【要点抽出】NIST SP800-53 rev.5, 53B その8
今回は以下目次の1つの管理策ファミリーを読みます。
システムおよび通信の保護（SC）ファミリー
このファミリーには141個の管理策が属します。
いわゆる技術的対策が集まったファミリーであり、全ての管理策ファミリーの中で最も数が多いです。
管理策としては51種類挙げられていますが、その中でも拡張管理策（孫管理策）が多いのは「境界保護（SC-7）」です。
子レベルの管理策は以下です。(グレー字は撤回された管理策）
「低」レベルのベースラインとして、境界保護がまず挙げられます。DMZを設け、境界面で通信を制御したり悪意のある攻撃を分析したりします（SC-7）。
DoS、DDoSといったサービス拒否攻撃に対応するために、攻撃パケットをフィルタする境界保護デバイスの導入や、NW帯域やサービスの冗長性を十分に設けます（SC-5）。
DNSの保護も重要であり、DNSSECなどの手法を用いてDNSキャッシュポイズニングに備えます（SC-20、SC-21）。DNSサーバは耐障害性のために冗長構成をとり、かつ、組織内部からの名前解決のリクエストを処理するサーバとインターネットなど外部からのリクエストを処理するサーバを分離します（SC-22）。
暗号による保護は他の管理策ファミリーでも出ていましたが、ここでも触れられており、何の用途にどんな暗号方式を用いるのか決めた上で、暗号鍵をセキュアに管理します（SC-12、SC-13）。
また、意図せぬ情報漏洩を防ぐために、リモート会議システムや関連するデバイス（マイク、カメラ等）をリモートからアクティベートされることを禁止したり（SC-15）、システムのプロセスごとに実行するアドレス空間を分離する管理策があります（SC-39）。
「中」レベルのベースラインとして、一般ユーザ向けインターフェースからシステムの管理者用インターフェースを分離します（SC-2）。
「低」で出た境界保護の拡張管理策として、インターネットとの出入口の数を減らし（SC-7(3)）、アウトバウンドの通信はプロキシサーバを経由させ（SC-7(8)）、通信許可設定をデフォルトDenyで運用することを求めています（SC-7(5)）。
また、BGPなどのコントロールプレーントラフィックを保護や（SC-7(4)）、リモートユーザが組織のシステムにアクセスしつつインターネットにもアクセスできる「スプリットトンネリング」を防止します。ここは昨今のゼロトラストアーキテクチャではまた変わると思いますが、本書ではVPNならスプリットトンネリングをセキュアに提供できると書いてあります（SC-7(7)）。
データを伝送・保存時どちらも暗号化などにより機密性や完全性を保護します（SC-8、SC-28）。伝送時の暗号化といえばTLSが挙げられますが、ここで用いる公開鍵証明書は信頼できる認証局から得ます（SC-17）。
別の観点として、モバイルコード（Javaアプレット、JavaScript、HTML5、WebGL、VBScriptなど）は組織として許可・禁止するものを決めることと、デジタル署名を行うことを求めています（SC-18）。
「高」レベルのベースラインとして、引き続き境界保護の拡張管理策が登場します。Firewallなどの境界保護を司る機器に障害が起きた場合でもセキュリティを保つ（フェールセキュア）よう設計したり（SC-7(18)）、システム間に境界保護の考えを取り入れるために、コンポーネント間をＮＷのアクセス制御や仮想化技術により分離することを求めています（SC-7(21)）。
また、暗号鍵の管理について、ユーザが暗号鍵を紛失した(例えばパスワード忘れ）場合でも可用性を維持するような設計を求めています（SC-12(1)）。
他に「既知の安全な状態での障害」（SC-24）や「セキュリティ機能の分離」(SC-3)もありますが、概念的すぎるので割愛します。
その他、ベースラインに選ばれていないものは109個の管理策があります。
SCファミリーは特に「分離」を求める管理策が多く、上述のベースラインに出てきたもの以外にこんなもの（一部）があります。
特権を持たないユーザに対し、システム管理機能を見せなくする(SC-2(1))
アプリケーションそのものとユーザのプライバシーに関する情報を分けて保存する（SC-2(2)）
ハードウェア分離機能を用いてセキュリティ機能やシステムのプロセスを分離する（SC-3(1),（SC-39(1))
侵入検知などのセキュリティ機能を、その他の機能から分離する（SC-3(2)）
セキュリティ機能同士を独立したモジュールとして分離する（SC-3(4)）
問題が起きたコンポーネントを動的に分離する（SC-7(20)）
重要なシステムや機能を、その他の機能から分離する（SC-7(29)）
特権機能を個別の物理ドメインに分離する（SC-32(1)）
ただ、よく「ドメイン」という言葉が出るのですが、どういったものをイメージしているのかがよく分かりませんでした。
それ以外に特徴的な管理策としては以下があります。
ホスト型ファイヤウォールの採用（SC-7(12)）
シンクライアント技術の採用（SC-25）
ハニーポットなどの囮技術の採用（SC-26）
攻撃者をかく乱するためのランダム性や不確実性の導入（SC-30）
インターネットを積極的に調査してマルウェアや悪性サイトを発見する活動（SC-35）
本当はもう少し他の管理策も触れたかったのですが、あまりに数が多く、雑多に色々混ざっているので分類自体が難しいファミリーとなっています。
＊＊＊NIST SP800-53シリーズのリンク＊＊＊
NIST SP800-53の読み方：こちら
管理策の概観、ACファミリー：こちら
AT、AU、CA、CMファミリー：こちら
CP、IA、IRファミリー：こちら
MA、MP、PEファミリー：こちら
PL、PM、PS、PTファミリー：こちら
RA、SAファミリー：こちら
SCファミリー：こちら(この記事)
SI、SRファミリー：こちら
＊＊＊はじめての方へ＊＊＊
これは何のnoteだ？と思われた方はこちらをご覧ください。
これまでにまとめたガイドライン類の一覧はこちら
この記事が気に入ったらサポートをしてみませんか？