IR業務のテレワークにおけるセキュリティ
カテゴリ：
hr.icon
COVID-19の蔓延に伴い大学関係のみならずあらゆる業界でテレワークが余儀無くされています。IRの業務は大学の機密なデータを扱うことも多く、それらのデータの中には大学でなければ扱うことができないデータもあるかと思われます。この記事ではそのようなデータをリモートで扱う際にSSHを使用したセキュリティの観点から説明します。 例えば個人を特定できる情報（学籍番号、氏名等）をマスクしてから持ち出すという方法があります。これである程度のことが解決するようにも思いますが、マスクしているとは言え持ち出すという行為自体に問題があるようにも思います。また持ち出しがOKだったとしても全てのデータを持ち出せるわけではないので、他のデータと紐付けして分析したい場合などにマスクしてあることで紐付けができない等の不都合が生じます。
そこでリモートアクセスしてデータを操作するという方法がありますが、その中でもSSHを例に挙げて説明します。SSHは Secure Shell の略でネットワークを経由してサーバ等の操作ができる仕組みです。コマンドプロンプトから「ssh ユーザ名@サーバ名（IPアドレス）」の形式でコマンドを実行し、その後にパスワードを入力することでサーバ等にアクセスすることができます。サーバ等にアクセスすることができればそのサーバ等に接続するネットワークに存在する機器に対して操作が可能になります。 ＜ユーザ名、サーバ名、パスワードさえわかってしまえばサーバにアクセスできます。それらが漏れてしまったら・・・＞
と、なってもある程度防御できるようにIPアドレスによるアクセス制限をかけることがあります。アクセス制限をかけられるとSSHの場合はサーバ側からアクセスをリセットされます。身近なもので言うと、あるホームページを見ようと思ったら「403 forbidden」と表示される場合はIPアドレスによる制限がかかっていることが多いです。IPアドレスはネットワーク機器の住所のようなものです。よくある設定は「学内限定」という形で学内ネットワークにいればアクセスできるという設定がされることがあります。 ＜ユーザ名、サーバ名、パスワードが漏れて、かつその情報を知っている人がIPアドレスによるアクセス制限に引っかからない場所からアクセスできたら・・・＞
このような状況でも公開鍵暗号方式という方法があります。ユーザが公開鍵（南京錠をイメージ）と秘密鍵（南京錠を開けるための鍵をイメージ）のペアを作成します。この公開鍵をサーバ上に設置して秘密鍵を利用してSSHアクセスする方法があります。一般的には「ssh -i 秘密鍵 ユーザ名@サーバ名（IPアドレス）」でサーバ等にアクセスすることができます。この方法は秘密鍵を持っているユーザがペアになる公開鍵を設定しているサーバにアクセスすることを可能にするので、ある程度個人を特定できます。また、公開鍵と秘密鍵は簡単に推測ができないような文字列で生成されますので、ユーザ名、サーバ名、パスワードと比較しても安全であると思われます。 ＜秘密鍵を設定しているPC等を盗まれて学内からアクセスされたら・・・＞
PCの管理まで言い出すと強盗とか泥棒に持って行かれたような物理的なセキュリティの話にまで発展しますので、せめて生体認証かリモートからアクセス不能にできる仕組みを入れる等の対処はした方が良いと思います。 https://gyazo.com/7cb7288cd0e9e2867a6a80b7d8aecb9c
※当コラムの文責及び著作権は、すべて投稿者に帰属します。