 |
既存の Windows 投資をそのまま活かして
新たなコストをかけずに高度なセキュリティ強化と一元管理を実現
|
2004 年、札幌市は、情報資産の取り扱いに関する組織としての統一された認識と基準を定めるセキュリティポリシーを制定しました。部署数約 870、イントラネットに接続しているクライアント端末が約 12000 。この大組織の IT インフラを支える情報化推進部にとって、セキュリティポリシーの達成にあたっては、コスト面、運用面で越えるべき多くのハードルがありました。
マイクロソフトが札幌市に提案した IPsec を使った「サーバ及びドメインの分離」は、既存の Windows のインフラ資産を最大限に活用することにより、追加コストをかけずに高度なセキュリティ対策を実現します。
＜導入の背景と課題＞
セキュリティの統一管理の構築が急務
札幌市は、2004 年 6 月 30 日、市民の個人情報など機密情報の外部漏えいや改ざんを防ぎ、札幌市職員が市民の情報を適切・安全に取り扱うための情報セキュリティポリシーを制定しました。これに対応して、札幌市のイントラネットを管理している「市民まちづくり局情報化推進部」では、イントラネットでの情報通信に対して、以下のセキュリティ対策を実施する必要が出てきました。
- 情報資産の中で、個人情報などを含む重要性の高い情報を取り扱う情報システムには暗号化を適応。
- その他の情報システムに対しては、改ざん防止、並びに管理されていないシステムからのネットワーク接続を拒否。
- アクセスが許可されたコンピュータのみ、接続を許可。
現在、札幌市には小学校や幼稚園も含めて約 870 課、合計約 12000 人の職員が端末を使って、市のイントラネットで通信しています。ネットワーク上にある多数のサーバで、重要性の高い情報が取り扱われています。OS 環境としては、サーバは主に Windows 2000 Server 及び Windows Server 2003 です。またクライアント端末も、Windows 2000 Professional SP4 と Windows XP Professional SP2 が中心とはいえ、それぞれの環境は統一されていない状況です。
これまでも、情報化推進部では、セキュリティ対策を各部に指導してきました。しかし、わずか 59 名で構成された情報化推進部が、この膨大な数の端末を運用・管理することは容易なことではありません。情報資産の取り扱い方には、統一性がなく、また情報の安全性に対する個々の認識にもばらつきが見られることに、情報化推進部としては大きな危機感を感じていました。
「個人ベースの判断に頼らず、組織として統一された安全基準に則ったセキュリティソリューションの導入が、急務だと感じていました」と、情報化推進部IT推進課、河谷 和也氏は話します。
＜導入の経過とソリューション＞
グループ外のネットワークと
ドメイングループを論理的に分離して実現する
セキュリティソリューション
札幌市では、情報セキュリティポリシーの制定に先駆けて、アクティブディレクトリ (AD) によって、ドメインのユーザとグループを管理し、コンピュータの使用にあたってはユーザ認証を行うシステムを導入していました。この AD は、Windows 2000 Server 以降のプラットフォームに標準搭載されているディレクトリシステムサービスです。ネットワーク上に存在するサーバ、クライアント、プリンタなどのハードウェア資源や、それらを使用するユーザの属性などの情報の一元管理を行います。
そこで、マイクロソフトでは、この AD に設定するグループポリシーと、IPsec (暗号技術を用いて IP パケット単位でデータの改ざん防止や秘匿機能を提供するプロトコル) を使ったソリューションを提案しました。これは、サーバ及びドメインを他から論理的に分離し、データや通信を保護する方法です。
設計概要
設計の概要として、まず、ドメインを以下の4つのグループに分けます。
1) IPsec 必須グループ (IPsec 認証を行う)
2) IPsec 暗号グループ (IPsec 暗号化を行う)
3) 境界グループ (IPsec 適用外の端末との通信も行う)
4) 例外グループ (IPsec 適用除外)
そして、AD の IPsec ポリシー及びグループポリシーを作成し分離ドメイン (AD に参加している全てのドメイン) を構築し、ネットワークから論理的に分離します。
各ドメイン内での通信は、グループポリシーで条件付けられている IPsec ポリシーを適用することで、コンピュータの認証、改ざん防止、暗号化を可能にします。また、AD のドメインに参加している全てのコンピュータを「信頼されたコンピュータ」として分離し (分離ドメイン) 、この信頼されたコンピュータ以外のアクセスを制限します。
「2006 年 3 月にマイクロソフトからこのソリューションを提案された段階で、技術面、運用面、コスト面、すべての側面から見て、これしかないと思いました」と河谷氏は当時を振り返ります。
ソリューション設計は、情報化推進部との綿密な打ち合わせのもと進められました。また設計の最終段階では、イントラネットの保守業務を担当している札幌総合情報センター (SNET) も交えて、実際の展開に向けて細かい意見交換も行われました。
