変更要約: 初版
4.4対策と管理（ファイアウォール・ゼロトラスト・ISMS）
ネットワーク境界を守るファイアウォール・IDS/IPS・WAFと、外部公開サーバを隔離するDMZ、遠隔拠点を安全に接続するVPN、境界防御に依存しないゼロトラストの考え方、組織的な情報セキュリティ管理の枠組みISMS・ISO/IEC 27001、セキュリティポリシの体系、アクセス制御（最小権限・職務分離）、ログ管理、インシデント発生時に対応するCSIRT・インシデント対応のプロセスを学びます。
これまでの節で見た脅威・攻撃手法・暗号技術は、組織としてどう仕組み化して継続運用するかが最後の課題です。個別の技術対策（ファイアウォール等）だけでは不十分で、管理面の枠組み（ISMSやセキュリティポリシ）と技術対策を両輪で回すことが実効性のある情報セキュリティにつながります。この節では技術的対策と組織的管理を橋渡しする形で学びます。
4.4.1ネットワーク境界の対策
- ファイアウォール＝送信元/宛先IPアドレスやポート番号に基づき通信を許可/拒否する境界防御。ネットワーク層〜トランスポート層の情報で判断し、通信内容そのものは見ない。IDS（侵入検知システム）＝不正な通信を検知して管理者に通知する。IPS（侵入防止システム）＝検知に加え自動で遮断まで行う。
- WAF（Webアプリケーションファイアウォール）＝HTTPリクエストの中身（パラメータ等）を検査し、SQLインジェクションやXSSのようなアプリケーション層の攻撃パターンを検出・遮断する。ファイアウォールがIP/ポートで判断するのに対し、WAFは通信の中身を見る点が最大の違い。
- DMZ（非武装地帯）＝インターネットに公開するWebサーバ等を、内部ネットワークとは別のセグメントに配置する構成。外部からの不正アクセスでDMZ上のサーバが侵害されても、内部ネットワークへの直接の侵入を防ぐ多層防御の一環。VPN（仮想プライベートネットワーク）＝公衆網上に暗号化されたトンネルを構築し、遠隔拠点やリモートワーカーを安全に接続する。
- ゼロトラスト＝「境界の内側は信頼できる」という従来の境界防御の前提を置かない考え方。社内外を問わずすべてのアクセスを都度検証し、最小権限の原則でリソースへのアクセスを許可する。リモートワークやクラウド利用の拡大で境界が曖昧になったことが背景。
4.4.2組織的管理（ISMS・アクセス制御・インシデント対応）
- ISMS（情報セキュリティマネジメントシステム）＝組織が情報セキュリティを継続的に維持・改善する管理の枠組み（PDCAサイクルで運用）。ISO/IEC 27001＝ISMSの国際規格。認証取得により第三者からの信頼性向上につながる。技術対策だけでなく規程・体制・教育を含む組織全体の取り組みである点が重要。
- セキュリティポリシ＝組織の情報セキュリティ方針を体系化したもの。基本方針（最上位・経営層が策定）→対策基準（部門ごとの実施ルール）→実施手順（具体的な作業手順）という3階層で構成されるのが一般的。アクセス制御＝最小権限の原則（業務に必要な最小限の権限のみ付与）と職務分離（不正防止のため一連の業務を複数人で分担）が基本原則。
- ログ管理＝サーバ・ネットワーク機器・アプリのログを収集・保管し、インシデント発生時の原因調査や責任追跡性の確保に用いる。ログの改ざん防止（書き込み専用領域への転送等）と十分な保存期間の確保が実務上の要点。
- CSIRT（コンピュータセキュリティインシデント対応チーム）＝組織内でインシデントの検知・分析・対応を専門に担うチーム。インシデント対応の一般的な流れは検知・分析 → 封じ込め（被害拡大の防止）→ 根絶（原因の除去）→ 復旧 → 事後対応（再発防止策の策定・報告）。封じ込めを急ぐあまり証拠を消してしまわないよう、ログや証跡の保全にも配慮する。
ファイアウォール=IP/ポートで判断・WAF=通信内容(HTTPリクエスト)を検査という違い、IDS=検知のみ・IPS=検知+自動遮断、DMZ=外部公開サーバを内部網から隔離、ゼロトラスト=境界内も信頼しない、ISMSのPDCA運用、インシデント対応=検知/分析→封じ込め→根絶→復旧→事後対応の順序が最頻出です。
