厳重な防御の裏で、軽視されがちな社内ネットワーク（内網）の安全

 

 

公的部門（パブリックセクター）はネットワークの外部脅威を重視しており、ファイアウォールの強化やウイルス対策ソフトなどを通じて、悪意ある攻撃が組織のネットワークに侵入するのを防いでいます。しかし、前述したリスクが「内部」に起因する場合、あるいは日常的に検知の盲点となっている場合、内網には以下のような特有の性質があり、これは外部の脅威にはない先天的なアドバンテージ（優位性）となります。

 

 

・日常業務における権限取得： 内部の攻撃者は、日々の業務プロセスの過程ですでに正当なアクセス権限を取得しています。

・重要データと防御運用の把握： 内部の攻撃者は、重要なデータがどこに保管されているかを知っており、構築されている防御メカニズムにも精通しています。

 

 

もし組織が内部脅威の発生に直面した際、検知や予防のメカニズムが欠如していれば、その被害をコントロールすることは極めて困難になります。社内外ネットワークの連合防御を行うにあたり、企業や組織は「ゼロトラスト（Zero Trust）」のセキュリティ管理アーキテクチャを迅速に構築しなければなりません。高度な内網の可視化と管理を通じて、内外の連合防御セキュリティポリシーを強化し、ネットワーク環境をより完全なものへと高める必要があります。

 

 

公的部門が直面する主な課題

 

 

政府機関でセキュリティインシデントが発生した場合、それは国家安全保障レベルの脅威へと発展します。iThome のデータによると、2019年には2割以上の企業・組織が50回以上のセキュリティインシデントに遭遇しており、そのうち4割でサービスの中断が発生し、6割がデータの窃盗を目的とした行動でした。政府機関や学校の約3割が情報セキュリティを最優先のIT投資項目と見なしているのはこのためです。また、2020年第1四半期の調査でも、ランサムウェアのインシデントが前年同期比で48%増加したと言及されており、情報セキュリティ防御の健全化は一刻の猶予も許されません。以下に、公的部門でよく見られる情報セキュリティの課題を列挙します。

 

 

 

 

 

資産数の不透明化とデバイス状態の把握困難

 

現代のネットワーク環境においては、OAエリア内にある端末機器の管理だけでなく、各所に点在する防犯カメラやカードリーダー（非接触ICカード改札・施錠システム）などのIoTデバイスも、情報セキュリティ管理における重要な一部となっています。一般的な端末管理手法としては、各デバイスにエージェント（Agent）をインストールし、機器情報や稼働状況を監視する方法が採られています。

 

 

しかし、大半のIoTデバイス、BYOD（個人所有デバイスの業務利用）、および来訪者のデバイスには、エージェントをインストールすることが困難です。その結果、環境内にある資産の属性や、ソフトウェア・ハードウェアの構成状態を効果的に把握できなくなります。これは管理を複雑にするだけでなく、ネットワーク環境全体の安全性に重大な懸念（セキュリティホール）を残す原因となります。

 

 

 

 

来訪者管理の不徹底が招くセキュリティホール

 

政府機関には、外国人ゲスト、市民、外部委託業者など、多くの来訪者が訪れ、ネットワークへの接続を必要とする場面が多々あります。管理者が1台ずつ接続許可や権限設定を行うのは時間がかかるだけでなく、接続デバイスに対する効果的なセキュリティチェック（検疫）も行えません。また、業務が終了した際には、ネットワーク利用権限を手動で削除する必要があります。これらのステップに不備があると、ネットワーク環境にセキュリティの抜け穴が生じやすく、マルウェアの侵入やデータ窃盗といったインシデントを引き起こす原因となります。

 

 

IPv6への全面移行と政府機関が取るべき対応

 

台湾の政府機関ではIPv6への移行が全面的に進められており、民間におけるIPv6の普及率も世界第6位に達しています。これは、今後数年間のうちにIPv6を利用してネットワークに接続するユーザーがますます増加することを意味します。現在のようにIPv4とIPv6が共存する環境下で、いかに両方のプロトコルを同時に効率よく管理していくかが、政府機関が今すぐ解決すべき課題となっています。

 

 

 

法的規制の下で最適な情報セキュリティ防御を選択する方法

 

