第3回：マイナンバーの技術的安全管理措置 ～情報漏えい対策編～

今回は「技術的安全管理措置」の中にある"外部からの不正アクセス等の防止"と"情報漏えい等の防止"について解説します。

技術的安全管理措置のイメージ図

"技術的"という名の通り、ある程度のITリテラシーがないと具体的に何をしてよいのかイメージしづらく、担当者だけで対応するのは現実的に難しいテーマだと思います。
そのような場合であっても、外部委託に丸投げするのではなく、セキュリティ関連のサービス/機器やマイナンバー対応製品の導入を見据えた対策を行うために、ポイントをおさえながら読んでいただくのが良いでしょう。

ファイアウォール設置による不正アクセス防止対策

"外部からの不正アクセス等の防止"の典型的な対策としては、ファイアウォールの設置が考えられますが、既に多くの組織で対策が行われていることと思います。

以下の図に示す通り、ファイアウォールを設置することによって、インターネット側の社外ネットワークから社内ネットワークへのアクセスを遮断することが可能となります。

一方で、社外に公開する必要があるサーバーについては、DMZ（非武装地帯）と呼ばれるネットワークを設け、一部のアクセスを許可することで社外ネットワーク及び社内ネットワークに向けたサービスを提供します。万が一これらのサーバーが攻撃を受けて攻略されてしまった場合であっても、社内ネットワークへの侵入を防ぐことができます。

マイナンバーに関する情報がインターネット側からのアクセスを必要としない運用となっているのであれば、DMZには保管する必要はなく、社内ネットワーク側のサーバー若しくは内部クライアントに保管するのが良いでしょう。ファイアウォールでは、DMZに関する設定が容易にできますし、標準で設定されている場合もあることから、望ましい設定になっているかどうか確認する必要があります。

ファイアウォールを設置したネットワークの例

ファイアウォールに守られた社内ネットワークといえども、WEBやメールの閲覧、外部記憶媒体の接続による不正アクセスのリスクが想定されることから、ウィルス対策ソフトウェアの導入や最新のセキュリティパッチの適用等の対策を行うことが重要です。

入口対策だけではなく、出口対策の必要性

2015年に発生した年金機構の情報セキュリティ事案等のようにセキュリティ対策について考えさせられる事例は後を絶ちませんが、従来の外部からの脅威を防ぐための「入口対策」に加えて、例え攻撃を受けた場合であっても情報を外部に持ち出させないための「出口対策」の必要性がますます高まっています。

ファイアウォールの設計として、外部から内部ネットワークへの通信は厳密に遮断するのですが、逆向きである内部から外部への通信は、それほど厳密になっていません。例えば、マイナンバーに関する情報を取り扱うシステムにおいて、WEB（ホームページ）やメールの閲覧が不要であれば、これらの通信を制限してください。

他にも制限すべき通信はありますが、この対策を講じることで、少なくてもWEBやメールのサービスを用いて情報を外に出すことができなくなります。不要なサービスは利用を許可せずに、必要なサービスのみ例外的に許可するのが対策の考え方の基本になります。

また、同じネットワークに脆弱なシステムが存在する場合、そこから情報が漏洩する、もしくは漏洩の原因となることが多いことから、ルータやスイッチ等の機能によりネットワークを分離することも有効な対策です。マイナンバーに関する情報を取り扱うシステムのネットワークを完全に分離することができれば、技術的な方法で攻撃することが不可能になります。

「入口対策」と「出口対策」

ログの分析と不正アクセスの検知

ある日、従業者から「自身のマイナンバー情報が漏れているようなので調査して欲しい」という依頼があったらどのように対応したら良いでしょうか。まずは、自社が管理するシステムにおいて、不正アクセスやウィルス感染の有無がないか、また、情報が持ち出された形跡がないかどうかの調査が必要です。

そのためには、万が一に備えて解析に必要な程度のログを取得しておくことが重要です。ログから得られる情報が全く無い場合は、原因究明や影響範囲の特定が出来ず、「当社から情報が漏れたかもしれないし、そうではないかもしれない」ということになってしまい、説明責任を果たすことができません。

