| 〇 |
Pestについてどのような対策をとっていますか？ |
| |
・ユーザの監視
→勝手にソフトをインストールされていないか、ツールを入れて画面ショットを取ったことがあった。
逆用されるリスクがあり、軽率だったと考えている。
→ユーザが閲覧したURLをチェックしている。違反者を停職にしたことも。
→メール閲覧などは、個人をしぼってやるのは法的に違反している。
特にEUでは法律に注意した方が良い｡
→ネットワークトラフィックをフィルタして監視。 |
| |
・ユーザへの教育
→社員から、Pest対策について質問されるようになった 早急に対策を立てたい。 |
| |
・外部からの攻撃には備えているが、内部対策はまだこれから。 |
| |
・社員にセキュリティ教育を実施し、モラルを上げようと考えている。
しかし、寝た子を起こすことになる可能性を懸念している。 |
| |
・対策したいが、コストと管理の手間が増えてしまうので躊躇している。 |
| |
・どこまで対策を立てれば完璧なのか、どこまでやれば良いのかが分からない。検討中。 |
| |
・対策も大事だが、事故が起きた際の事後対策も大事。 |
| |
|
| 〇 |
PestPatrolに求めるものは？ |
| |
・中央で集中管理する機能が欲しい。ユーザに操作させたくない。
→WEBベースの中央管理ツールを鋭意作成中。 |
| |
・バージョンアップが簡単に出来るようにワクチンソフトのバージョンアップに非常に工数を使っている。 |
| |
・導入後の運用、管理の情報をもらえると、上司を説得しやすい。
→入れた後のプレゼンもあるが、今回は一般的なプレゼンテーションを実施。 |
| |
|
| 〇 |
モバイルPC対策 |
| |
・外部から接続するPCにどう対応したらよいか？
無線LANのホットスポット等からインターネット経由で社内へアクセスするケースが出てきている。
→そもそも自宅PCをつながせること自体論外では。
→最低限のシステム開放は必要だと思うが、そこからセキュリティを破られたら大変だ。 |
| |
・ウィルス/ペスト対策ソフトをインストールしたかどうか確認できない。
モバイルで社内システムに入ってきた時点でインストール常駐させるシステムでないと管理できないのではないか。 |
| |
・VPN接続時のセキュリティチェック機能を利用すれば、安全なクライアントにのみ接続を許可することが出来る。 |
| |
・社外から接続を許可するPCは、社内でメンテナンスしたPCのみとすれば良い｡ |
| |
|
| 〇 |
ペストとは？(ウィルスはどう違うのか？) |
| |
・ペストは感染するのではなく、インストールされる。ワクチンソフトはウィルス用に作られており、駆除は感染部分のみ。
アンインストールすることはできない。 |
| |
・どんな被害にあったか？
ブラウズ時にポップアップが出てくる｡(統計情報をとるためかもしれないが...)
悪意の無い様に見える閲覧で、Pestに感染してしまった。 |
| |
|
| 〇 |
ワクチン対策の現状 |
| |
・昔のウィルス侵入速度は遅かったが、最近では新種に対する情報のタイムラグが発生している。 |
| |
・システム管理者は気づいているが、ウィルスは毎日のようにやって来ている。 |
| |
・某ワクチンソフトメーカでは：
リサーチセンター
解析センター
に分かれて組織されており、ツールの収集、切り分け調査を自動化している。 |
| |
・感染した献体は、ユーザから持ち込まれたものが多い。 |
| |
・ワクチンソフトは全て海外メーカ。以前は日本からの情報は優先度が低かったが、
最近は高プライオリティで開発現場に届く。 |
| |
|
| 〇 |
Pest対策としてのセキュリティポリシー/教育 |
| |
・ツールを入れても追いかけっこである。操作するコンソールがどんどん
増えて、管理が煩雑になっていく。
セキュリティポリシー決め、最適なツールのみを導入すべき。 |
| |
・pcAnyware等、業務に利用する正式なSpyWare的アプリケーションがあるので
注意すること。 |
| |
・情報セキュリティ/電子メール教育を全社員に教育している。
ユーザがセキュリティに敏感になっており、意識も高い。
教育受講は義務。罰則有り。(メールアドレスの剥奪) |
| |
・教育実施後のフォローが難しい｡ |
| |
・PCを私用で使わないよう誓約書を書かせている。 |
| |
・ウィルス感染で裁判沙汰になった場合、企業のウィルス対策に取り組む姿勢によって
判例が変わってくる。(グレーゾーンが大きいため) |
| |
・ビジネスモデルによって、ポリシーの強度が変わってくる。
セキュリティ使い勝手はトレードオフとなるので、適切なポリシーを設定するよう
吟味が必要。 |
| |
|
| 〇 |
実務担当者はどこまで管理したらよいか？
実務担当者はトラブルが起きれば責められてしまう。
情報管理の範囲は？責任範囲は？ |
| |
・トラブル時の上司への報告は必須。
経営に分からせることをしなければいけない。
現在の環境に対してレポートする義務があるのではないか。 |
| |
・内部監査に加えて外部監査も必要か？ |
| |
・経営者に対する日常的な啓蒙/教育が大切なのではないか。
→経営者がセキュリティ担当の責任者となっている企業もある。
問題が発生すれば、引責辞任、退職金が無い等の厳しい措置も。
→経営会議などでスポット的に報告している｡ |
| |
・あまりがちがちに管理してしまうと、業務が成立しなくなる恐れも。落としどころが見つからない。 |