「情報通信安全管理法（資安法）」およびその子法の規定により、関連機関は定められた期間内に ISO 27001 認証の取得または NIST CSF への準拠を達成し、政府構成基準（GCB）の導入および情報通信システム防御基準の検証措置を完了しなければなりません。また、「個人資料保護法（個人情報保護法）」は、公務機関に対して個人情報の窃盗・改ざん・毀損を防ぐための適切な措置を講じるよう義務付けています。

 

 

2019年には、銓叙部（人事院に相当）がトロイの木馬に感染し、公務員59万件分の個人情報が流出する事件が発生しました。流出内容には国家安全保障に関わる職員の個人情報も含まれており、該当職員を危機に晒しただけでなく、国家安全保障にも深刻な影響を及ぼしました。

 

 

限られたセキュリティ予算の中で、どのように ISO 27001 標準に準拠した ISMS（情報セキュリティマネジメントシステム）を構築するか、あるいは NIST CSF を採用しつつ、その他の法的規範を同時に遵守していくかは、あらゆる関連機関にとって大きな挑戦となっています。

 

 

社内ネットワーク（内網）防御の配備によるランサムウェア発生リスクの低減

 

インターネットの発展に伴い、大量の機密データがデジタル形式で保存されるようになりました。これに目を付けたハッカーは、脆弱性のあるデバイスを探して組織の社内ネットワークに侵入し、ランサムウェアによってデータを暗号化してユーザーのアクセス権限を遮断。ファイルやアクセス権の復旧と引き換えに、被害者へ身代金を要求する手口を繰り返しています。

 

 

 

 

「情報通信安全管理法（資安法）」に対応するVANSシステムの導入アプローチ

 

行政院国家情報通信安全会報技術サービスセンター（技服センター）が構築した「政府機関脆弱性アラート・通知システム（Vulnerability Alert and Notification System: VANS）」は、各級機関から提出されたソフトウェア資産レポートと、米国国立標準技術研究所（NIST）が管理する国家脆弱性データベース（NVD）を自動照合する仕組みです。これにより、各機関のセキュリティ上の脆弱性を洗い出し、該当機関へ即座に通知を行うことで、第一時間での脆弱性修補とセキュリティリスクの排除を可能にし、政府部門におけるソフトウェア資産管理を強化します。

 

また、「情報通信安全管理法」の各級政府機関における遵守事項では、情報セキュリティ責任格付け「A級」の機関はすべてVANSシステムを導入することが義務付けられ、「B級」および「C級」の機関もそれに追随することが明文化されています。

 

 

---

 

 

UPAS NOCの核心的価値：ゼロトラスト・セキュリティ・アーキテクチャ

 

「ゼロトラスト」とは何か？

 

すべてのリソースを「外部リソース」と見なし、必要なアクセス権限を付与する前に、信頼性を得るための継続的な検証を行うアプローチです。簡単に言えば、社内ネットワーク（内網）を外部ネットワーク（外網）と同等に扱い、従来の「信頼して検証する」という認識から、「検証し、決して信頼しない（Verify and Never Trust）」へと転換することを意味します。

 

 

そのため、人やオブジェクトが組織の資産へのアクセスを要求した際、UPASはまずゼロトラスト原則を適用することを推奨しています。アクセス権を付与する前に、その信頼性を必ず検証しなければなりません。企業や組織がいかにしてゼロトラスト・セキュリティを完全なものにすべきかについて、Gartnerが発行したセキュリティレポートでは以下のように指摘されています。

 

 

「現代の企業がセキュリティリスクを低減するためには、持続可能な『ゼロトラスト・ネットワークアーキテクチャ』を構築しなければならない。そしてこの目的を達成するためには、完全に統合されたNAC（ネットワークアクセス制御）ソリューションが不可欠である。」 — Market Guide for Network Access Control, Gartner

 

 

NACメカニズムの導入を通じて、UPAS NOCはデバイスの「可視化」と「制御性」に着手します。ネットワーク環境内のすべての接続デバイスを確実に洗い出す資産棚卸しを実行し、人員の接続・アクセス権限を効果的に管理します。さらに、各デバイスのソフトウェア（ウイルス対策ソフト、資産管理ソフトなど）やOSバージョンの更新・インストール状態をチェックし、弱点の修補（パッチ適用）を行います。最終的に、デバイス情報を分析してレポートとしてエクスポートし、持続的な追跡を可能にします。

 

 

 

UPAS NOC ソリューション

手軽な導入で資産棚卸しとIP管理プロセスを完全健全化

 

 

 

 

網羅的な資産棚卸しとデバイス状態の完全な把握

 

