JAPAN SYSTEMS Driving for NEXT NEW with Comfort and Convenience

マイナンバーの導入に向けた 公共団体庁内情報システムやネットワークのセキュリティ対策について④

OAMユーザーのアクセス制御

OAM(Operation And Management)アクセスとは、システムやアプリケーションの運用管理に携わるユーザーに対するアクセス制御のことを指す。
OAMユーザーはシステムやアプリケーションの特権ユーザーアカウントを使って作業することが多く、また作業を外部委託する場合も想定されるため、一般の業務ユーザーのアクセス制御よりセキュリティ面での技術的・契約的な検討考慮事項が多い。
OAM作業を外部委託する場合は、OAMアクセスのためのサーバー側とクライアント側の双方のネットワークを分離することでセキュリティを担保するというユースケースも考慮する価値がある。
以下、ネットワーク分離に関する考察をまとめる。

サーバーのデュアルホーム化と運用管理専用LANセグメント

OAMアクセスのためのOAM端末(PC)をサーバーに接続するに際して、そのLANセグメントを専用化することでネットワーク的分離(OAMユーザーと業務ユーザーとの)を実現することが考えられる。その典型例を下図に示す。

column_4_image1.PNG

上図で、Kikan_subnetはサーバーの主セグメントであり、業務ユーザーからのアプリケーションアクセスや、基盤系のトラフィックのすべてがこのセグメントを使って流される。一方、デュアルホーム接続されたOAMS_subnetは従セグメントであり、主セグメントとは異なるIPアドレスが割り振られる。運用管理端末(OAMClient)は従セグメント(同一サブネット)に直接接続されていたり、あるいはルータ越しで別のセグメント(サブネット)に接続されることもある。前者の場合、サーバー上の経路情報に特段の工夫は不要だが、後者の場合、OAMClientサブネットへの経路情報を明示的に定義しておかないといけないという留意点がある。いずれにしても、サーバーのOAMS_subnetはサーバーごとに専用化(別サブネット)することで、サーバーをまたがる通信は禁止される。
この構成では、サーバーごとに異なるアウトソーサーに業務委託してもアウトソーサー同士の通信は遮断できる。しかし、同一サーバーでもOSやハードウェアなどの基盤系運用管理とアプリケーションの保守管理が異なるアウトソーサーである場合はさらなるネットワーク分離が必要になるかもしれない。つまり、関係するアウトソーサーが増えれば増えるほど、上記のネットワーク分離は実装が複雑になりかねない。

運用管理共用LANセグメント化

次に考えられるのは、物理的には共用LANセグメント上で運用管理接続をおこない、論理的な分離を図る方式である。

column_4_image2.PNG

column_4_image3.PNG

column_4_image4.PNG

この論理分割方式ではサーバー/クライアントとも共用LANセグメントに接続されるので、サーバー間、クライアント間の接続を制限する「マイクロセグメンテーション」化が望ましい。また、OAMユーザーのIDによってアクセス可能なサーバーを制限できる「ダイナミックアクセス制御」が望ましいのは言うまでもない。OAMユーザーIDによってダイナミックアクセス制御を行う場合、OAMクライアント端末(PC)を複数のOAMユーザーが共用すシナリオも可能であろう。

column_4_image5.PNG

column_4_image6.PNG

ジャンプホストを介した運用管理アクセス

上記のネットワーク分離とは異なり、アクセス元クライアントとアクセス先サーバーとの間に別のアクセス専用ホスト(ジャンプホストやバスチョンホストともいう)を立てて、これを経由してアクセスする手法も取られることがある。

column_4_image7.PNG

この方式では、ジャンプホストで各種のポリシー制御を実装したり、詳細なアクセスログをとったり、GUI方式の運用管理方式の場合では操作画面のキャプチャを記録するなど、多様なソリューションを実現できる可能性もある。この場合でも、業務サーバー間のトラフィックを制限するマイクロセグメンテーションなども考慮する必要がある。

まとめ

今まではすべての公共団体同士がネットワーク(例:LGWANなど)で密接に相互接続されていたわけではない。各公共団体のセキュリティポリシーやリテラシーなどに応じて、接続形態が恣意的に選択可能であった。しかしマイナンバー制度のシステム化によりネットワークを介して日本全国のあらゆる公共団体同士が接続され、各公共団体が保有する国民の個人情報を(間接的にとはいえ)やり取りすることになる。また、地方公共団体では住民サービスのために独自でインターネット接続点をもっていることもある。
奥の院に収まった基幹系システムにはまさに国民の個人情報が格納されており、それらがネットワークを介した不要・不法アクセスの脅威にさらされることになりかねない。したがって、今まで以上に情報ネットワーク・セキュリティへの包括的な取り組みが必須となるであろう。
ジャパンシステム株式会社ではこれらニーズに応えるべく豊富な経験とソリューションを提供していこうと考えている。

以上で「マイナンバーの導入に向けた 公共団体庁内情報システムやネットワークのセキュリティ対策について」の連載は終了です。

公共向けマイナンバーコラム一覧

Adobe® Reader®

PDFファイルの閲覧には、Adobe® Reader®が必要です。

Adobe® Reader®のダウンロード

お問い合わせ