問３
ネットワークのセキュリティに関する次の記述を読んで，設問 1～4 に答えよ。
A 社は，社員数が数万人規模の製造業である。本社組織と複数の事業部があり，本社と各事業部は複数の部から構成されている。
A 社では“A-NET”と呼ばれる全社 TCP/IP ネットワークが稼働している。A-NET
稼働前は，幾つかの事業部ネットワークが独立して使われていた。それらのネットワークを相互接続しながら，A-NET
は構築されてきた。現在，本社とすべての事業部が A-NET で相互接続され，業務システム，電子メール，WWW，ファイル転送などに広く利用されている。図
1 に A-NET の概要と管理範囲を示す。
〔サイト LAN と基幹ネットワーク〕
A-NET は一つの“基幹ネットワーク”と複数の“サイト LAN”から構成される。サイト
LAN は，“基幹ルータ”経由で基幹ネットワークと接続されている。基幹ルータを含む基幹ネットワークは，本社の情報システム部が運用管理を行っている。
A-NET では，社内の組織を“サイト”という単位に分けて管理している。サイトと事業部又は部とは，必ずしも
1:1 に対応しない。サイト LAN はサイトが運用管理を行うネットワークで，A-NET
への加入単位でもある。
〔アドレス体系〕
A-NET は，クラス A のプライベートアドレスを採用している。各サイト
LAN のネットワークアドレスは，A-NET 加入申請時に，情報システム部からそのサイトに与えられる。サイト
LAN のホストアドレスはサイトが管理する。
A-NET に接続されていない LAN や，ほかのサイトとは通信を行わない LAN
がサイト LAN に含まれている場合もある。このような LAN のために，情報システム部では“サイト内アドレス”という特別なアドレス範囲を，クラス
A のプライベートアドレス内に定義している。すべてのサイトは，サイト内の通信用に限り，与えられたアドレス以外に，サイト内アドレスを自由に使用することができる。
〔A-NET セキュリテイガイド〕
A-NET を計画する際，A 社のトップは次のような基本方針を情報システム部に示し，セキュリティに関する基準と運用規則の立案を指示した。
| (1) | A-NET は，各種の資産(情報や機器)が接続される汎用のネットワークである。セキュリティに関する問題の発生防止，発生した問題の速やかな検出，問題波及の防止，問題解決の仕組みを考慮したセキュリティ対策をたてること。 |
| (2) | 情報システム部を全社のセキュリティ管理部門とし，A-NET のセキュリティ管理に関する責任と権限を与える。 |
| (3) | セキュリティ管理を行う技術者を，各利用部門(本社と事業部)から選出させ，その技術者を“サイト LAN 管理者”と呼ぶ。A-NET のセキュリティ管理体制は，サイト LAN 管理者と情報システム部の技術者を中心に作ること。 |
情報システム部は，A-NET のセキュリティ基準と運用規則を作成し，トップの承認を得た。そして，サイト
LAN 管理者向けの内容をまとめ，“A-NET セキュリティガイド”として，全サイト
LAN 管理者に配布した。図 2 に A-NET セキュリティガイドの構成を，図 3，4
にその一部を要約したものを示す。
| 〔基本編〕
1.はじめに 1.1 本ガイドの目的 1.2 用語の定義 1.3 セキュリティ管理の重要性 2.A-NET のセキュリティポリシ 2.1 セキュリティ管理に対する基本的な考え方 2.2 セキュリティ管理体制とその役割 2.2.1 A-NET セキュリティ管理部門の管理体制と役割 2.2.2 A-NET 利用部門の管理体制と役割 2.3 問題発生時の対応 2.4 セキュリティポリシの改訂 3.サイト LAN の運用 3.1 サイト LAN 管理者の権限と責務 3.2 サイト LAN 運用ポリシの考え方 4.申請書 4.1 サイトセキュリティ管理体制申請書(新規・変更) 4.2 サイト LAN の A-NET 接続申請書(新規・変更) 〔技術編〕
|
|
〔管理領域の明確化〕
〔サイト LAN 管理者〕
〔問題発生時の対応〕
〔サイト LAN の運用ポリシとセキュリティ対策〕
|
〔社外接続〕
図 4 の A-NET セキュリティポリシに示すように，社外からサイト LAN 上のサーバヘアクセスすることは許されていない。社外から利用するサーバは，A-NET