インシデントが発生した場合、関係するネットワーク機器やサーバー・クライアント機器のログを総合的に分析・評価し、情報漏えいの有無を判断し、また、どのような情報がどの程度漏れたのかを特定します。最近では、クライアント機器のログを収集するようなツールも出てきており、いつ誰がどのような操作をしたのかを特定できるような仕組みを構築している組織も増えてきているようです。

緊急時に限らず、日常の運用においてもログの分析・評価は不正アクセスの早期検知に有効です。手作業では多くの時間やノウハウが必要になるといわれていますが、システムで自動化することで管理が容易になります。

仕組みとしては、攻撃となる情報をパターン化して、それに一致したものを検知し、アラートを挙げるようなものと、そのふるまいを検知し、異常と判断したものについてアラートをあげるようなシステムがあります。前者のシステムは、ウィルスチェックソフトに似ていて、パターンファイルを更新し続けないと最新の攻撃には対応しません。一方で後者のシステムは、正常な動きをあらかじめ登録し、それを逸脱するものを検知するので、ゼロデイと呼ばれている未知のタイプの攻撃に有効だといわれています。それぞれの仕組みや特性をうまく組み合わせて補完しながら対策するのも良いかと思います。

パターン検知と異常検知の違いの比較

情報漏えい等の防止のための暗号化対策

組織がマイナンバー情報を取り扱うにあたり、以下のケースで暗号化が必要になると想定されます。

例えばマイナンバー情報をメールで送付する際、送付先を間違えるなどのリスクが想定されるため、マイナンバー情報を格納する添付ファイルをパスワード暗号化しておくことが大事です。
また、マイナンバー情報を保管するパソコンやサーバなどが盗難/紛失により第三者の手に渡ってしまうケースや、廃棄後の記憶媒体から復元されてしまう恐れを考えると、HDD自体が暗号化されていることが重要になります。

暗号化の強度をどんなに高くしても、絶対に破られないという訳ではないことに注意が必要です。例えばZIPファイルなどのパスワード暗号化の場合、特別なツールを搭載したコンピューターを利用すれば1秒で100万以上のパターンを試すことができるため、単純なパスワードであれば、わずか数分で解析されてしまいます。

1秒間に100万回のアタックを行った場合のパスワード解析時間

一方で、複雑にすればする程、解析には相応の時間がかかることがわかります。万が一破られた場合であっても、解析するまでに時間を要するであれば、その間に然るべき対策を講じることも可能です。また、前述の不正アクセスの検知の仕組みと組み合わせて対策するのも良いでしょう。「鍵をこじあける」ことをしないと情報にはアクセスできなくなるので、秘密情報として管理していることの法的な裏付けになる可能性が高くなることにも留意が必要です。「家の鍵をかけないで外出して泥棒に入られた」ということがないように、守るべき情報は暗号化して管理することが大切です。

セキュリティ対策にはバランスが必要

これまで紹介した対策について、すべてを実施することが正解という訳ではありません。守るべき情報、外部環境、運用等の内部環境によって必要な対策は異なります。無尽蔵に情報セキュリティに投資してもコストが過剰となり事業が成り立たないのは言うまでもありません。ガチガチの仕組みで運用がまわらないという話を耳にすることがありますが、マイナンバー対策においてもそのようなことがないように注意が必要です。情報へのアクセスを制限するだけでなく、情報を使いたいときに使えるようにする仕組みとのバランスに配慮することが情報セキュリティ対策を成功させる重要なポイントになるでしょう。

ガイドラインで求められている安全性を確保することは必須です。文中でも書きましたが、マイナンバー制度に対応した様々なITサービスがリリースされています。人の手に任せるとどうしてもエラーが増えますので「ITに任せられることはITで行う」のが良いと思います。

【今回のポイント】
●外部からの不正アクセスには「入口対策」と「出口対策」で考える
●ログが取れるシステムを入れるとその後の対応が早くなる
●送信や保管の際のデータの暗号化は必須
●ITに任せられることはITで行う

この記事のライター

池田 秀司（いけだ　しゅうじ）

i-3c株式会社 代表取締役
情報セキュリティの専門会社に約6年間勤務後に独立し、個人事業を経て、同社の代表取締役に就任。今年で、会社設立10周年の節目を迎える。情報セキュリティに特化した専門サービスを提供し、日々奮闘中。

会社Webサイト

i-3c株式会社