マイナンバー対策はHPE ProLiant サーバー Gen9 で万全!

日本ヒューレット・パッカード株式会社HPサーバー製品統括本部前田 裕貴氏日本ヒューレット・パッカード株式会社ITアシュアランス&セキュリティジャパンカントリーリード兼セキュリティエバンジェリスト増田 博史氏

リスクを高める“ブラックマーケット”の台頭。

増田:サーバーにおけるマイナンバー対策はどうあるべきか、最初にゴールを描いてみたいと思います。「罰則が厳しくなったのでガイドラインをしっかり守りましょう」というメッセージをよく目にしますが、ガイドラインさえ守っていれば安全が保証されるのか、というと決してそんなことはありません。マイナンバーのガイドラインを正しく理解したうえで、どのように強固なセキュリティを実装するかということが重要です。マイナンバー漏洩事故を起こしてしまった際に、罰則・罰金よりも「信用、企業価値、ブランドを含めたビジネス上の損失の方がはるかに大きい」ことにも留意すべきでしょう。

しかし、マイナンバー対策に湯水のようにコストをかけることは現実的ではありません。事業規模、自社で管理するマイナンバーの数、情報システムの運用体制などにより、要件が大きく変わることもご理解いただければと思います。ここでは「サーバー環境のマイナンバー対策」を考えていきたいと思います。

さて、日本の公的機関がサイバー攻撃を受けて情報漏えい事故を起こしたことは記憶に新しいと思います。この事例では、100以上の非公開のメールアドレスに4段階に分けて添付ファイルが送付されました。手探りではなく、特定されたメールアドレスに送付されたという事実に注目いただきたいと思います。メールアドレスが流出していたことが想定されます。米ヒューレット・パッカード エンタープライズ(HPE)のセキュリティリサーチによれば、全世界の攻撃者達が形成するブラックマーケットが増長しており、こういった非公開の情報が売買されているという見解を示しています。

マイナンバーを持つ、企業が管理するということは、「サイバー攻撃を受ける理由を持ってしまう」ことも意味するのです。ある調査によれば、アメリカでは、ハッキングによる漏洩が増えており、2014年に漏洩したデータのうちの約40%がソーシャルセキュリティナンバーという結果が出ています。この事実から、「数年前とはセキュリティ事情が明らかに変わった」と、まずは認識して、意識を変えてほしいと思います。

国内公的機関の情報漏えい事故

出典: 警視庁「平成27年上半期のサイバー空間をめぐる脅威の情勢について」

持ち運びのできない専用サーバーを、物理的に隔離して管理。

増田:ガイドラインでは、組織、人、物理、技術の4つの視点から安全管理措置を定めています。マイナンバーを管理するサーバーのセキュリティという観点では、「物理的安全管理措置」と「技術的安全管理措置」をしっかり行うことが重要です。私たちは、まず「マイナンバーを管理する専用サーバーを準備し、物理的に分ける」ことを推奨しています。

マイナンバーの使用は、社会保障、税、災害対策の分野に限定されます。会社内でマイナンバーを参照する人は限られますので、マイナンバー管理サーバーを他のサーバーと分けることは企業によっては難しくないはずです。実際に、金融機関をはじめ先進的な取り組みを行っている企業では、既存データベースに論理的なアクセス制御だけで対応することを避けて、専用サーバーを用意し、決められた場所に設置し、ネットワークを区分し、運用も個別に行う方法を採用し始めています。

前田:USBメモリや一般的なパソコンを、マイナンバー管理専用に利用できないかと考えている企業の方もいらっしゃいますが、持ち運びのできるメディアや装置は紛失や盗難のリスクが高いためお勧めできません。「容易に持ち運びできないサーバーを、物理的に隔離できる場所で管理する」ことをまずは検討すべきです。

サーバーとパソコンでは、基本的に備えているセキュリティ機能が違います。サーバーの前面には扉(ベゼル)があり施錠することができますので、CD-ROMやDVDを容易に操作できません。もちろんUSBメモリの使用を禁止する設定も可能です。複数人が利用することを前提にしているサーバーは、データを安全に管理するという点でも優れているのです。

