IT統制を突きつけられる 技術者の眠れない夜

IT統制を突きつけられる
技術者の眠れない夜
京都大学学術情報メディアセンター
NPO情報セキュリティ研究所
上原哲太郎
[email protected]
社会がますますITに依存する中で･･･
† ITは社会インフラ・企業の命綱・・・もはや不可欠
† プログラムはそれ自体が
巨大かつ極めて複雑なシステムである
„ 「たった100kBのプログラム」も機械語にすれば数万語
„ プログラムの動作が回路上の0/1に置き換わるまでを
リアルに想像できる人は滅多にいない
„ あらゆる場所に誤りが入る余地や脆弱性の存在する
可能性がある
すなわち、バグやセキュリティホールは
存在することが大前提
1
そこにIT統制がやってくる
† 内部統制体制の構築が業務に過度の負担にならないよう
にするにはITの利用が必須
† 財務報告の信頼性を担保するために、ITの統制が必要
„ ITの統制目標
† 例：有効性及び効率性、準拠性、信頼性、可用性、機密性
„ ITに係る全般統制：業務処理統制の有効性を保証
† 開発&保守、運用、アクセス管理、安全性検査&対応、外部委託
管理etc…
„ ITに係る業務処理統制：業務がITに反映されることを確保
† 入力エラー処理と例外処理、データ維持管理、アクセス管理
システム管理者の負担の増大
心配するときりがない
疑い始めるときりがない
† まずシステムの開発と運用だけでも・・・
„ 可用性が失われると業務へのインパクトが大きい
基幹システムを正しく動かし続けるのは重労働
† たとえば負荷の見積もりひとつとっても難しい
† 次に外部の脅威に対応するが・・・
„ 比較的対処法がある分野だが、やることは多く完全はない
† 最後に内部の脅威に対応しようとしても・・・
„ きりがない、やることが多すぎる
„ 業務効率とのバランスが非常にとりにくい
„ 「組織的犯罪」がないことを本当に客観的に示せるか？
† ITは善人にも悪人にも平等・・・個人に大きな力
オープン化とネットワークの登場は敵を無限に増やした
これじゃどこまでやればいいのかわからない
2
例えば・・・
不正防止に
操作履歴を
じゃあ
どうすれば？
タイムスタンプ局
を使おう
ログをとろう
1からログを
作り直されたら？
ログの真正性は
どうする？
電子署名を
使おう
ログサーバを
インターネットに
つなぎたくない
ログを途中だけ
消されたら？
ログ同士の署名を
連鎖させよう
（ヒステリシス署名）
ITという技術の特殊性
† ITは経営合理化に不可欠な道具だが
同時に今までなかった危機も持ち込む
„ 主に情報セキュリティ上の危機
† ITは複雑な技術：評価が難しい
„ 必要性も費用対効果も即断は困難
„ セキュリティに万全はないが「じゃあどれだけ安全？」という
強度指標はない（暗号除く）
† ITによるインシデントは発生確率が激変する
„ 脆弱性の発見、攻撃法の流行・・・
„ 脆弱性の混入は避けられない
„ 攻撃力は「資金」や「マンパワー」ではなく
純粋に「技術」で決まる
3
システム管理者の持つべき常識
† ITによる業務効率化は危機も呼び込むことになる
„ しかし「2倍の効率化」は必ずしも「2倍危険」を意味しない
的確な技術の投入があれば危険を増加させないが
誤った技術を投入すると危険は1000倍にもなる
„ 昔と違ってコンピュータはブラックボックスではない
敵の数は無数になった
† 業者は甘言しか口にしない・言えない
そして危機には責任を負わない・負えない
† 事故の発生確率は0にできない
„ だからこそ事故の予防策だけではなく事後対策が重要
ここでデジタルフォレンジックの出番だ！
一技術屋として・・・
† ITの社会的責任も企業経営上の重要性も
格段に上昇している
„ 「現場の判断で」動くことは許されなくなってきた
„ だが経営陣/責任者に技術的判断が取れるか？
† 経営者には
「最低限の経営判断がつく程度のITリテラシ」
技術者には
「経営判断がつく程度に技術を噛み砕いて説明する能力」
が、ホントに今すぐ必要
„ でも、どこで教えてくれるんでしょうね？
„ 後者は特に「MOTの反対語」が欲しい
4