には接続されていない LAN 上で動作する必要がある。しかし，最近，A-NET に接続されたサーバを社外からも利用したい，すなわち“社外公開サーバ”を設置したいという要求が多い。
これを受けて，情報システム部は，十分なセキュリティ対策を前提とした上で，“社外公開サーバ”設置の個別認可を行うことにした。図
5 はその運用ポリシ案であり，試行の後，A-NET セキュリティガイドに盛り込まれる予定である。
| サイト LAN における社外公開サーバ設置は，情報システム部の個別認可が必要である。個別認可を受けるに当たり，サイト
LAN 管理者は，本運用ポリシ案に準拠したセキュリティ対策を計画し，それを情報システム部に提示しなければならない。
〔個別認可の対象〕 ①個別認可の対象となる社外接続は，次の条件をすべて満たす必要がある。
〔アクセス制御〕
〔ログ監視〕
|
〔B ビルのサイト LAN 〕
A 社の B 事業部は，B ビルと B 工場の二拠点に分かれている。技術部と営業部だけが
B ビルにあり，製造部などのほかの部は B 工場にある。
B ビルは 3 階建てで，営業部は 2，3 階に，技術部は 3 階に入居している。1
階は両部の共通フロアとなっている。取引先など社員以外は，すべて 1 階の受付けで入退館の手続を受けることになっている。
図 6 に，B ビルのネットワーク構成を示す。技術部と営業部は，それぞれ別の
LAN をもっている。これらの LAN は，ルータで接続されているが，特にパケットフイルタリングは行っていない。これらの
LAN は，一つのサイト LAN (B ビルサイト LAN )として，A-NET に加入している。このほか，B
ビルサイト LAN とは独立した LAN (営業部独立 LAN )がある。
技術部は，技術情報サーバを用い技術情報システムを稼働させている。このサーバには，B
事業部の技術部と製造部がアクセスする。技術情報システムは，顧客製品の仕様情報など，機密性の高いデータを扱ったシステムである。営業部は，営業情報サーバを用い営業情報システムを稼働させている。営業情報システムは，ホテル，自宅など，社外から営業部員が利用するシステムなので，A-NET
とは独立した LAN で運用している。そのほか，全社サーバとして，技術部にメールサーバがある。表
1 にこれらのサーバの利用状況を示す。
|
(所在) |
|
|
アクセス制御と認証 |
|
(B ビルサイト LAN ) |
|
|
パスワードの照合 |
|
(営業部独立 LAN ) |
|
|
パスワードの照合 |
|
(営業部独立 LAN ) |
|
|
パスワードの照合 |
|
(B ビルサイト LAN ) |
システム |
|
パスワードの照合 |
B ビルサイト LAN のサイト LAN 管理者は，技術部に所属している C 氏である。
ネットワーク機器と表 1 のサーバの運用管理は，C 氏が行っている。
〔B ビルサイト LAN の見直し構想〕
技術情報システムの運用担当者は，現在の技術情報サーバのセキュリティ対策は不十分であり，利用できるパソコンを必要なものだけに限定したいと考えている。営業情報システムの運用担当者は，営業部独立
LAN を A-NET と接続し，社内にある営業部員のパソコンからも営業情報システムを利用できるようにしたいと考えている。これらのシステムの利用者は，そのほとんどが業務に必要なパソコン操作ができるだけで，ネットワークやサーバの知識はない。セキュリティに対する認識もまだ十分とはいえない。
B 事業部長は，両システムの運用担当者の意見を聞き，B ビルのネットワークを見直すよう
C 氏に指示した。また，セキュリティヘの意識が低いことを危ぐし，技術部と営業部の全員にセキュリティに関する集合教育を行うよう併せて指示した。
指示を受けた C 氏は，図 7 のような改善案を作成した。その内容は次のとおりである。
| (1) | B ビルサイト LAN を，技術部サイト LAN ，営業部サイト LAN の二つに分ける。 |
| (2) | 基幹ネットワークと技術部サイト LAN の間，及び営業部サイト LAN と営業部独立 LAN の間に，ルータ(ファイアウォール)を設置し，“パケットフィルタリング”を行う。パケットフィルタリングの定義には，クライアントの IP アドレス及びサーバの IP アドレスと TCP ポート番号を用いる。許可する通信をこれらの組合せで定義し，それ以外のパケットはすべて破棄する運用とする。 |
