証方式の手順 　　Qさんは、追加認証方式について、次の手順案を作成した。 　・Cサービスの利用者ID登録手順案（図2） 　・Cサービスの利用者ID変更手順案（図は省略） 　・認証の手順案（図3）

　Qさんが手順案をX課長に提示したところ、“図2の手順では、①第三者が利用者になりすまして、仮パスワードを簡単に入手できてしまう”と指摘された。 　さらに、“個人の携帯電話が盗まれ、かつ、利用者IDとパスワードが推測されてしまったときに、②Cサービスが不正使用され、しかも、それが長期間続くおそれがある”と指摘された。Qさんは、それらの指摘に対応するため、手順を修正し、対策を追加した。 　修正後、追加認証方式は、十分な認証強度をもっていると判断され、P社では追加認証方式を採用することになった。 　 〔Cサービスを利用できない場合の対応〕 　Qさんは、Cサービスが停止するような事態が発生した場合の具体的な対策を検討し、表2にまとめた。

　表2の内容は承認され、P社の事業継続計画に盛り込まれた。定期的に訓練が実施されることになり、その後、新しい手順でCサービスの利用が開始された。