初心者のための情報セキュリティ対策講座：2.IT機器の物理・論理構成の把握

2022-02-08

初心者のための情報セキュリティ対策講座

本記事も含め、初心者のための情報セキュリティ対策講座は「中小規模のITユーザー企業（部門）などで、PCが得意と言う理由で情報セキュリティ担当になった方」などの、「情報セキュリティ対策が必要な事は理解できるけど詳しくは知らない」方に向けてセキュリティ対策の概要を掲載しています。

本シリーズの構成

IT機器の物理・論理構成を把握する必要性

情報セキュリティ対策として情報資産の棚卸しの後に取り掛かるのは「IT機器の物理・論理構成の把握」です。

理由は「多くの情報セキュリティインシデントは外部からの脅威」だからです。

企業によってはネットワーク構築を外部のベンダー企業に依頼している場合もありますが、利用しているIT機器のネットワーク構成状況、物理的に接続されている機器を始め論理構成を含めて自社で把握しておくことが非常に重要になります。

もちろん、ネットワークに関する専門的な内容まで把握する必要はありません。重要な点は外部からの脅威に対する対策に必要なネットワーク構成に関する情報を自社内で管理する事です。

特に、情報セキュリティ対策の実施に外部のベンダー企業に依頼する場合は当然ネットワーク構成図が必要になります。ベンダー企業同士の交渉

ネットワーク構成図とは

ネットワーク構成図は、IT機器が物理的・論理的にどのように接続されているかを説明する図になります。

以下は簡単なネットワーク構成図の例ですが、実際に作る際はIPアドレスや機器名称も加えて見やすく作ります。また、外部からの接続を許可している場合は、通信の流れも記入します。（下のネットワーク構成図はLucidchartのテンプレートです）

作成自体には特に決まもありません。統合型のネットワーク管理ソリューションではネットワーク構成図と連動して監視できるものもあるようです。

作成にあたってはプリンター等の周辺機器も接続されている場合は、漏れなく記載する事に注意してください。

ネットワーク構成図作成の外部委託費用

ネットワーク構成図の作成を外部に委託する場合の相場は、一般的なオフィスの1フロア（接続機器25台程度）で\100,000程度です。もちろん規模が大きくなるほど委託費用も大きくなりますし、OAフロアや天井裏など、配線の確認が難しい場合も同様に規模に対する費用は大きくなります。

内部で作ることは可能？

もちろん、ネットワークの知識を持つスタッフがいる場合などは自分達で作成する事もできます。部署単位でネットワークが分かれているなど規模が小さくシンプルなネットワーク構成の場合は、内製する方が費用もかからず、スタッフ自身が実際のネットワークを確認できるためメリットが大きいです。

その場合、可能であればネットワーク関連の資格保有者に監修してもらうと外部のベンダー企業からも内製したネットワーク構成図を信用してもらいやすくなります。

外部のベンダー企業に頼りきりで困った事例

実際に職場で起きた事例です。

前提条件

  1. 外部企業にネットワーク構築を委託するがネットワーク構成図は未作成（端末200台・建物3棟）
  2. 配線・スイッチは天井裏に配置（スイッチの設置場所は把握）
  3. VLANはインターネット接続の有無で2系統に分割（MACアドレスベースのダイナミックVLAN）
  4. スイッチのポートセキュリティはスタティックMACアドレス登録（違反時はshutdown）
  5. IPアドレスは全ての端末で手動設定（IPアドレスの一覧は所有）

この状態で基本的な管理・運用ユーザーが実施、トラブル時ベンダー企業が対応で特に大きな問題は起きていませんでした。

ですが委託していたベンダー企業が廃業になり、その後を引き継いだ企業もネットワーク構成が全然わからないと言うことになりました。業務で使用しているため中断する事もできず、建物3棟分のスイッチと接続されている端末を1から手で確認する羽目になっため、ネットワーク構成図の作成だけでかなりの費用になりました。

この記事のまとめ

1.情報資産の棚卸しで作成した情報資産台帳に加えてネットワーク構成図（IT機器の物理・論理構成）を把握できて初めて、具体的な情報セキュリティ対策に取り組む用意ができた段階になります。

また、ここまでの準備がきっちりできれば、この後の情報セキュリティ対策の立案・実施もスムーズに行えます。

情報を効果的に利用するための機器・ネットワーク構成の把握は、企業活動に言い換えると資金の流れを把握する事と同様です。受け身の情報セキュリティ対策だけでなく、情報セキュリティ対策を行いながら効果的に情報を活用するためにもIT機器の物理・論理構成図は無くてはならない重要な基本資料と考えてもらえれば、と思います。

資格試験ネットワーク,情報セキュリティ

Posted by ううら