IT統制を突きつけられる 技術者の眠れない夜 京都大学学術情報メディアセンター NPO情報セキュリティ研究所 上原哲太郎 [email protected] 社会がますますITに依存する中で･･･ ITは社会インフラ・企業の命綱・・・もはや不可欠 プログラムはそれ自体が 巨大かつ極めて複雑なシステムである 「たった100kBのプログラム」も機械語にすれば数万語 プログラムの動作が回路上の0/1に置き換わるまでを リアルに想像できる人は滅多にいない あらゆる場所に誤りが入る余地や脆弱性の存在する 可能性がある すなわち、バグやセキュリティホールは 存在することが大前提 1 そこにIT統制がやってくる 内部統制体制の構築が業務に過度の負担にならないよう にするにはITの利用が必須 財務報告の信頼性を担保するために、ITの統制が必要 ITの統制目標 例：有効性及び効率性、準拠性、信頼性、可用性、機密性 ITに係る全般統制：業務処理統制の有効性を保証 開発&保守、運用、アクセス管理、安全性検査&対応、外部委託 管理etc… ITに係る業務処理統制：業務がITに反映されることを確保 入力エラー処理と例外処理、データ維持管理、アクセス管理 システム管理者の負担の増大 心配するときりがない 疑い始めるときりがない まずシステムの開発と運用だけでも・・・ 可用性が失われると業務へのインパクトが大きい 基幹システムを正しく動かし続けるのは重労働 たとえば負荷の見積もりひとつとっても難しい 次に外部の脅威に対応するが・・・ 比較的対処法がある分野だが、やることは多く完全はない 最後に内部の脅威に対応しようとしても・・・ きりがない、やることが多すぎる 業務効率とのバランスが非常にとりにくい 「組織的犯罪」がないことを本当に客観的に示せるか？ ITは善人にも悪人にも平等・・・個人に大きな力 オープン化とネットワークの登場は敵を無限に増やした これじゃどこまでやればいいのかわからない 2 例えば・・・ 不正防止に 操作履歴を じゃあ どうすれば？ タイムスタンプ局 を使おう ログをとろう 1からログを 作り直されたら？ ログの真正性は どうする？ 電子署名を 使おう ログサーバを インターネットに つなぎたくない ログを途中だけ 消されたら？ ログ同士の署名を 連鎖させよう （ヒステリシス署名） ITという技術の特殊性 ITは経営合理化に不可欠な道具だが 同時に今までなかった危機も持ち込む 主に情報セキュリティ上の危機 ITは複雑な技術：評価が難しい 必要性も費用対効果も即断は困難 セキュリティに万全はないが「じゃあどれだけ安全？」という 強度指標はない（暗号除く） ITによるインシデントは発生確率が激変する 脆弱性の発見、攻撃法の流行・・・ 脆弱性の混入は避けられない 攻撃力は「資金」や「マンパワー」ではなく 純粋に「技術」で決まる 3 システム管理者の持つべき常識 ITによる業務効率化は危機も呼び込むことになる しかし「2倍の効率化」は必ずしも「2倍危険」を意味しない 的確な技術の投入があれば危険を増加させないが 誤った技術を投入すると危険は1000倍にもなる 昔と違ってコンピュータはブラックボックスではない 敵の数は無数になった 業者は甘言しか口にしない・言えない そして危機には責任を負わない・負えない 事故の発生確率は0にできない だからこそ事故の予防策だけではなく事後対策が重要 ここでデジタルフォレンジックの出番だ！ 一技術屋として・・・ ITの社会的責任も企業経営上の重要性も 格段に上昇している 「現場の判断で」動くことは許されなくなってきた だが経営陣/責任者に技術的判断が取れるか？ 経営者には 「最低限の経営判断がつく程度のITリテラシ」 技術者には 「経営判断がつく程度に技術を噛み砕いて説明する能力」 が、ホントに今すぐ必要 でも、どこで教えてくれるんでしょうね？ 後者は特に「MOTの反対語」が欲しい 4
© Copyright 2024 Paperzz