段階的導入のアプローチ
展開にあたっては、問題点を早期に解決できるように、以下のアプローチを採用しました。
- 境界グループでの展開
ネットワークに支障のないかたちで IPsec ポリシーをテストするために、まず非 IPsec ホストとも通信を行う必要のある端末で境界グループを形成。分離ドメイン内の端末間では IPsec で通信し、ドメイン外の IPsec ポリシーを持たないホストとは非 IPsec 通信で通信させます。万が一 IPsec ポリシーが間違っていたとしても、通信が可能なため日常の業務には支障が出ません。
- パイロットセグメントの中で IPsec 必須グループを展開
サーバ及びドメイン分離システムを実際に実施。IPsec 必須グループの端末とは、IPsec 認証で通信を許可し、IPsec ポリシーを持たない端末からの通信はブロックします。
- パイロットセグメントの中で IPsec 暗号化グループを展開
重要性の高い情報を取り扱うサーバへの接続に対しては、IPsec 認証及び暗号化を実施します。
- 上記の 2 、3 を繰り返し、実質的な問題点を洗い出したあとに、すべてのセグメントで、IPsec 必須グループ、または暗号化グループの展開を目指します。
マイクロソフトのコンサルタントとプレミアサポートで、問題も早期解決
このように段階的アプローチを採用することにより、実際に運用するうえでの問題点も早期段階でピックアップされ、解決方法も検討されました。情報化推進部情報システム課、及川 治雄氏は、「初期には設定ミスのような問題もありましたが、基本的にはスムーズに進みました。また、ファックスやスキャナなどの非 IPsec ホストとのコネクションにやや問題が出ましたが、これも SNET やマイクロソフトと相談しながら解決できると理解しています」と話します。
＜導入の効果＞
スムーズな移行で使い勝手も従来のまま
札幌市ではすでに、情報化推進部でのパイロットテストを無事に終了しました。IPsec を利用してサーバ及びドメインを保護するメリットの中でも、以下のポイントの実現を確信しています。
■セキュリティの向上
ドメイン内のクライアント端末かどうかを自動的に認証することにより、信頼できない端末からのアクセスをブロック。ウィルス伝播、不正アクセス、情報漏えい、改ざんなどを防ぎます。
■センシティブな情報や知的財産の保護
ケルベロス認証を使った認証システムを採用。また、AD により鍵管理の簡素化も実現。
■追加コスト無しで、既存のインフラ資産の価値を拡大
既存の Windows の機能を利用したソリューションなので、物理的なネットワーク機器の変更や運用コストの増加を避けることができました。
■実際のオペレーションには変化無し
コンピュータの使い勝手は以前とまったく同じなので、新たなスタッフトレーニングの必要はありません。
「テストの初期段階では、IPsec ポリシーをまだ持っていない端末とは、非 IPsec で通信させるつもりだったのですが、設定のミスで他の部局から『アクセスできない』という苦情がきました。ミスとはいえ、IPsec の保護の固さを実感しましたね」 (及川氏)
また、使い勝手の点からも、「このソリューションでは、クライアント端末にはなんの変化も見られないので、職員たちも今までと同じように、変化を意識することなく端末を使っています」 (河谷氏)
＜今後の展開と展望＞
各部署の環境を掌握し年度末までに全体に IPsec を展開
現在、情報化推進部では、2007 年末の導入完了をめどに、準備を進めています。全体で約 870 課という大きな組織であるため、各部署の実情にあわせた段階的アプローチを採用して、スムーズな展開を図る予定です。
現在の大きな課題の一つは、今まで個々の方法でセキュリティ対策を行っていた各部署の環境をひとつひとつ把握していくことかもしれません。「実際のところ、現状把握を行うのに一番時間がかかっています」と及川氏も話します。しかし、これが完了すれば、ドメインレベルでの通信保護対策ができます。
また、VPN ルーターを使った物理的なソリューションに行き詰まりを感じていたところに、このサーバ及びドメイン分離ソリューションを提案したマイクロソフトのコンサルタントを、河谷氏は高く評価しています。
「大規模の組織にとって、セキュリティ対策を実施するための大きなハードルは、コストです。Windows 環境と AD があれば、追加コストなしで非常に効果的なセキュリティ対策を実現できるソリューションは、朗報です」と語っています。
既に欧米でも大学や自治体などの大規模組織が注目しているこのソリューションが、今後、情報資産を取り扱うネットワークに採用されていくであろうことは、間違いないでしょう。
|
| |
本ケーススタディに記載された情報は初掲載時のものであり、閲覧される時点では変更されている可能性があることをご了承ください。
本ケーススタディは情報提供のみを目的としています。Microsoftは、明示的または暗示的を問わず、本書にいかなる保証も与えるものではありません。
|
|
 |
|
|
|
からできます。