物理的セキュリティ対策｜情報セキュリティマネジメント試験

情報を、置いてある場所と物のほうから守る

情報は通信の中だけにあるわけではありません。部屋にも、机の上にも、機器の中にもあります。この単元は、人と物の出入りを管理して、そちら側から情報を守る対策を扱います。

土台になるのが入退室管理です。区画ごとに立ち入ってよい人を決め、いつ誰が出入りしたかの記録を残します。ここでのごまかしを止めるのがアンチパスバックで、入室の記録がないカードでの退室を許さず、退室の記録がないカードでの再入室も許しません。前者は他人が開けた扉に続いて入る共連れを、後者はカードを外の人に渡す又貸しを止めます。

席まわりの決まりごともあります。離席や退社のときに書類や記憶媒体を出したままにせず、施錠できる場所へしまうのがクリアデスク、画面の内容を他人に見られない状態にしてから離れるのがクリアスクリーンです。どちらも、そばを通った人に見られる・持ち去られるという素朴な経路をふさぎます。

機器を外へ持ち出すと、紛失と盗難が現実の脅威になります。有効なのは、中身をあらかじめ暗号化しておくことです。機器そのものを失っても、読み出せなければ情報は漏れません。内蔵ストレージを抜き取って別のPCにつなぎ、中を読むという手口があるため、起動時のパスワードだけでは足りず、ストレージ側の暗号化やHDDパスワードで備えます。

使い終わった機器も情報を抱えたままです。廃棄したり外部へ引き渡したりする前に、読み出せない状態にしておきます。データを消去する、記憶媒体を物理的に壊す、といった方法があり、処理を業者に任せる場合も、作業が確かに行われたことを確かめるところまでが対策になります。

機器を動かす側の設備も守る対象です。電気、通信サービス、給水、ガス、換気、空調のように外から供給される設備をサポートユーティリティといい、これが止まると機器も止まります。停電のときに電力を一定時間供給して、機器を安全に止めるまでの時間を稼ぐのがUPSで、可用性を保つための備えにあたります。