安全確保のために東京は明るく！大阪は暗く！：Security&Trust ウォッチ（28）

» 2004年09月29日 10時00分公開

　何年か前に、高速道路の事故を減らすための方法を、交通システムの偉い先生に聞いたことがある。自動車が高速で走っている高速道路は、一般道とは違うさまざまな理由で事故が起こることがある。例えば、高速に目が慣れてしまうために、車間距離が短くなってしまうといったことだ。特に薄暮のころや夜間は危険である。こういった事故を防止するために、高速道路の街灯の明るさを調節するという方法がある。ここで面白いのは、地域によってその調節がまったく逆ということだ。

　東京の場合には、街灯を明るくする。そうすれば、路面状況や先の方の自動車まで見えるので、視認性がよくなり事故が減るという理屈だ。反対に大阪の場合には、街灯を少し暗くする。そうすれば、ドライバーは見えにくくなるので、高速道路を注意して走る。そのうえ、電気代まで減らすことができるという理屈だ。

　この話が本当で、いまでもそういう対策を採っているのかは知らないが、街灯を明るくしても暗くしても事故対策になるという点が面白い。しかも、そのどちらもある程度の効果を上げているという話だった。

ルールは厳しくする？緩くする？

　会社ではセキュリティポリシーなどによって社員にコンピュータの使用やネットワークの使用について、何らかのルールを課している。さまざまな会社のセキュリティポリシーやルールなどを知ると興味深いことが見えてくる。ある会社は社員へのルールを厳しく締めることによってある程度の秩序を保っている。また、ある会社は社員へのルールを緩くすることである程度の秩序を保っているというのだ。

　ルールを厳しくするか緩くするか、まったく逆のことをしているが、話を聞くとそれぞれに利点があるのが分かる。社内から社外ネットワークへのアクセスという点に絞って見てみよう。

　ルールを厳しくしているという会社では、社外へのHTTPとHTTPSのアクセスはプロキシを使用し、一部のWebサイトへのアクセスはURLフィルタリングによって制限している。そのほかのsshやtelnetなどへのリモートアクセス、FTPや外部のメールサーバなどへはすべて許可申請を必要としている。

　もう一方のルールを緩くしているという会社では、社内のネットワークはローカルIPアドレスとして、ファイアウォールを設置してログはすべて取得しているが、社内から社外へのアクセスはほぼ制限されておらず、ユーザーが自由にアクセスできる環境としている。

ルールは厳しくても緩くても一長一短

　ルールを厳しくしている会社では、ユーザーのアクセスを制限することで不用意なアクセスやネットワークの私的利用が減っていると主張している。しかし、問題もあるという。ルールを厳しくすると、必ずその網を抜けようとするユーザーがいるというのだ。そういうユーザーは、SSH-VPNやトンネルなどを使って制限しているリソースへアクセスしている。SSH-VPNやトンネルもネットワークのアクセス制限で許可されているポートやプロトコルを使ったアクセスであり、しかも通信内容は暗号化されているため、問題を見分けて防ぐことが難しくなっているという。

　ルールを緩くしている会社では、ユーザーにアクセス制限を課さない代わりにログを取得することで、ユーザー別のアクセス動向を把握できるため、ピンポイントで対策をすることができるという。問題がある行動をするユーザーに注意を促したり、特定のアクセスだけをそれとなく制限したりするそうだ。アクセス制限をしていないので、ユーザーはSSH-VPNやトンネルなど手の込んだ方法を使うことがないという話である。ログを取得していることを公にすることで、ユーザーの心理に訴えるという方法を採っているのである。こちらの問題点としては、注意をするなどで事後に防ぐことはできるが、事前に防ぐことができないという点である。

　厳しくするも緩くするも、どちらも一長一短であり、両者のバランスを取ることは難しい。どちらにするかはセキュリティポリシーを定めるときなどに大いに悩むところであろう。厳しいルールはユーザーが抜け道を探し、緩いルールは無法地帯となる可能性も考えられる。