 

研究によると、90%以上のIoTデバイスにはエージェント（Agent）をインストールすることができず、従来のデバイス識別技術では対応が困難であると指摘されています。UPAS NOCは特許取得済みのARP技術を活用し、エージェントレス（Agentless）の方式で30種類近くの接続デバイスの属性を自動識別することが可能です。

 

 

・OAエリア： PC機器、モバイル端末、プリンター、IoTデバイス

・サーバールーム・インフラ： 仮想マシン（VM）、サーバー、その他仮想化・ネットワーク機器コンポーネント

・一般的なネットワーク機器： ルーター、スイッチ、ファイアウォール、無線アクセスポイント（AP）、コントローラー

 

 

資産の棚卸しだけでなく、デバイス情報の統計管理も大きな課題です（OSのバージョン、ウイルス対策ソフトや定義ファイルが最新か、ソフトウェアの利用状況など）。これらのうち1つでも問題が発生すれば、ネットワーク環境全体が危険に晒される可能性があります。

 

 

UPAS NOCは、WSUSサーバー、複数のウイルス対策ソフト、および資産管理ソフトのデータベースとシームレスに連携できます。さらに、Tableauと連携した視覚的なグラフを作成することで、デバイス情報をクリアかつ一目で把握できるよう可視化します。

 

 

 

 

 

来訪者の自動化管理によりセキュリティホールを解消

 

 

実際のネットワーク運用において、外部の人間が一時的にインターネット（外網）へ接続したり、指定された時間帯のみ社内ネットワーク（内網）に接続したりする必要が生じるケースがあります。厳重に構築された外網向けの防御に比べ、内網に侵入した来訪者（ゲスト）のデバイスが適切に管理されず、アクセス権限が分離されていなければ、それらは高リスクなセキュリティの抜け穴となり得ます。UPAS NOCは、来訪者管理に対して以下のソリューションを提供します。

 

 

・自動化されたゲスト接続認証とログ管理： 当日現地での申請および事前の予約申請という2つの方式によるゲスト内網接続認証を提供します。来訪者の身元確認、対応する権限の付与、そして完全な監査ログの保持を自動化し、管理者の負担を大幅に軽減します。

 

・特定のネットワークセグメント（VLAN）への隔離： 内網へのアクセスが必要な来訪者に対して、UPAS NOCは「ゲスト専用セグメント」を切り離し、アクセス可能なデータを厳しく制限します。万が一、ゲスト用セグメントでセキュリティインシデントが発生した場合でも、被害をその区画内に封じ込め、組織全体の損失を最小限に抑えることができます。

 

・接続権限と有効期限の厳格なコントロール： 来訪者による内外網へのアクセス権限と利用時間（タイマー）を制限し、期限が切れるとホワイトリストから自動的に切断（削除）します。アクセス権限と有効期間を動的に管理することで、ゲスト権限の回収漏れによるセキュリティホールの発生を根本から防ぎます。

 

 

 

 

全面的なIPv6管理により、IP管理の課題を解消

 

IPv4とIPv6のデュアルスタック（二つのプロトコルが共存する）環境下では、「IPv4とIPv6アドレスの混在」や、「過去にIPv4ベースで行っていたIP配布やネットワークセグメント管理を、IPv6切り替え時に再構築しなければならない」といった共通の課題が生じます。これらは運用の複雑化を招き、管理人員の負担を増大させます。UPAS NOCは、以下のようなIPv6管理機能を提供します。

 

 

・IPv6ホワイトリスト制御機能： IPv6アドレスを使用する適合デバイスを自動的にシステムのホワイトリストに登録し、内網への接続を許可します。また、各IPの利用状況を明確にリスト化した詳細な台帳を自動生成します。

 

・IPv4サフィックス（末尾）を含むIPv6アドレスの自動配布： 過去に構築したネットワークセグメントの成果をそのまま継承できるため、プロトコル変換時に追加の再設定が不要となり、管理者の負担を大幅に削減します。

 

・IPv4・IPv6対応表の自動生成： デュアルスタック環境において、UPAS NOCは両プロトコルのIPアドレス対応表を自動生成します。これにより、各端末が使用している2つのIPアドレスの関係を一目で把握できます。

 

 

 

政府機関のISMS構築を支援し、法規制の要求を遵守

 

 