ある企業が自社ECサイトへの攻撃を受けた後、対策を段階的に強化していく過程を追って、各対策がどの層を守るのかを整理しましょう。まず境界にはファイアウォールを配置し、業務上不要なポート宛の通信をそもそも遮断します。しかしWebアプリ層への攻撃（SQLインジェクション等）はファイアウォールのIP/ポートの判断基準ではすり抜けてしまうため、HTTPリクエストの内容まで検査するWAFを追加導入し、悪意あるパラメータを検出・遮断します。さらに公開Webサーバ自体が侵害された場合の被害範囲を限定するため、WebサーバをDMZに配置し、たとえDMZ上のサーバが乗っ取られても内部の顧客データベースへ直接到達できない構成にします。侵入の兆候を早期に把握するためIDSで常時監視し、既知の攻撃パターンにはIPSで自動遮断を組み合わせます。ここまでは従来型の境界防御の発想ですが、リモートワークの拡大に伴い社員が社外から様々な端末で社内システムへアクセスするようになると、「社内からのアクセスだから安全」という前提が崩れます。そこでゼロトラストの考え方を導入し、社内・社外を問わずアクセスのたびに認証・認可を検証する仕組みへ移行します。並行して、技術対策だけに頼らずISMSを構築し、基本方針→対策基準→実施手順というセキュリティポリシの3階層を整備し、従業員教育やアクセス制御（最小権限・職務分離）の規程を定めます。それでも侵害が発生した場合に備え、CSIRTを組織し、ログ管理で保全された証跡をもとに検知・分析→封じ込め→根絶→復旧→事後対応という手順でインシデントに対応する体制を整える、という技術×組織の多層防御が実務の到達点です。
| 対策 | 見ているもの | 主な役割 |
|---|---|---|
| ファイアウォール | 送信元/宛先IP・ポート | ネットワーク層の境界防御 |
| WAF | HTTPリクエストの中身 | アプリケーション層の攻撃を検出・遮断 |
| IDS / IPS | 通信パターン・シグネチャ | 検知のみ（IDS）／検知+自動遮断（IPS） |
ひっかけ： 「ファイアウォールを導入すればWebアプリケーションへの攻撃も防げる」は誤りです。ファイアウォールはIPアドレスやポート番号で通信を判断するため、正規のポート（443番等）を使ったSQLインジェクションやXSSのようなアプリケーション層の攻撃は検知できず、これにはWAFが必要です。また「ゼロトラストは境界防御(ファイアウォール等)が不要になる考え方」も誤りで、ゼロトラストは境界内であっても無条件に信頼しないという追加の検証を行う考え方であり、従来の境界防御を完全に置き換えるものではありません。
4.4.3この節のまとめ
- ファイアウォール=IP/ポート判断・WAF=通信内容を検査。IDS=検知のみ・IPS=検知+自動遮断。DMZで公開サーバを隔離
- ゼロトラストは境界内も無条件に信頼しない。ISMS/ISO27001はPDCAで継続改善する組織的管理の枠組み
- セキュリティポリシ=基本方針→対策基準→実施手順の3階層。インシデント対応=検知/分析→封じ込め→根絶→復旧→事後対応
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある企業のWebサイトが正規のHTTPSポート(443番)を経由したSQLインジェクション攻撃を受けたが、既存のファイアウォールでは検知できなかった。この種の攻撃を検知・遮断するために追加すべき対策として最も適切なものはどれか。
Q2. インターネットに公開するWebサーバを、内部ネットワークとは別のセグメントに配置し、たとえそのサーバが侵害されても内部ネットワークへ直接到達できないようにした。この構成の名称として最も適切なものはどれか。
Q3. セキュリティインシデントが発生した際、まず被害の拡大を食い止めるために該当サーバをネットワークから切り離す措置を取った。この措置はインシデント対応のどの段階に該当するか。