「全社員に，会社の建物のどの部屋（オフィス）でも開けられるマスター・キーを渡すことはないはず。その社員がいる部屋の鍵しか渡さない。ネットワーク・セキュリティについても同じように考えるべきだ。ユーザーへ与えるアクセス権限は最小限に抑えるべき」――。米Counterpane Internet Securityの創業者およびCTO（最高技術責任者）であるBruce Schneier氏は4月6日，IT Proの取材に関して，アクセス・コントロールの重要性について語った（写真）。
同社はインテック コミュニケーションズと共同で，国内向けのセキュリティ監視サービス「EINS/MSS＋」を開始している（関連記事）。同社自身は1999年からワールドワイドでセキュリティ監視サービスを提供しており，現在，世界32カ国の企業や組織で利用されている。その中には国内企業も含まれるという。ただし，同社が独自に提供するサービスでは，ユーザーとのやり取りや提供される情報は英語である。一方，インテック コミュニケーションズと提供するサービスでは，情報や通知はすべて日本語で提供される。ユーザーからの問い合わせに対応するのも，インテック コミュニケーションズのスタッフである。
Counterpane Internet Securityとインテック コミュニケーションズが提供するサービスでは，社外からの不正アクセスだけではなく，社内からの不正アクセスも検知できる。問題はアクセス権限があるユーザーによる情報の持ち出しである。「権限があるユーザーによる情報へのアクセスは正当な手続きである。当然のことながら，不正アクセスとして検知できない。これはテクノロジーの問題ではなく，人の問題，運用の問題だ」（Schneier氏）。
「情報の流出を防止するために重要なことは，アクセス権限を最小限にするということ。アクセス権限がない情報（サーバー）へのアクセスの試みは，セキュリティ監視サービスなどで検知できる。権限を最小限にすることは，ネットワーク・セキュリティだけではなく，あらゆるセキュリティについて重要だ。実際，物理的なセキュリティに関しては，多くの企業で実践されているはず。ネットワーク・セキュリティについても同じように考えるべきだ」（同氏）
（勝村 幸博＝IT Pro）
