高橋くん：
営業一部のIT推進委員。営業マンとして働く一方，システム部と協力して部内のネットワーク・システムの面倒を見ている。
島中主任：
システム部主任。社内ネットワークを運用管理する中心人物。各部署のIT推進委員からの声を社内ネットに生かすよう活動している。

運用面でのチェック・ポイント

高橋：社内インフラと共存させるとなると，他の部署からもWebサーバーが見えてしまいます。なんとかなりませんか？


図4 新規に導入するシステムのアクセス制御と責任範囲
[画像のクリックで拡大表示]

図5 営業用サーバーのセキュリティ・ポリシー
OSにセキュリティ・ホールが見つかり，ベンダーからパッチが提供されても，すぐには適用せずに必ず情報システム部で検証する。
[画像のクリックで拡大表示]


[画像のクリックで拡大表示]

島中：そうだね。セキュリティ上もサーバーの負荷の観点からも，不要なアクセスはない方がいい。だから，今回はファイアウォールで営業部門のIPアドレスからのアクセスだけをWebサーバーに通すようにしよう（図4[拡大表示]）。これで営業部門以外からの不要なアクセスは心配しなくてもよくなるよ。

高橋：ふう，ローカル・システムを構築するだけでもいろいろ検討することがあるんですね。大変なことを始めちゃった気がします。

島中：まだまだ決めなければならないことはたくさんある。例えば，Webサーバーのウイルス対策，データのバックアップ運用の方法，セキュリティ・パッチ対策などをどう実行するかといった運用面の体制だ。

高橋：専用のWebサーバーを用意するので，サーバー上のファイルをスキャンできるウイルス対策ソフトが必要になりますよね？

島中：そうだね。

高橋：実はウイルス対策ソフトはもう目星をつけてあるんです。この製品，どうですか？

島中：うーん。せっかくだけど，それは全社で導入している製品と違うから使えないんだ。

高橋：そうなんですか？

島中：全社で導入しているウイルス対策ソフトは，情報システム部がいろいろな製品を比較検討して選んでいるんだよ。製品を統一することでセキュリティ・レベルを一定に保てるうえに，万が一ウイルスに感染したときも迅速な対策がとれるからね。

高橋：でも，いろんな種類のウイルス対策ソフトがあった方が，1社の製品を使うよりもリスクが分散できるんじゃないですか？

島中：リスクを分散するという意味ではその通りなんだけど，それは運用管理の負荷とトレードオフの関係にあるよね。だれが運用管理するのか，その負荷はどれくらいになるのかといった点まで考慮すると，ウイルス対策ソフトを統一しておいたほうがいいというのが情報システム部の判断なんだ。

高橋：わかりました。

セキュリティ対策のポリシー

島中：続けてデータのバックアップについて検討しよう。掲示板のデータやダウンロード用データのバックアップは，だれがどれくらいの頻度ですべきかわかるかい？

高橋：バックアップをとるのは僕の役割ですよね。頻度は，データが毎日更新されるからバックアップも毎日必要になります。あとは，どこまで遡ってとっておけばいいのか，決めないとダメですね。

島中：その通り。でも，それには正解というものはないんだよ。データの重要度や営業部門の運用に合わせて決めていけばいい。バックアップをきちんと運用するということは，システムの安定稼働につながるんだ＊。

高橋：それは営業部門のみんなと相談して決めることにします。

島中：じゃあ，どんどん先に進もう。次は，サーバーのセキュリティ・パッチ対策だ。先に答えを言ってしまうと，これは我々情報システム部が直接管理する内容になるね。

高橋：OSのアップデート機能を使えば，僕にもできますよ。

島中：確かに高橋くんに任せた方が僕も楽ができていいんだけどね。でもこれは，全社インフラのセキュリティ・レベルを保つためとローカル・システムの安定稼働のためには必要なことなんだよ。ちょっと説明が必要だね。

　○×商事では，本稼働中のシステムに対するパッチ適用は必要最小限にとどめるというポリシーを採用している。これはおもに，システムの安定稼働を目的とした措置である。一口にシステムといっても，OSを始め，複数のアプリケーションを組み合わせている場合が多い。ただし，こうしたアプリケーションはあらゆる組み合わせを想定して開発されているわけではなく，組み合わせによっては動かないケースもある。

　システム導入時は，実際に利用するアプリケーションの組み合わせで問題が発生しないことを検証しながら構築する。こうして注意深く構築したシステムなので，OSのセキュリティ・パッチが公開されても，検証なしにパッチを適用するようなことはしない。システムが不安定になる危険性をできるだけ排除するためだ。

　そこで○×商事では，サーバー単体ではなくファイアウォールやネットワーク機器も含めたシステム全体でセキュリティ対策をとる。例えば，TCP/IPのあるポートに攻撃を受けるぜい弱性が見つかった場合，○×商事では，ファイアウォール側でそのポートを閉じることで暫定的に対処する。いきなりパッチを当てる場合に比べて，既存システムに与える影響は小さいといえる。そして，パッチの安全性を検証してから正式な対処としてパッチを適用することにしている（図5[拡大表示]）。

島中：パッチ対策はファイアウォールやネットワーク機器と併せて考えるものなんだ。

高橋：ネットワークを運用管理するには，いろいろと考えなければいけないんですね。

島中：運用管理ということでいえば，システムが稼働する前に，ネットワーク構成図や機器リスト，OS/アプリケーション・リスト，ファイアウォールのポリシー一覧などのドキュメント＊を整理しておく必要があるね。

高橋：えっ，そんなにあるんですか？

島中：ここにあげたものは最低限必要なものだよ。こうしてドキュメントで整理しておくと，万が一問題が発生したとしても，迅速に対処できるんだよ。これらのうち，高橋くんには機器リストとアプリケーションのアカウント管理表を作成してもらうからね。

高橋：はい。頑張ってみます。

島中：おや，もうこんな時間だ。高橋くん，悪いけど続きはまた今度にしよう。次は，新規に用意するアクセス回線や導入する機器を決めていこう。じゃあ。

高橋：はい，またよろしくお願いします。

　高橋くんは今回の島中主任とのやりとりを振り返り，IT推進委員日記[拡大表示]をつけ た。

●筆者：佐藤 孝治（さとう たかはる）
京セラコミュニケーションシステム データセンター事業部 東京運用監視課・責任者
社内，社外のシステム・インフラ導入業務を経て，現在はデータ・センターの構築・運用管理に従事している。