特集：
情報漏えいを防ぐ！
できるエンジニアのセキュリティチェックポイント（前編）
システム開発においても，「個人情報」という大事な資産を守るために「強固なれんがの家」を作成する必要がある。そのためには，要件定義・設計といった開発の上流段階で，網羅的にリスクを分析し，適切なセキュリティ対策を検討しなければならない。そこで本特集では，個人情報保護法の施行や情報漏えい事件の多発で必須となりつつあるセキュリティ対策について，すべてのエンジニアが押さえておくべきチェックポイントを徹底解説する。
西村 崇、平田 昌信（日経ITプロフェッショナル）
2005年9月8日
情報漏えいを防ぐ！（後編）はこちらから >>
顧客データなど情報システムに格納されている重要情報は，きっちりと漏洩対策をしなければなりません。しかし，これまでのセキュリティ対策は対症療法に頼りがちで，先を見渡して計画的・効率的に実施することが困難でした。それは，セキュリティ対策の全体像を描けなかったからです。この特集では，セキュリティ対策の全容を紹介しています。これまであまり知られていなかったセキュリティ・アーキテクチャ，個人情報を保護するための着実な設計手法，法的に守るべきガイドラインを解説しています。ぜひご覧下さい。
（安保秀雄／日経ITプロフェッショナル編集長）
【第1部】
セキュリティ対策はこれからが本番
設計段階の漏えい対策が不可欠
人材不足の今がスキル習得の好機
情報漏えい事件が多発する中，今最も求められているのは， システム開発の要件定義や設計といった上流工程で，セキュリティのリスクを分析して抜けのないセキュリティ対策を検討できるスキルだ。セキュリティのスキルを高めることは，エンジニア個人にとっても自らの市場価値を高めるチャンスになる。
「ユーザーから，Webサイトの情報が閲覧できないというクレームが来ている。何かシステムに問題があるのではないか」。
システム・インテグレータK社のSE，佐々岡健太氏（仮名）は，ある日の午後，ショッピング・サイトを運営しているC社の担当者から，突然連絡を受けた。佐々岡氏は，C社のショッピング・サイトの開発を担当したSE。C社のサイトは，数カ月前にサービスを開始したばかりだった。
連絡を受けた佐々岡氏は，すぐにシステムを運用しているK社のデータセンターに直行。Webアプリケーションやデータベース・サーバーの状態を確認した。すると，購買履歴といった数千件におよぶユーザーの個人情報がそっくり消えていた。
これまで情報漏えいをなんとなく「他人事」のように考えていた佐々岡氏は真っ青になった。「誰がこんなことをしたんだ！」。運用担当者に聞いても，誰もそんな操作はしていないという。そこで佐々岡氏は，データベースの操作履歴（ログ）を調べてみた。そのなか履歴（ログ）を調べてみた。そのなかに個人情報を全件閲覧した後で削除した履歴が残っていた。
詳しく調べてみると，個人情報の入ったテーブルを閲覧して全件削除するというSQL文が実行されていた。悪意のあるユーザーがWebブラウザから文字列を入力して，Webアプリケーションに実行させたのだ。いわゆる「SQLインジェクション」である。
佐々岡氏は，要件定義や基本設計フェーズで，システムに盛り込む機能や性能面には十分に注意していた。しかし，不正アクセスなどの脅威を網羅的に考慮したリスク分析やセキュリティ対策は実施していなかった。「入力受け付けプログラムが共通で使うチェック機能をあらかじめ用意しておく」といった，セキュリティを考慮した設計も固めていなかった。
佐々岡氏は，C社と話し合ってWebサイトをいったん停止し，数人のSEとともにWebサイトからの入力データをチェックする機能を1つずつ確認し，セキュリティ面で不足していたチェック機能を追加していった。その後，バックアップデータでユーザーの個人情報を格納し直し，数日後，どうにか復旧にこぎつけた。