| (3) | 営業部のサイト LAN に認証サーバを設置し，リモートアクセスサーバが外部クライアントから接続要求を受けた時の認証強化と，そのログ管理を行う。 |
〔情報システム部の見解〕
C 氏は，図 7 の改善案を情報システム部に提示し，セキュリティ対策の妥当性について見解を求めた。情報システム部では，図
8 の検討結果を C 氏に回答した。
| 次の点を再検討した上で，A-NET 接続の再申請を行うこと。
〔 Bビルサイト LAN の分割について〕
〔技術部サイト LAN について〕
〔営業部サイト LAN の社外接続について〕
|
〔 Bビルサイト LAN の改善作業〕
C 氏は，図 8 の内容を盛り込んだ改善計画書を作成し，B 事業部長に了解を求めた。B
事業部長はその計画を承認し，C 氏に具体的な作業を進めるよう指示した。また，サイト
LAN 分割後は，C 氏を技術部サイト LAN のサイト LAN 管理者とし，営業部の
D 氏を営業部サイト LAN のサイト LAN 管理者にすることを決めた。
C 氏は，表 2 のように今後の作業と担当者を決め，B ビルサイト LAN の改善を推進することにした。
|
|
|
|
| サイト LAN 運用ポリシの作成 | 技術部サイト LAN と営業部サイト LAN の運用ポリシを決定し，新サイト LAN の正式申請を情報システム部に行う。 |
|
| 利用者集合教育 | ネットワーク移行前に，技術部と営業部の全員に対しセキュリティに関する必要最小限の知識について説明する。 |
|
| 新ネットワークの設計と構築 | 改善案を基に，B ビルネットワークシステムの再設計，構築，移行を行う。 |
|
| LAN 管理業務の引継ぎ | 営業部サイト LAN の運用こ必要な管理業務を引き継ぐ。 |
|
設問１
A-NET のセキュリティポリシに関する次の問いに答えよ。
| (1) | “サイト内アドレス”を運用するために，基幹ルータで必要となる設定内容を 30 字以内で述べよ。 |
| (2) | A-NET の加入単位として，会社の組織(例えば事業部・部)を採用しなかった理由を 30 字以内で述べよ。 |
| (3) | 加入単位である“サイト”と会社の組織単位が一致しないことで生じるネットワーク運用上の問題点を 25 字以内で述べよ。 |
| (4) | (3)の問題点に対し，A-NET はどのような対策を講じているか。40 字以内で述べよ。 |
| (5) | 図 5 中の【 ａ 】～【 ｄ 】に入れる適切な字句を，それぞれ 30 字以内で答えよ。 |
設問２
B ビルサイト LAN の見直しに関する次の問いに答えよ。
| (1) | A-NET セキュリティポリシに従い，技術情報サーバを守るために必要なセキュリティ対策を二つ挙げ，それぞれ 20 字以内で述べよ。 |
| (2) | 図 8 の③で情報システム部が指摘している，ファイアウォール運用の複雑さとは何か。40 字以内で述べよ。 |
| (3) | 図 8中の【 ｅ 】～【 ｊ 】に入れる適切な記号を，図 7 ある(ア)～(ケ)の中から選べ。 |
| (4) | 図 8中の【 ｆ 】～【 ｉ 】に入れる適切な字句を，それぞれ 10 字以内で答えよ。 |
| (5) | 営業部員が社外からも A 社のメールシステムを利用できるようにしたい。この場合に必要な改善案(図 7)の変更点を 40 字以内で述べよ。 |
設問３
B ビルサイト LAN の改善に伴う今後の作業(表 2)に関する次の問いに答えよ。
| (1) | セキュリティ維持のため，今後，D 氏が行わなければならない日常の作業のうち，認証にかかわる作業を三つ挙げ，それぞれ 20 字以内で述べよ。 |
| (2) | 情報システム部の回答以外にも，B ビルのサイト LAN を分割することによって，セキュリティ管理上の問題が幾つか発生する。この中から，新しいサイト LAN の運用ポリシ作成において検討が必要な問題を二つ挙げ，それぞれ 30 字以内で述べよ。 |
設問４
社外接続の試行期間中，営業部サイト LAN が運用ポリシ案(図 5)に準拠し適正に運用されていることを，情報システム部も定期的に確認すべきである。そのために，情報システム部が行うべき作業は何か。D
氏から定期的に運用状況の報告を受け取りその内容を確認すること以外に必要な作業を二つ挙げ，それぞれ
50 字以内で述べよ。