［コラム］ネットワークエンジニアの現場から（6）職場の会話に見るセキュリティ意識

キーワードのご紹介

皆さんこんにちは。セッテンくんです。
IT企業への就職を検討しているが、システムエンジニアリングの仕事ってイメージが付きづらい…。

そんな方に向けて、みなさんの興味とIT実務の接点をお届けしていきます。
今日のキーワードは"セキュリティ意識"です。

日常との関わり

鍵のかけ忘れや外に貴重品を置きっぱなしにしていたことに気付くと、生きた心地がしませんね。
今日は職場で実際に聞こえてきた会話から"情報セキュリティ意識"について注目していこうと思います。

聞こえてきた会話

面識はないですが近くで作業していた、先輩後輩関係と見受けられる2人がネットワーク機器の設定ファイルを送ろうとしていました。
A「Config(設定ファイル)送っておいて。」
B「パスワード情報が含まれるので、ファイル共有サービスを利用して共有します。」
A「パスワードは暗号化されているから、メールに添付で大丈夫だよ。」
B「そうn
セッテンくん「ちょっといいですか!?」
思わず会話に割り込んでしまいました。

ファイル共有に関わるそもそも論

ファイル共有する際は、その重要度毎に定められた情報セキュリティポリシーに沿って共有方法を選択します。
ファイル自体をZIPファイルに圧縮してパスワードをかけ、別メールでパスワードを伝える(俗にPPAPと言われる対応。危険性が高く非推奨。)レベルでいいのか、ファイル共有サービスでアクセス権やパスワードによる制御をかける等より厳重に扱うかが変わります。
ちょっと周りの人に聞いて対応する内容というよりは、自身でポリシーに沿って判断しましょう。

「暗号化しているから」の落とし穴

ネットワーク機器では、パスワードを暗号化するコマンドが用意されています。
会話でのAさんは、設定値を見る際には、暗号化された文字列になっているので、安全だと考えたようです。
ただ、別の機器へ設定をそっくり移し替えても同じパスワードが使えます。
また、例えばCisco社のType 7と呼ばれる形式は可逆性の高い暗号化で、機器上でも、検索サイトですぐ見つかるwebサイトでもすぐ復号できます。
実際にwebサイトから簡単に復号できることを見せると、Aさんはとても驚いていました。
より強力で一般に可逆性は無いと言われる暗号化方式でも、データベースによる解析が可能なことがあるため、情報の一部が暗号化されているからという理由では、大切な情報が隠せていることにはなりません。
ちなみに、機器自体がもっと強力な暗号化方式でパスワードを守ってくれればよいのにとも思うかもしれませんが、それでは別に機器に同じ設定を入れても同じパスワードが使えず、機器が壊れたときや、検証の際に、設定を移植する際に手間になったり、機器ごとの暗号鍵の管理等の手間が増えたりとデメリットが大きく、多くのメーカ側も対応しない方針です。

正しい情報セキュリティ意識を持つために

情報セキュリティの意識は、日々の業務の中で持ち続けなければいけません。
そのために、正しい知識を学び続ける、組織内の情報更新に気を付けるといったことも必要ですが、より身近なところで、"自分なり"の方法を取ってしまっていないかを見直すことが大切です。
ルールやポリシーとは違うけど、○○だから大丈夫 と思ったときは、たいてい危ない橋の上です。
立ち止まって考えなおしましょう。

おわりに

このような技術や手法を組み合わせ、弊社では日々お客様の困ったを解決するサービスを提供しています。
この記事を読んで、少しでもIT企業で働くイメージが湧き始めたら、ぜひ弊社HPも確認してみてください。