「一体どうしてくれるんだ！」。C社の担当者は，当然のことながら怒り心頭。結局，修正作業の費用は，K社が全額負担することになった
要件定義・設計での対策が必須
このエピソードは，不正アクセスで情報が漏えいした典型的な事例の1つである。読者の多くは，佐々岡氏のようなトラブルを経験したことがないかもしれない。だが，システムから個人情報が漏えいするリスクは至る所に隠れている（図1）。いつなんどきトラブルに直面してもおかしくない。情報漏えいは，システム開発に携わるすべてのエンジニアにとってもはや「他人事」ではない。
実際，2005年4月に個人情報保護法が施行された後も，情報漏えい事件は多発している（表1）
原因として最も多いのは，個人情報を格納したノートパソコンや記憶媒体の盗難・紛失だ。これは一見すると，システム稼働後の運用ルールに問題があるように見える。もちろん，ユーザー企業の運用ルールは重要だが，システム開発の要件定義や設計段階で，データベースのアクセス権限を徹底して社内ユーザーのパソコンから容易にアクセスできなくするといった対策を施しておけば，漏えいリスクは確実に減らせるはずだ。
最近は5月に起きたカカクコムの事件のような不正アクセスによる情報漏えい事件も増えている。不正アクセスについても，要件定義で網羅的にリスクを分析し，設計に盛り込んでおけば，リスクは大幅に減らすことができる。実際，不正アクセスによる情報漏えいに関しては，「上流工程でのリスク分析や対策が十分でなかったために抜けや漏れが発生したのではないか」（NTTデータビジネス開発事業本部セキュリティビジネスユニット情報セキュリティ推進室の井上克至室長）と指摘する声は多い。
図１ 業情報システムに潜む個人情報の漏えいリスク
企業内，企業外問わず様々な情報漏えいリスクがある。システム開発でセキュリティを考慮するのは，もはや待ったなしだ 【クリックで拡大】
ユーザー企業の意識が変わる
情報漏えいの多発を受けて，ベンダー各社は，セキュリティ対策に本腰を入れ始めている （※1）。これまでは，ベンダーがセキュリティ対策に取り組もうとしても，ユーザー企業がセキュリティ対策コストを出し渋ることが多かったが，この状況も徐々に変わり始めている。情報漏えいなどのセキュリティ対策に高い意識を持つユーザー企業が増えているのだ。
※１ ベンダーの取り組み例えば，富士通はここ数年，同社のシステム開発標準「SDEM」の中に，セキュリティ対策の作業項目を盛り込んだり，ノウハウの共有を進めている。NTTデータやNEC は昨年，SEなどを対象に個人情報の取り扱いについて研修を実施。日立は今年1月から，セキュリティの脆弱性情報をソフト部門やシステム開発部門に伝達するための専門組織を設立した
例えば，ADSLプロバイダのアッカ・ネットワークスは今春完成したWebメール・システムの開発が終わった後，数カ月にもわたる試験運用を実施。セキュリティ面に問題がないか確かめた。日本テレコムも，2002年以降，プロジェクトマネジメントの対象として「QCD（品質・コスト・納期）」に「セキュリティ」を追加。また新光証券はこの4月に，システム企画段階で考慮すべきセキュリティ対策のチェックポイントをまとめて，開発時の基準とした。通信衛星大手の宇宙通信のように，Webシステム開発に当たって専門ベンダーの脆弱性診断サービスを受ける企業も増えている。
表1 今年4月から6月にかけて明らかになった主な個人情報漏えい事件。報漏えいは増加の一途をたどっている 【クリックで拡大】
この連載のバックナンバー
- 緊急提言 「新型インフルエンザ」感染地域が急速に拡大中 あなたと家族を守る「３つのポイント」＋「１」 (2009/04/30)
- 3月リンク集：オフィスセキュリティ (2009/04/01)
- 2月リンク集：身近にある危機 (2009/03/01)
- 1月リンク集：米国と日本 (2009/01/30)
- 12月リンク集：歳末の防犯・防災 (2008/12/25)
