Viruses, Hackers, and Pirates †
要約 †
検討すべきセキュリティには、次の四種類がある。
- デジタルアイデンティティマネジメント
- ユーザーごとに使える機能に差をつけたり、ユーザーのロールを定めたり、ユーザーのアクションを追跡したり、そのユーザーが本人であるかどうかを検証したりといったこと。
- トランザクションセキュリティ
- システム内のさまざまなパーツ間の通信をセキュアにすること。メッセージの横取りや改ざんを防いだりなど。DoS攻撃による妨害などへの対策も必要。
- ソフトウェアセキュリティ
- ソフトウェアをウィルスやハッカーなどから守ったり、著作権侵害を防いだりすること。著作権侵害に関しては第４章でも扱った。
- 情報セキュリティ
- システムが扱うデータベースへの、無許可なアクセスを防ぐこと。データベースに格納されているトランザクション履歴（クレジットカード番号など）が奪われるとたいへん。
これらのそれぞれについて、ツールやテクニックがある。詳細は後ほど。
中には、複数の分野にまたがるセキュリティを確保できるテクニックもある。暗号化による機密性の確保などだ。
これらそれぞれを、常に等しく扱うわけではない。
PCで使うファミリー向けの家計簿アプリなら、情報セキュリティはそんなに重要な要件にはならないだろうが、大企業の給与システムの場合は最重要課題になる。
単体でプレイするゲームならデジタルアイデンティティ管理は不要だろうが、月額課金のネット対戦型マルチプレイヤーゲームの場合は重要になる。
自分のアプリケーションにとって重要なセキュリティ要素がどれなのかを明確にすることが、winning solutionにつながる。
リスク管理 †
セキュリティのエキスパートが最初に言うことは「セキュアなシステムなんて存在しない」だ。
セキュリティのレベルを高めることはできる。でも、100パーセント安全であらゆる攻撃を防げるシステムなどありえない。
ファイアウォールやIDSがあれば許可のないアクセスからは守れるだろう。でも、注意すべきなのは外部のハッカーだけではない。
社内の人間など、物理的にコンピュータにアクセスできる人が問題を起こすことだってありえる。そんな場合にはファイアウォールは無意味だ。
リスクをなくすことはできないけれど、リスクを管理することはできる。
システムをハックするためのコストがとても高くなるようにしておいて、事実上ハック不可能にするというのはそれほど難しくはない。
著作権侵害について考えてみよう。
ソフトウェアがCD-ROMで配布されるようになったばかりのころは、著作権侵害を気にしなくてもよかった。
CD-ROMはコピーできないし、56kbのモデムで100MBのデータをダウンロードしようとする人もいなかった。
それも今は昔。ソフトウェアをいろんなメディアにコピーしたり高速インターネット回線でダウンロードしたりできるようになって、著作権侵害の問題が大きくなってきた。
セキュリティは、marketectとtarchitectが共同で作業すべきところ。
marketectは先頭に立ってリスクアセスメントを進める必要がある。何かのセキュリティが破られたときに顧客や企業などにどんな害が及ぶのかを調べることになる。
tarchitectはmarketectに、その問題への対処方法を伝える必要がある。また、tarchitectの視点でのリスク評価も伝えなければいけない（トランザクションセキュリティなど、marketectがあまり気にかけないものもある）。
見ざる、言わざる †
セキュリティの問題って、どの程度のものなんだろう？
結局のところ、大企業に関するセキュリティの問題を聞くことはほとんどない。
たぶん、セキュリティに投資するのは賢い選択ではないのだろう。
そんな時間やひまがあるならそれ以外のところを改良したいと、誰もが思うだろう。
FBI/Computer Security Institute (CSI) Computer Crime and Security Surveyによると、
対象企業の75%はlaw enforcement agenciesにセキュリティ問題を報告していない。なぜなら、自社の評判が落ちたり競合他社を有利にさせたりするから。
同じ調査報告にはこんな内容もあった。調査対象の500社のうち40%がDoS攻撃を受けている。20%は機密情報を盗まれている。12%は金融詐欺にあっている。8%は破壊活動の被害を受けている。
実際、セキュリティ問題のせいで年間何億ドルもの損失を出しているということだ。
セキュリティはtarchitectureを設計するときに最初から考えておくべきこと。
セキュリティなんて気にしないという環境で働いているのなら、今こそ声を上げるときだ。
担当者のつぶやき †
みんなの突っ込み †
