セキュリティ関連そのほか

情報セキュリティ教育
教育実施の内容については、情報セキュリティに関する障害などの影響度や発生頻度、
教育効果の程度を含めて総合的に判断する必要がある。



情報セキュリティポリシの再構築
リスクアセスメントを速やかに行い、リスク対応の遅れを最小限にとどめるための役割

① 情報システム部門
全社に共通するリスク変化の発生や、部署間の調整が必要な場合など、各部署にセキュリティ対策を働きかける

② ユーザ部門
業務を変更する場合など、リスクの変化を調べ、情報システム部門に協力を求め、セキュリティ対策を行う



リバースプロキシサーバ
リバースプロキシサーバを介して、業務サーバなどにアクセスすることで、TCP コネクションは、クライアント－プロキシサーバ、プロキシサーバ－業務サーバとなり、業務サーバに直接アクセスされることを防ぐことができる。
アクセスログに関しても、プロキシサーバではユーザID やパスワードのログまで採取でき、詳細なログ管理が可能となる。



機密情報漏洩の危険性とその管理
① パスワード管理の不徹底あるいは不備
　　・ パスワードの設定を徹底する
　　・ 公衆回線やモバイルPC から接続する場合は、ワンタイムパスワードなど、セキュリティの強固な形の運用とする
　　・ パスワードを設定する際、英数字大文字小文字を混在させるなどの条件を付け、推測されにくいものとする
　　・ システムで有効期限を設け、期限切れの場合は利用不可とする
　　・ パスワードは紙媒体などに記述しておかない

② 外部からのネットワーク経由での不正侵入
　　・ FWを設置する
　　・ ネットワーク上のセキュリティホールを定期的にチェックする
　　・ 一定回数パスワードを間違ったら、アカウントロックする
　　・ 定期的にアクセスログをチェックして、不正侵入、不正使用がないかモニタリングする

③ 物理的な手段で情報が盗まれる
　　・ サーバをラックに入れ施錠する
　　・ 夜間、休日など、社員が不在の場合において、コンピュータが設置してある部屋、建物をしっかり施錠する
　　・ 情報をダウンロードする場合は、そのデータがクライアントPC や外部記憶承
知に残ることがないようにする・ 公衆回線やモバイルPC からデータを接受したりする場合、暗号化を施す
　　・ ハードコピーなど紙に出力された情報の管理を行う

④ 内部の者が悪意で情報を漏えいする
　　・ 業務監査の一環で、定期的にアクセス状況を調査し、不正をチェックする
　　・ アクセスモニタリングを行っていることを周知させ、内部牽制を行う
　　・ 情報保護教育を行い、日頃から意識づけを行う
　　・ 全社的な観点で情報セキュリティポリシを策定し、トップダウンで順守を促す
　　・ ワードブロック方式により、機密情報を禁止字句として設定する



暗号化鍵の管理
暗号化鍵をクライアントPC で保存する場合、その鍵の管理が不十分だと鍵が盗まれ、暗号化の意味をなさない（暗号化鍵活性化パスワードなどを利用する）




ネットワークアドレスとサブネットマスク

ネットワークアドレス ：
172.16.224.0 （11111111.11111111.11100000.00000000）
サブネットマスク ：
255.255.240.0 （11111111.11111111.11110000.00000000）

ホストアドレスの範囲は、サブネットマスクの「0」の部分に注目して、
11111111.11111111.11100000000.00000001～11111111.11111111.11101111.11111110
よって、172.16.224.1 ～ 172.16.239.254 となる（ネットワークアドレスと、ブロードキャストアドレスは除く）