情報処理安全確保支援士 2013年 秋期 午後2 問02

　 　D社は、従業員数5,000名の情報システム会社である。D社は、東京に本社とデータセンタをもち、全国8か所に支店をもっている。D社従業員の多くは、他社との共同プロジェクトに参画する技術者、顧客訪問をする営業員などであり、主に社外で業務を行っている。 　D社では、このような業務形態を踏まえて、従業員が社外でも効率よく業務を行えるよう、全従業員にモバイルPCを1台ずつ貸与している。 　従業員は、インターネット接続環境があれば、モバイルPCをVPN経由で社内ネットワークに接続し、社内にいるときと同じように、メールサーバ及び社内Webサーバにアクセスできる（以下、社外からのメールサーバ及び社内Webサーバへのアクセスをリモートアクセスという）。モバイルPCとリモートアクセス環境は、業務を行うのに十分なものである。 　モバイルPCをVPN経由で社内ネットワークに接続する際は、まず、VPNサーバに登録された利用者IDとパスワード（以下、VPN認証情報という）による利用者認証が行われる。さらに、モバイルPCからメールサーバにアクセスする際は、メールサーバに登録された利用者IDとパスワード（以下、メールサーバ認証情報という）による利用者認証が行われる。社内Webサーバにアクセスする際は、利用者認証は行われない。メールサーバ認証情報とVPN認証情報は異なるものを使用し、また、電子メール（以下、メールという）を他のメールアドレスに自動転送することがないよう、従業員がメールボックスの設定を変更できないようにしている。 　モバイルPCに業務データを保存することは認められているが、情報漏えい対策としてハードディスク全体の暗号化が行われている。業務データを暗号化している場合でも、D社の管理及び規程が及ばないサービス又はシステム、例えば、クラウドコンピューティングサービス（以下、クラウドサービスという）によって提供されるサービス、オンラインストレージサービス、ファイル共有システムなどを利用して保管することは禁止されている。また、業務上必要な場合を除き、利用者がメールを社外のメールアドレスに転送することは禁止されている。 　 〔スマートフォンを利用したリモートアクセス環境の構築〕 　D社は、従業員の利便性を更に向上させるために、移動中でもメールで社内及び顧客への連絡が行えるよう、モバイル PC に加えて個人所有のスマートフォンからリモートアクセスできる環境を構築することにした。ただし、社内Webサーバには機密情報が保管されているので、スマートフォンから社内Webサーバへのアクセスは認めないことにした。 　情報システム部のX部長は、D社におけるスマートフォンからのリモートアクセス環境について、希望した従業員だけに利用させる前提で実現方法を検討し、情報セキュリティスペシャリストのZ主任のレビューを受けるよう、情報システム部のY氏に指示した。 　Y氏は、従業員の多くが所有している、スマートフォンA、Bの仕様を調査した。Y氏が整理した、スマートフォンA、Bの環境を表1に、機能を表2に、それぞれ示す。

　Y氏は、スマートフォンからのリモートアクセス環境の案として、スマートフォンにメール及びメールアドレスを保存せずにメールを送受信できるようにする案1をまとめた。 　案1は、ネットワーク構成、実現方式、セキュリティ対策、スマートフォン利用手続及びセキュリティ規程から成っている。案1におけるネットワーク構成を図1に示す。以下、ネットワーク構成及びファイアウォール（以下、FWという）の設定において、各機器の冗長化、負荷分散装置、DNSに関する記載は省略する。

　案1における実現方式は次のとおりである。 　(1) スマートフォンのVPNクライアント機能を用いて、L2TP over IPsecで既存のVPNサーバ1に接続する。L2TPは、イーサネットフレームが変換されたPPPフレームをカプセル化してUDPで送受信するプロトコルであり、これとIPsecを組み合わせたものがL2TP over IPsecである。スマートフォンもモバイルPCもVPNサーバ1に接続された状態では、DMZ1のネットワークセグメントのIPアドレスが割り当てられ、DMZ1に接続されているのと同じように通信できる。 　(2) Webメールサーバを構築し、スマートフォンのブラウザから利用できるようにする。Webメールサーバは、メールサーバに対してはメールクライアントとして動作し、スマートフォンに対してはアドレス帳とメールクライアントの機能をWebで提供する。スマートフォンのメールクライアントからメールサーバにアクセスすることは禁止する。 　 　案1におけるセキュリティ対策を図2に、FW1及びFW2で許可する通信を表3及び表4に、スマートフォン利用手続きを図3に、セキュリティ規程を図4に示す。

　Y氏は、案1について、Z主任のレビューを受けた。Z主任は、①D社が認めていないアクセスが技術的に可能になっている問題と、②スマートフォンの盗難又は紛失の届出があったときにとられる対策によって引き起こされる問題を指摘し、解決策をアドバイスした。また、Z主任は、セキュリティ規程に、“従業員はスマートフォンを業務に利用するか否かを自由に選択できる”と追記すること、及びスマートフォンを利用したリモートアクセス環境において想定されるセキュリティリスクと対策をまとめることをアドバイスした。 　Y氏は、案1にZ主任のアドバイスを反映させた案2をまとめた。案2におけるネットワーク構成を図5に、想定されるセキュリティリスクと対策を表5に、それぞれ示す。

