参加者は圧倒的に企業関係者が多かった. それを意識してか企業内ネットワー ク管理部門の責任者, 現場作業者向けの講演内容であった. しかしそれが大学 には当てはまらないというわけではなかった. ただしどちらかというと概念的 な内容であったため, それを実際の現場へ応用するためにはもう一段工夫が必 要である. とある企業, 組織の具体例を紹介してもらえると有難いな, という のが感想であった.
昨年の JPCERT セミナーと比較すると, セキュリティ対策というものがだいぶ 市民権を得てきたように思われる. 昨年は「こんな危ないことが簡単にできちゃ います. だから対策とってね」という啓発的なセミナーだったが, 今年はセキュ リティ対策を効果的に行なう場合どうすればよいか, 費用対効果は, という話 題が中心であった.
これは今年 2 回の大規模なポートスキャンアタックが起こったことと関係が あると考えられる. 外部からの攻撃は無差別かつ機械的に行なわれる傾向にあ ると冒頭講演で報告されていた. 最低限の対策は必須, 継続的に行なうことが 重要とのことである.
もっともネットワークセキュリテイ対策に周囲(とくに上司)の理解を得ること が難しいのは, どこでも同じ症状のようである. 講演終了後には「セキュリテ イ対策を行なっていることの効果を分かりやすく上司にレポートしたいが, ど のようなデータを報告することが効果的か」という質問があり, 講演者を返答 に困らせていた. 現場の苦労が忍ばれる.
「不正アクセス」という用語に関する話題があった. これまでシステムへの外 部/内部からの(悪意をもった)侵入・破壊行為を総称し「不正アクセス」とい う言葉を用いていた. 一方, 先日の国会で「不正アクセス防止法案」が成立し たが, この法案における「不正アクセス」の対象行為範囲は, ネットワーク管 理に携わる人が想定する「不正アクセス」よりも狭い. そこで JPCERT はこれ までの「不正アクセス」に代わる用語として「(コンピューター)セキュリティ インシデント」という言葉を用い, 同時に使用を推奨しているとのことである.
この講演に基づき地球惑星専攻サーバのセキュリティ対策の現状を考えると, 個々のプログラムのセキュリティホールへの対応, セキュリティ関連情報の入 手先の確認はなされているが, 「ネットワーク管理運用, セキュリティ〜マネ ジメント編」で触れられているようなセキュリティ対策の組織的運用体制はま だ確立していない. 現場担当者個人の能力に大きく依存している. 内部のユー ザーに対するセキュリティ意識の啓蒙も十分とはいえない. 今後の課題である.
インターネット(?)の普及により, ネットワーク利用者は増加している. よい 意味でもわるい意味でも気軽にネットワークが利用されるようになってきてい る. そのためセキュリティイインシデントを含めたネットワークトラブルも増 加している.
このような現状にあってネットワーク管理者にはますます負荷がかかってきて いる. 典型的なパターンとして次のような事例(?)が挙げられた.
とくに注意を引いたのは, 海外では大学でも CERT を持っているところがある, ということである. 例として OxCERT(オックスフォード), GTCERT(ジョージア カルテク)が挙げられていた. それぞれ人口は 7, 8 万, 計算機は 10 万を越 える規模を持ち, それぞれの計算機環境を自分で守る/管理している.
日本の教育界では教育ドメインが立ち上がるのにそのような組織がないのは問 題である, と指摘していた.