政府も推進するネットワーク分離環境で、ファイルをどう受け渡す？使えるネットワーク分離を実現するポイント

コラム

この記事の内容

政府が推進し数多くの自治体が採用している「ネットワーク分離」。多くの組織に多大な被害を与えている高度な標的型攻撃（APT）に対し、業務ネットワークをインターネットから分離することで重要なデータへの攻撃を防ごうとする企業も少なくない。

ただし、分離したネットワークの間で相互にデータをやり取りする仕組みを用意しなければ、現場の業務を阻害しかねない。そこで重要となるのが、ネットワーク分離によるセキュリティを壊さないよう、安全に橋渡しをするソリューションだ。

どれだけ既存セキュリティを強化しても万全ではない

　企業には保護すべき情報が数多くある。例えば、顧客の個人情報や製品や事業戦略に関わる機密情報などは、その最たるものだ。ウイルス対策やファイアウォールなどのセキュリティ製品を用い、エンドユーザーにセキュリティ教育を施すのも、重要な情報を守るためである。

　しかし近年、既存セキュリティ製品の検知機能をかいくぐる手口が広まっており、高度な標的型攻撃（APT）やランサムウェアなどによる被害が相次いでいる。しかもこれらの攻撃では、巧妙な文面のメールによりユーザーが誤認するよう仕向けていることが多く、ユーザーに対するセキュリティ教育が行き届いていても不意を突かれる可能性がある。

　いったん社内LAN内のどこかに感染してしまえば、ネットワーク内部に潜伏しつつ感染を拡大させ、密かに多くの情報を収集して持ち出したり、暗号化して利用できなくするなど、大きな被害をもたらしてしまう。つまり、既存のセキュリティ手法では、どれだけ強化しても万全とはいえない状況になってきているということだ。

情報を守る最後の切り札、ネットワーク分離

　既存のセキュリティ製品やセキュリティ教育が万全とはいえない中で、「ネットワーク分離」という手法が注目を集めている。文字どおり、社内のネットワークを分離させ、データを自由にやり取りできないようにする対策だ。一般的には、インターネットを利用できるネットワークと、インターネットから隔離されたネットワークの2つに分離し、重要な情報は隔離された方のネットワークでしか扱えないようにして情報を保護する。APTやランサムウェアなどの脅威は主にインターネット経由で侵入してくるため、隔離されていない側のネットワークで拡散することは考えられるが、きちんと分離さえできていれば隔離された側のネットワークにまでは侵入させずに済むというわけだ。

　ネットワーク分離の考え方は、決して新しいものではなく古くからあった。しかし、データのやり取りを阻害することでエンドユーザーの利便性が低下する点が課題となり、あまり広まっていなかった。それが急に注目を集めるようになった背景には、前述のような最新の脅威動向によるものと、マイナンバー制度に伴うセキュリティ強化の機運による。

　例えば総務省では、マイナンバーに関連したガイドライン「自治体強靭性向上モデル」において、全ての地方自治体に対し2016年度内のネットワーク分離実施を求めており、これを受けて全国各地の自治体が急ピッチで導入を進めている状況だ。そして民間企業でも、これまでは金融機関における勘定系や医療機関における医療情報系、製造業における設計・デザイン部門の分離など、一部業界の大手企業で実施されてきた程度だったが、ネットワーク分離を採用、検討する企業が増えてきた。

分離しつつも生産性低下を抑えるためには

　ネットワーク分離は、セキュリティ強化と引き替えにエンドユーザーには不自由を強いるものとなり、生産性低下の懸念がつきまとう手法でもある。インターネットを利用できる側のネットワークでは、ブラウザでダウンロードしてきたデータやメールの添付ファイルなど、外部からの情報を容易に活用できるのに対し、隔離された側のネットワークでは原則として使うことができない。インターネットの活用がビジネスにおいて当たり前のようになっている今の時代、インターネットを利用できないこと大きな不便をもたらす。取引先などからデータを受け取るにも、逆に受け渡すにも、何らかの方法でインターネットに接続されたネットワークとの間でデータをやり取りしなければならない場面がでてくる。

　もし業務が厳しく制約される状況を放置しておけば、エンドユーザーが勝手に抜け道を作ってしまい、それにより管理者が気付かぬ間にセキュリティが大きく損なわれる、といったことも考えられる。実際、現場が勝手に作った運用上の抜け道から被害が拡大してしまったケースも散見される。ユーザーが許容できる程度の利便性低下に抑えることも重要であり、セキュリティを意識しつつ、ユーザーにとって“使える”ファイル受け渡し手法を用意する必要がある。

　とはいえ、隔離された側のネットワークではインターネットに接続できないため、クラウドストレージサービスなども利用できない。単純なファイルサーバでも、ネットワークをまたぐように設置して仲介させるとしたら、データだけでなく攻撃者も通れるようになってしまうため、分離した意味がなくなってしまう。

　USBメモリなど物理的な媒体を利用する方法は、誰でもすぐに思いつくだろうが、USBメモリはセキュリティに穴を空けかねない方法だ。紛失や盗難に遭いやすく、そうしたリスクを減らすため厳密に管理しようとすれば、その手間がむしろ大きな負担となる。そもそもインターネットから隔離するほどの重要情報を扱うネットワーク上では、PCなどのUSB利用もセキュリティポリシーで禁止しているのが通常であろう。物理媒体には頼らず、かつファイルサーバとは違う形で、システム的に安全を担保しつつ実現できるような仕組みが求められる。

文章：ZDnet Japan ソリトンシステムズ記事より転載

関連記事

Related article