ネットワーク分離・情報持ち出し統制の検証
Network Separation & Exfiltration Control Validation
設計資料や顧客データのような重要な資料が、決めたネットワークの外へ出ていく道がないかを探し、先に塞ぐべきところをお伝えします。
ネットワーク分離と境界、ネットワーク間連携やVDI・リモートワークの区間、DLPなどの持ち出し統制まで、資料が出ていきうる道を順に確かめます。
分離したネットワークと重要な資料は、実際にも外へ出る道が塞がれているのか？
資料が出ていきうる道ごとに、防がれたか突破されたかとその根拠、先に塞ぐべきところをまとめます。
確認済み
このような状況に適しています
- ネットワークを分離したが、本当に塞がれているか分からないとき
金融・公共・防衛のようにネットワーク分離を運用しているなら、設計どおりに分かれているか、ネットワーク間連携・リモート接続の区間が必要な分だけ開いているかを確かめます。
- 中核技術と設計資料を守る必要があるとき
設計図面、ソースコード、研究資料のように会社の競争力が詰まった資料が、決めた場所の外へ出ていけるかから確かめます。
- 内部者による漏えいが気になるとき
退職予定者や協力会社の要員のように権限を持つ人が、資料を大量に集めて外へ持ち出せるか、その間に気づけるかを確かめたい場合です。
- リモートワークやクラウドで働き方が変わったとき
VDIやリモートワーク、クラウドの共同作業ツールを導入して新たにできた通り道が、既存の統制の中に入っているかを確かめておきます。
SAFE SQUAREのアプローチ
資料から出発します
守るべき資料と、その資料がとどまるべき場所を先に決め、その資料が出ていきうる道を一つずつたどります。
設計図と実際を突き合わせます
ネットワーク構成図やポリシーに書かれた境界を実際の接続と比べ、設計になかった接続と通り道を見つけ出します。
統制が実際に捉えるかを見ます
試験用の資料で持ち出しを試み、DLPやファイアウォール、ネットワーク間連携システムなどの統制が実際に捉え、記録するかを確かめます。
このようなところを確認します
組織ごとにネットワークの構成と資料が行き来する道は異なります。以下はよく確認するところの例です。
- SPLITネットワーク分離と境界
- ネットワーク分離・セグメンテーションが設計どおりに保たれているか
- 開発・本番・外部ネットワーク間の境界統制
- 両方のネットワークにつながったサーバーと機器
- TRANSFER資料が行き来する区間
- ネットワーク間連携・ファイル転送システムの承認の流れ
- VDI・リモートワークの区間でのコピー・印刷・画面転送
- クラウドの共同作業ツールと個人ストレージ
- COLLECT集めることと出すこと
- 重要な文書・データの大量収集の可能性
- 外部へ出ていく経路と、統制が及ぶ範囲
- 外部記憶媒体と印刷
- CONTROL統制と記録
- DLP・ファイアウォールなど持ち出し統制の実効性
- 持ち出しの試みが記録され、アラートにつながるか
- 例外の承認とその記録
「インターネット側のPCから、業務ネットワークのサーバーへ直接接続できてはならない」
「ネットワーク間連携で出ていくファイルには、承認の記録が残らなければならない」
「一人が一日にダウンロードできる設計資料には、上限がなければならない」
進め方
守る資料と境界を決める
守るべき資料とその資料がとどまるネットワーク、許可された持ち出しの経路を整理し、守るべき条件として書き出します。
範囲と安全条件の合意
検証する区間と対象システム、試験に使う資料とアカウント、許可する行為と中止の基準を開始前に決めます。
経路の検証
資料が出ていきうる道ごとに、試験用の資料が実際に出ていくか、統制が捉えて記録するかを確かめます。
塞ぐべきところの説明
経路ごとに、結果と根拠、先に塞ぐべきところと改善の方向をご説明します。
試験には事前に決めた試験用の資料を使い、稼働中の業務に影響しないよう、方法と中止の基準を開始前に決めます。
お客様に残る成果
経路別の結果
資料が出ていきうる道ごとに、防がれたか突破されたかを、そうなる条件とともにまとめます。
設計と異なる接続
ネットワーク構成図やポリシーになかった接続と通り道を、まとめてお示しします。
統制の実効性
DLPやファイアウォール、ネットワーク間連携システムが試みを捉えて記録したか、見逃したのはどこかをまとめます。
先に塞ぐところと次に確認する範囲
先に塞ぐべきところと改善の方向、次に確認する部分を示します。
研究所の設計資料は、研究ネットワークの外へ出ていけないこと
対象：製造業の研究所の研究ネットワークと業務ネットワーク、ネットワーク間連携システム、VDI
| 出ていく道 | 結果 | 根拠 |
|---|---|---|
| ネットワーク間連携システム | 防がれた | 設計ファイルの形式は承認を経て初めて渡り、試みはすべて記録されます。 |
| VDIのコピー・書き出し | 防がれた | VDIのファイルのコピーと書き出しの機能が、ポリシーどおりに無効になっています。 |
| 両方のネットワークにつながった開発サーバー | 突破された | 研究ネットワークとインターネットの両方につながった開発サーバーを経由して、試験用の設計ファイルが外部ストレージへ移りました。 |
| 大量ダウンロード | 補完が必要 | 一つのアカウントが一日にダウンロードできる量に上限がなく、大量ダウンロードへのアラートもありません。 |
| DLPの検査範囲 | 補完が必要 | メールの添付は捉えますが、クラウドの共同作業ツールにアップロードするファイルは検査範囲の外でした。 |
- 業務への影響
- 開発サーバー一か所を通じて研究所の設計資料が外へ出ていくおそれがあり、大量に集めても気づきにくい状態です。
- 先に塞ぐところ
- 開発サーバーを研究ネットワークの内側へ移し、インターネットへの接続は承認された更新の経路だけにします。次に、アカウントごとのダウンロード上限と大量ダウンロードのアラートを設け、DLPの検査範囲にクラウドの共同作業ツールを加えます。
結果は検証した時点の状態です。対処後に再確認するかは必要に応じて決めます。