唐突だが、「情報セキュリティー」とは？
正式な定義はともかくとして、平たく言うと、
「企業が取り扱うデータ（情報）の漏洩や紛失、盗難などを
なるべく防止すること、およびその仕組み」
というところだろうか。
防止しきれなかった場合のリカバリー策や補填方法なども守備範囲だな。
クラウドを利用するにあたり、なるべく社内LANやデータセンターと同レベルの
情報セキュリティーレベルを保つ必要がある。
最低でも以下が可能なことを確認すべし。
●ネットワークセキュリティー確保
主にファイアウオール機能を使用する。
おそらくほとんどのIaaSサービスはこの機能を保有しているはずだ。
管理者のメンテナンス作業用に、SSHやRDP
Webサービスの場合は、HTTPなど、最低限のプロトコルを開放してやればいい。
●バックアップの実施
マシンイメージを利用したディザスタリカバリーが可能な事が多い。
手順を確認するだけでなく、実際にテストしておかないといざという時に失敗する。
当然、定期的なデータバックアップは従来通り必須。
●データ保証
物理的に保管データが分散されていて、ハード障害時にも原則としてデータ損失が
発生しないことが保証されているかどうか、仕組みを確認しよう。
ただし、保証はあっても補償がないことが多いので注意。
最近だとクラウド損害保険なるものも出て来ている。今後増えてくるかもしれん。
さて、情報セキュリティーに関わる人間として心掛けているのは、
クラウドのような革新的サービスや、次回書くスマホのような画期的な製品に対し、
カッコよさや便利さに目を奪われず、積極的に弱点を探すことである。
弱点を発見し、セキュリティーを優先させ、利便性が低下したように感じられる場合、
利用者に嫌がられるかも知れない。
だが、それを恐れていてはセキュリティー管理者失格である。
嫌われてなんぼとは言わないが、きっと性格は悪い方が向いている。
なんてな。ﾆﾔﾘ。
※用語の説明
・ファイアウオール
不正な通信を検出・遮断するためのシステム。
PCやサーバーに組み込まれたソフトウェア型と、
専用ハードを使用するアプライアンス型がある。
IaaS環境では一つの機能として利用者に提供される。
・IaaS
Infrastructure as a Service の略。
システム基盤そのものをインターネット経由で利用者に提供するサービス形態。
・SSH
ネットワーク上の主にUnix系機器を遠隔操作するために使用される通信プロトコル。
通信内容は暗号化される。
・RDP
ネットワーク上のWindows機器を遠隔操作するために使用される通信プロトコル。
SSHと同様、通信内容は暗号化される。
・HTTP
WebサーバーとWebブラウザなどのクライアント間で、
データ送受信に使用される通信プロトコル。
・プロトコル
コンピュータ同士で通信するために定められている規約、約束。
通信の種類によってそれぞれ異なるプロトコルが用いられる。
・マシンイメージ
ある時点におけるマシンのディスク内容をまるごとイメージ化したもの。
複製することで同じマシンを作成することが可能となるため、
バックアップ用途にも用いられる。
・ディザスタリカバリー
災害や不正行為などにより被害を受けたシステムを、復旧または修復すること。
事業継続の観点で、システム停止の影響を最小限に抑えるため、
可能な限り迅速に復旧することが求められる。