　なお、FW1及びFW2の設定は表3、4と同じである。

　Y氏は、案2について、Z主任のレビューを受けた後、X部長の承認を得た。 　D社は、案2に基づいたリモートアクセス環境を構築し、運用を開始した。 　 〔リモートアクセス環境の改善〕 　スマートフォンを利用したリモートアクセス環境の運用開始から1年後、D社では約半数の従業員がスマートフォンを業務に利用するようになった。情報システム部は、スマートフォンを業務に利用している従業員に対してアンケートを行い、満足度及び利用状況を調査した。調査の結果、次のことが分かった。　 （1）スマートフォンを利用したリモートアクセス環境に対する満足度は高いが、顧客から送られてきたメールの添付ファイルをスマートフォンにダウンロードして、ドキュメントビューアで閲覧できるようにしてほしいという要望が多い。 （2）スマートフォンの通料金を節約するために、携帯電話を介したデータ通信を無効化して、無線LAN由でリモートアクセスを行っている従業員が多い。

　一方、スマートフォンのアプリケーションの中には、利用者の位置情報、電話番号及び電話帳の情報をインターネット上のサーバに送信するものがあることが報道されている。 　情報システム部はこれらの状況を踏まえ、リモートアクセス環境の改善に向けた検討を開始した。 　X部長は、メールの添付ファイルをスマートフォンに保存することを認めた場合、スマートフォンに導入したアプリケーションが利用者の意図しない動作をし、情報漏えいが起きるリスクがあると考えた。そこで、必要となるセキュリティ対策を調査した上で、リモートアクセス環境の改善を検討するよう、Y氏に指示した。 　Y氏が調査した結果、スマートフォンA、Bの設定、OS及びアプリケーションをサーバから一元管理する製品Eが販売されていることが分かった。製品Eは、スマートフォンに導入するEエージェントと、スマートフォンを管理したり通信を中継したりするEサーバから成る。EエージェントとEサーバは、互いにTCP/IPのプロトコルで通信することによって、次の機能を提供する。 　・デバイス保護機能の設定及びスマートフォンの設定の監視と強制 　・改造されたスマートフォンの検知 　・OS及びスマートフォンに導入されているアプリケーションの名称及びバージョンなどの取得 　・スマートフォン及び外部記憶媒体に保存されたデータの暗号化 　・スマートフォン及び外部記憶媒体に保存された全データのリモート消去 　 　Y氏は、従業員の利便性を更に向上させるために、案3をまとめた。案3では、スマートフォン及び外部記憶媒体にメールの添付ファイルを保存することを認める一方、現在のリモートアクセス環境に製品 E を適用してスマートフォンのセキュリティ管理を強化する。Y 氏は、スマートフォンを管理する E サーバ1をサーバ LAN に、E サーバ1と E エージェント間の通信を中継する E サーバ2を DMZ2 に、それぞれ配置し、FW3 及び FW4 で必要な通信を許可することにした。案3において追加したセキュリティ対策を図6に示す。

　Y氏は、案3をまとめた後に、スマートフォンの盗難又は紛失時のデータ消去手段として、製品 E を利用する方法以外に、携帯電話事業者のデータ消去サービスがあることを知った。そこで、どちらの方法を採用すべきかを、Z 主任に相談した。携帯電話事業者のデータ消去サービスには、製品 E と同等の機能を提供するサービスと、③携帯電話網を介したデータ通信を用いて、スマートフォン及び外部記憶媒体に保存したデータを消去するサービスの2種類があり、携帯電話網を介したデータ通信を用いるサービスだけを提供している携帯電話事業者もあることが分かった。Z主任は、図5を示しながら、スマートフォンの状態によっては、携帯電話網を介したデータ通信を用いる方法ではデータ消去が行えないので、製品Eを利用する方法で統一すべきであることをY氏に説明した。Y氏は、Z主任の説明を受けて案3を具体化し、Z主任のレビューを受けた。 　案3のレビューにおいて、Z主任は、スマートフォンの仕様の一部が、D社の業務データ取扱事項違反の原因となり、セキュリティリスクがあることを指摘した。また、その対策として、スマートフォン利用手続にスマートフォンの設定について項目を追加することと、正しく設定されているかを製品Eの機能によって情報システム部が監視することをアドバイスし、それがどのような場合に効果があるかを説明した。 　Y氏は、案3にZ主任のアドバイスを反映させた案4をまとめた。　 　 〔同意書の検討] 　Y氏が案4についてX部長に説明したところ、“スマートフォンの盗難又は紛失時における製品Eによるデータ消去は、業務データをスマートフォンに保存する場合のリスクに対する対策であるが、D社として、消去されるデータを具体的に示した上で従業員から事前に同意を得ておく必要がある”との指摘がX部長からあった。 　X部長の指摘を受けて、Y氏は、製品Eによるセキュリティ対策の内容をセキュリティ規程に追記するとともに、スマートフォンの利用手続に同意書の提出を義務付ける項目を新たに設け、案5とし、X部長の承認を得た。 　 　D社は、案5に基づいて、リモートアクセス環境の運用を開始した。 　X部長は、今後、スマートフォンの高機能化に伴い、新しい脆弱性が発見されたり、対策技術が変化したりする可能性があると考え、Y氏に、スマートフォンの利用におけるセキュリティリスク及び対策技術の動向について、定期的に調査し、報告することを指示した。