第2回 そのメディア、そのまま捨てて良いのでしょうか？
松下 勉
テュフズードジャパン株式会社
マネジメントサービス部
ISMS主任審査員
CISA（公認情報システム監査人）
2007/6/27
ケーススタディで学ぶメディアの取り扱い方
上述したようなメディアのうち、今回説明しているのは、取り外して持ち歩くことが可能なメディア（PCなど、記録媒体が内蔵されている装置は除く）の再利用および廃棄方法です。これらのメディアにおいて、ここで説明したガイドラインとISMSを軸に、実際に業務で使用している状況ではどのような取り扱い方を考えていけばよいのかを、例を挙げて説明します。
| 【筆者注】 ここで取り上げていることは、あくまでも例示です。ISMSがその取り扱い方まで定義していることではありません。ある企業が、ISMSの規格本文や付属書Aを実施する際に、ここで例示した取り扱い方を必要と判断して実施しているというシチュエーションでお読みください。 |
ケース1：これは何が保存してあるのだろうか？
| 【ケース1】 キャビネットとオフィスの倉庫部屋の整理をしていたときに、単に「Backup」とだけ記載されたCD-Rが見つかりました。 これは、捨ててもよいのでしょうか？ その中身を確認してみたけれど、判断することができない内容でした。 |
●対応事例
関係する付属書A
A.7.1.2、A.7.2.1、A.7.2.2、A.10.7.1、A.10.7.2、A.10.7.3、A.10.7.4
この場合、以下の4つの担当に確認してみましょう。
- 自らが所属する部門の情報セキュリティ担当者
- 業務でメディアにデータを保存している従業員
- 前にその場所に設置されていた部門の従業員、情報セキュリティ担当者、および情報の管理責任者
- ISMS委員会
このような「出どころが分からないけれども、もしかしたら重要な情報かもしれない」というメディアは「どのように取り扱うのか（保管／廃棄（Destroy）／再利用（Clear、Purge））」を判断してもらうことがよいでしょう。
なぜなら、その場に居た従業員の判断では「捨ててもいいだろう」と思ったデータが、「実は必要な情報」だったという場合もあり、そういう判断のできる責任のある人に、処置方法を決定してもらうためです。「なぜ捨てたのか？」と説明を求められたときに、自分の身を守ることもできますし、組織として妥当性のある判断の下で行われたことを証明することにもなるからです。
これにより、必要な情報が「取り扱いの間違いから紛失および盗難」、というリスクを低減することができます。
この対処の後に、このような情報がほかの部門でも存在するのかを確認するため、ISMS委員会の事務局などが横展開し、もしそのようなメディアが発見されたのであれば、そしてインシデントとして発生していなければ、予防処置のプロセスを用いて、紛失や盗難が起こらないような処置を施します。調査の結果、インシデントが発生していたことが判明した場合は、インシデント対応手順に従って対処します。
ケース2：ラベリングはどうするの？
| 【ケース2】 一時的に作成したデータをUSBで、バックアップのデータをDATで保存しています。 このように、保存目的に応じて異なるメディアを使用している場合、再利用や廃棄方法を考えたときに、どのようにラベリングしたらいいのでしょうか？ |
●対応事例
関係する付属書A
A.7.2.1、A.7.2.2、A.10.5.1、A.10.7.1、A.10.7.2、A.10.7.3、A.10.7.4
保存目的ごとにメディアを分けて使用していた場合、その形状や用途によって、ラベリングする方法が異なっていることが多く見受けられます。
例えば、バックアップメディアであれば、そのバックアップ方法に準拠します。日次・週次バックアップを取得しているのであれば、以下のような項目を記載することがあります。
- システム名（またはサーバ名）
- 日次または週次の世代番号
- 管理番号（例えば、管理番号の頭に、日次は「D」、週次は「W」が付き、その後に数けたの番号がある、など）
- そのほか、管理するために明示したらよい事項
| 【筆者注】 セキュリティ分類の表記は、システムのバックアップメディアでは、おそらく重要度の高いレベルの表記が多くなります。さまざまなデータが保管されているバックアップすべてに、そのような表示をするのかは、企業の判断によります。なぜなら、バックアップに重要度を示す場合は、重要度の高いデータがこのメディアにたくさん入っています、ということを示していることにもなるからです。 従業員個人や部門でのバックアップでは、その取り扱い方に間違いが起きないように、分類を表示することが多いでしょう。 |
日付などは、管理台帳などにより、いつのバックアップデータが、どのバックアップメディアに保管されたか、トレースできるようにしておくとよいでしょう。
再利用または廃棄ということを考慮すると、この場合も、組織の採用しているバックアップの方法に準拠します。
例えば、日曜日にフルバックアップする週次バックアップがあり、月曜から土曜日まで日次バックアップする方法を取っていたとします。このバックアップでは、7本のテープメディアが利用されていました。これらメディアが1周期により上書きされていたとします。この場合、そのまま上書きで再利用される、ということになります。
ほかの用途、例えば、別のシステムのバックアップ用としてバックアップメディアを再利用する場合には、紛失や盗難によりデータが漏えいする可能性を考慮する必要があります。この場合、徹底的な上書き処理（Clear）や消磁処理（Purge）を施した方がよいでしょう。
これらのメディアを廃棄すると判断した場合は、システムから最新版のデータのバックアップを取得して、バックアップログやメディアの読み込みによりエラーがないことを確認します。その後に、古いバックアップメディアを物理的に破壊（Destroy）することがよいでしょう。なぜなら、バックアップメディアには、セキュリティ分類の高いデータから低いデータまで含まれているからです。これは、前述している「メディアの再利用および廃棄方法のガイドライン」を説明した項目で述べています。
また、組織にメディアを裁断できるような機器がなければ、外部業者に物理的破壊（Destroy）を依頼することになります。その場合には、メディアが本当に漏えいや盗難が行われないことを保証するため、その外部業者との契約書に秘密保持や損害賠償など、情報セキュリティにかかわる条項を盛り込みます。
このとき、確実に廃棄が実施されたことの証拠を得るためにその外部業者から報告書を受領するか、廃棄場所に同行して確認したり、オンサイトにて専用機器で裁断してもらうなどがあります。
 |
2/3 |
 |
| Index | |
| そのメディア、そのまま捨てて良いのでしょうか？ | |
| Page1 作るのは簡単、捨てるのは？ メディアの取り扱い方のガイドラインを考えよう |
|
 |
Page2 ケース1：これは何が保存してあるのだろうか？ ケース2：ラベリングはどうするの？ |
| Page3 ケース3：どうしてもUSBメモリを使いたい！ ケース4：消去できるメディア、それだけで安全？ |
|
 |
ISMSで考える運用管理のヒント 連載インデックス |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