増田:物理的なセキュリティの次に考慮しなければならないのは「運用段階でのセキュリティ」です。外部からの不正アクセスを防御し、アクセス権限のあるユーザーを正しく認証し、アクセスできる範囲を制御する、そして誰がどこへアクセスして何を参照したかログを管理することが含まれます。不必要なUSBメモリのコピーを禁止することや、ネットワーク経由で不正にデータを持ち出せないような出口対策を講じることも考慮すべきでしょう。

最新サーバーの導入で、ここまで安全対策ができる。

増田:最新サーバー導入の「メリット」と「可能になること」をご紹介しましょう。物理的に隔離されたマイナンバー管理環境を構築することをご紹介しましたが、「マイナンバー管理を一箇所に集約できるメリット」にもご注目いただきたいと思います。最新データの所在が明らかになるとともに、暗号化や施錠などの対策を行う範囲の特定も容易で、マイナンバーの運用が煩雑になることもありません。また、実務に携わるITに詳しくない人事や総務の方や、経営者にも理解しやすく、IT部門から説明もしやすいと思います。

前田:最新サーバーで「可能になること」の重要事項のひとつに、最新のサーバーOSを使い、常に最新のセキュリティパッチを適用できることがあります。Windows Server 2003のようにサポートが終了したOSは、サイバー攻撃の格好の標的になります。古いOSを使い続けるリスクは非常に高まっていると言えます。マイナンバー管理に最新OSを備えたサーバーを使用することは、安全・安心を確保するためのベースラインなのです。

最もスタンダードなWindows Server 2012 R2は、基本的なセキュリティ機能が充実しており、認証、ID管理、権限付与、隔離、データ保護機能も強力です。情報へアクセスするための権限レベルをきめ細かく設定でき、どのパソコンからのアクセスを許すかも決められます。システムの起動プロセスを悪意あるソフトから守る機能や、暗号化機能もより使いやすく進化しています。

より安心・安全なセキュリティを、お客様ごとに作りこむ。

増田:最新OSを搭載した専用サーバーという「器」を正しく用意すること、お客様の要件に応じて「運用」を考慮した対策を施すこと、この2つの視点が重要です。マイナンバー管理サーバーを物理的に隔離できる環境に構築できれば、組織、人、物理、技術的な総合的な観点で、より効果的にお客様ごと固有の要件に応える提案が可能になります。

前田:日本ヒューレット・パッカードでは、マイナンバー対応サーバー導入と運用といった、ハードウェアを含めたトータルソリューションをお客様へ提供するために「EcoSystem」という体制を整えています。マイナンバー対応に必要なセキュリティソリューションであれば、お客様に直接サービスをご提供するインテグレーション/サービス事業者と、セキュリティソフトウェア企業、そして日本ヒューレット・パッカードの3者が緊密に連携し、お客様の課題解決をトータルにご支援するものです。

マイナンバー対策にはたった一つの正解はありません。日本全国のEcoSystem賛同企業が、お客様要件のヒアリングから、最適なセキュリティソフトウェアの提案、マイナンバー管理環境の設計と構築、運用と継続的な改善まで、お客様ごとの安心・安全な環境をご提供します。ぜひお声掛けいただければと思います。

マイナンバー対策に最適な、サーバー製品をご紹介します。

前田:日本ヒューレット・パッカードでは、業界トップクラスの幅広いサーバー製品のラインアップをご用意しています。中小規模のお客様からエンタープライズのお客様まで、最適なモデルをお選びいただけます。総務・経理部門内で「持ち運びのできない専用サーバーを物理的に隔離して管理」するには、コンパクトで手軽なタワー型サーバーがお勧めです。ぜひ、日本全国のEcoSystem賛同企業へご相談ください。

※出典: ミック経済研究所「情報セキュリティソリューション市場の現状と将来展望2015」

※1 最小構成時のアイドル状態 ※2 HPE Directplus「オプ得」適用時