セキュリティ基準「PCI DSS」
不要なアカウントは削除しないといけない製品によってはデフォルト設定（初期設定）で，管理者パスワードやアカウントが設定されていることがある。その情報は製品マニュアルやインターネットなど公開情報から取得できる。従って，悪用防止のため事前に変更しなければならない。 PCI DSSの要件2は，デフォルト設定の削除を求めている。また，その変更を行うまでは，セキュリティ侵害を受ける可能性があるので，製品をネットワークに接続することは禁じられている。 要件1ではファイアウオールの導入/設定方法が規定されていたが，それだけでは不十分である。多段防御の観点から，ネットワーク機器自体のセキュリティ対策も行う必要がある。機器ごとに初期状態からセキュリティを確立する作業は，「要塞化」あるいは「セキュリティ・ハードニング」と呼ばれている。 要件2.1では，デフォルト設定の変更の例として，SNMPコミュニティ文字列の変更が取り上げられている。
SNMPとは，ネットワーク機器に標準搭載されているプロトコルである。監視対象の機器からCPU負荷，メモリー使用量，障害情報などを監視用ソフトウエアに集めるために使用される。そのコミュニティ文字列とは，一種のパスワードであり，監視対象機器と監視用ソフトウエアの間で同じ文字列が設定されている場合にだけ通信ができるようにするものである。コミュニティ文字列には，慣習的に「public」や「private」という文字列が設定されることが多い。しかし，コミュニティ文字列が不正に奪取されると，機器情報が漏洩することになるので，変更しなければならないと定められている。 また，不要なアカウントの削除も，要件2.1の例としてあげられている。システムによっては，デフォルトで管理者アカウント，ゲスト・アカウント，システム・アカウントがある。さらに場合によっては，ベンダーがリモートから保守するための保守用管理者アカウントが設定されていることもある。要塞化のためには，システムごとに必要なアカウント，不要なアカウントを洗い出し，不要なものは削除しなければならない。 デフォルト設定をそのまま使用することは，システム・コンポーネントの脆弱性を放置することに等しい。特に無線環境を利用している場合には容易に不正アクセスを許すことになりかねない。大規模小売店などのPOSなどでは無線環境が広く使われているため，PCI DSSでは要件2.1.1のように，無線環境への要求が厳しくなっているものと思われる。
システム設定基準を策定するPCI DSSには，各種文書化について要求事項がある。担当者は，ここに定められた文書を作成しなければならない。要件2.2では，システム設定基準を策定することが定められている。
システム設定基準とは，すべての機器設定に関する標準的な設定について定める規定文書である。システム設定基準の策定は，かなりの労力を要するが，脆弱性を減らす効果が高く重要である。表7に，PCI DSSで要求されているシステム設定基準の記載事項と要件項番を示す。
表7●システム設定基準の記載事項
要件2.2.4に関して，ベンダーはデフォルト設定であらかじめ基本的機能を使用可能にすることにより，ユーザーの利便性を高め，ユーザーが複雑な設定変更作業を不要にしていることがあるので，注意が必要である。
利便性とセキュリティはトレードオフの関係にある。不要な機能や，管理者が把握していない機能があると，脆弱性の原因となるので，不要な機能は取り除く必要がある。
 |