・ISMSおよび防御基準のクリア： 「情報通信安全管理法（資安法）」に基づき、各機関は ISO 27001 認証を取得可能な ISMS（情報セキュリティマネジメントシステム）の構築と、情報通信システム防御基準の検証措置が求められています。UPAS NOCは、数多くの ISO 27001 管理策およびシステム防御基準の要件に適合しているため、認証取得にかかるコストと労力を削減します。

 

・GCB導入の形骸化防止とGPO監査： 政府構成基準（GCB）の導入は、煩雑な設定と膨大なPC端末の存在により、プロセスが極めて難航しやすく、導入失敗に終わるケースも少なくありません。UPAS NOCは、ドメイン内デバイスのGPO（グループポリシー）およびGCBの適用状況を管理者が一目で把握できる実用的な機能を提供し、規定通りに適用されていないエンドポイント端末を即座に洗い出します。

 

・リアルタイムアラートと完全なシステム軌跡（ログ）記録： デバイスの不正操作（VLANのまたぎ、IPの改ざんなど）を検知した瞬間、リアルタイムアラートによって即座に対象デバイスのネットワーク接続を遮断し、被害の拡大を阻止します。また、保持される完全なシステムログは、インシデント発生時に法的効力を持つ強力なエビデンス（証拠）となります。これらは個人情報保護において極めて重要な役割を果たします。

 

・NIST CSFフレームワークへの柔軟な対応： 近年非常に注目されている NIST CSF は、ISO 27001 のような煩雑な構築・認証プロセスとは異なり、情報セキュリティシステムを段階的に改善していく手法を重視しています。業界の調査によると、1割以上の政府機関が CSF の導入意向を示しており、予算に限りのある政府機関にとって非常に優れた選択肢となっています。UPAS NOCは CSF の多数のコントロールに準拠しているため、組織はニーズに応じてモジュールを柔軟に選択して購入でき、構築コストを最適化できます。

 

 

 

 

社内ネットワーク（內網）防御網の構築により、ランサムウェアの発生リスクを低減

 

 

公的部門におけるこれまでの防御思維は、その多くがウイルス対策（アンチウイルス）の視点から出発しており、セキュリティソリューションを導入してランサムウイルスを遮断することに主眼が置かれていました。しかし、防御ソフト自体のインストール状態や更新ステータスの検証を怠れば、防御効果に深刻な抜け穴（ボトルネック）が生じることになります。UPAS NOCは、資産棚卸しやコンプライアンスチェックをはじめとする以下の防御手段を通じて、社内外ネットワークの連合防御を効果的に実現し、98%以上の資産防護完了率（カバー率）を達成します。

 

 

・資産棚卸し： 多角的な技術を用いて環境内のすべての接続デバイスを識別・管理下に置き、内網環境におけるIP接続ステータスを完全に掌握します。

 

・起動・シャットダウンレポート： デバイスの電源状態に基づいて脆弱性の有無を判断します。例：長期間再起動されていないデバイス（OSパッチが更新されず、デバイスの脆弱性の原因となる）、長期間電源が入っていないデバイス（ウイルス対策ソフトや定義ファイルが最新バージョンに更新されていない）など。

 

・デバイスのコンプライアンス（適合性）チェック： ネットワークに接続するデバイスに対し、OSバージョン、ウイルス対策ソフト／定義ファイルの更新状態、資産管理ソフトのインストールおよび最新適用率など、複数のセキュリティチェック項目を検証します。

 

・データトラフィック監視： 端末機器のネットワーク利用挙動をコントロールします。ネットワークトラフィック情報を提供し、関連するトラフィックレポートを生成します。

 

・AD（Active Directory）アカウント管理： ADへのログイン／ログアウト時間の記録を保持することで、内網内のアイドル（休止）状態のデバイスや、RDP（リモートデスクトップ）接続を使用しているデバイスを管理し、ハッカーから攻撃を受けるリスクを低減します。

 

・構成・挙動変更チェック： 不正なソフトウェアの追加、GPO（グループポリシー）の変更、フルアクセス権限でのフォルダー共有の有効化など、構成における異常な挙動をリアルタイムで検知し、アラートを通知します。

 

 

 

 

 

高い適応性を備えた高度なVANS導入ソリューション

 

 

UPAS NOCは、網羅的な資産棚卸しを通じて、ソフトウェア資産の監査完了率98%以上を達成します。また、お客様の多様なニーズや現在のシステム環境に応じて、2つの異なるVANSシステム導入ソリューションを提供しています。

 

 

---

 

 

パターンA：すでにVANS導入を支援するサードパーティ製システムを導入済みのケース

 

 

UPASエージェントの追加インストールは不要

 

 

すでに他社製の資産管理システムを導入し、該当ベンダーのエージェント（Agent）展開を完了させ、ソフトウェア資産をCPE形式に変換してVANSシステムへアップロードしている場合、UPAS NOCはセキュリティホールを徹底的に排除するための「高度な連携ソリューション」を提供します。

 

 

業界におけるエージェントの平均的な展開率および更新率はわずか80%程度にとどまっているのが実情です。このため、ソフトウェア資産の棚卸しに漏れが生じ、深刻な脆弱性が検知されないまま、組織が高度なセキュリティリスクに晒される原因となっています。この問題の根本原因は、多くのサードパーティ製システムがAD（Active Directory）サーバーからエージェントを一斉配信する手法を採用している点にあります。配信エラーやデバイス側の原因でインストールが失敗した場合、その端末のソフトウェア資産を把握することはできなくなります。

 

 

UPAS NOCは、特許取得済みのARPパケット解析技術を用いて環境内のデバイスの可視性を大幅に向上させ、ネットワークに接続されているすべての端末を容易に洗い出します。この高度な可視化をベースに、UPAS NOCの「SIM（セキュリティ統合モジュール）」が既存の資産管理ソフトのデータベースと連携。完全な監視リストと照合することで、エージェントが未導入または未更新のデバイスを1台の漏れもなく特定します。さらに、不適合デバイスに対しては、安全性の高いネットワーク遮断メカニズムを作動させ、強制的に脆弱性の修補（パッチ適用）を行わせます。

 

 

当社が提供するこの高度な連携ソリューションにより、新たなUPASエージェントを追加導入することなく、既存の資産管理システムで確実にすべての端末を管理下に置くことができます。ソフトウェア資産を確実に棚卸ししてVANSへアップロードし、より網羅的なソフトウェア脆弱性検査を通じて、セキュリティリスクを効果的に排除します。

 

 

パターンB：VANS導入を支援するサードパーティ製システムを未導入のケース

 

 

UPASエージェントのインストールが必要

 

 

端末機器の網羅的な棚卸しをベースに、UPAS NOCの「PM（パッチ管理）モジュール」がすべてのソフトウェア資産をさらに詳細に精査します。標準化されたCPE形式のソフトウェア総括表を自動生成し、ワンクリックでVANSへアップロードできるため、「情報通信安全管理法」が公的部門に課す要求を容易にクリアし、あらゆる端末のソフトウェア脆弱性の見落としを防ぎます。

 

 

このモジュールは端末へのUPASエージェントのインストールを必要とします。公的機関によるVANSの導入を支援するだけでなく、端末のWindowsバージョン、ウイルス対策ソフトの状態、必須導入ソフト、禁止ソフト、ライセンス保有数など、多岐にわたるコンプライアンス（適合性）チェックを実行できます。規定を満たさないデバイスに対しては、UPAS NOCのアクセス制御機能を用いて、脆弱性の修補が完了するまでネットワーク接続を制限します。

 

 

 

 

運用・管理が容易な防御網の構築

 

 

理想的な効果を発揮するネットワークセキュリティアーキテクチャの実現には、構築、運用管理、保守といったプロセスが不可欠です。そこに関わるユーザーのレイヤーは多岐にわたるため、「安全の徹底」は決して一方通行の主張であってはなりません。セキュリティポリシーの理想的な効果を維持するために、多方面のユーザーが常に緊張を強いられ、煩雑な業務を運用しなければならない状態は、防御網のなかに潜む「隠れた脆弱性（リスク）」へと変わる原因となります。

 

 

 

 

UPAS NOCは、セキュリティ体験の最適化を止めることはありません。当社の核心的な強みは、「エージェントのインストールを必要とせず」にカバー率の高い防御網を構築し、可視性の向上と管理ポリシーの適用を実現することにあります。非802.1X技術の採用により、高い適応性と簡便性を提供し、ネットワーク環境の再構築やハードウェア・ソフトウェアのアップグレードに伴うリスク、および管理者の運用ストレスを徹底的に排除します。

 

 

クリックしてダウンロード： UPAS NOC 公的部門向けインダストリーソリューション

お問い合わせはこちら：最適なインダストリーソリューションのご提案とご相談を承ります