1
Download 技術発展の潮流予測について - 内閣官房情報セキュリティセンター
Transcript
技術発展の潮流予測について Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 参考資料１ 2009年1月26日 内閣官房情報セキュリティセンター（NISC） http://www.nisc.go.jp/ ～3年 ～5年 ～10年 ・余剰リソースを活用した仮想化 ITの利用拡大 9P2P・クラウドコンピューティングの高度化、セキュリティ技術 セキュアな仮想環境の開発技術 ネットワークの監視・制御技術 ・個人端末の社会サービスへの利用 9個人端末のもつ情報の安全な管理 •端末利用者の拡大 9高齢者・初心者・社会的弱者に配慮した 端末、セキュリティ技術 個人情報の管理運用手法 ヒューマンインタフェイス技術 ・情報機器の多様化と情報流通の進展 9情報の適切な管理・流通 セキュリティ対策の自動更新 個人・ 利用者 相互接続技術 生体認証技術の向上 情報の標準化、同定技術 デバイス・センサー技術の向上 権利に基づく情報流通管理技術 ・家電機器のIT化・ネット化進展 9ネット接続された家電製品の安全性確保 セキュアな組み込みソフトの開発 相互接続の標準化 ・個人情報を利用するサービスの拡大 9個人情報の安全な流通 個人情報の安全な部分開示・管理技術 9個人情報の信頼性確保 セキュアホームサーバ 個人情報の確かさを証明・検証する技術 端末のセキュア化 ・端末の安全性向上 ・不正プログラムに強い計算機環境 9認証技術、端末セキュリティの向上 9計算機環境の信頼性を担保する技術 認証技術の高度化（携帯SIMなど） 信頼性を担保するHW/OS/SW技術 端末の持つ情報の安全な管理 ソフトウェアの正当性保証 製品組込み型セキュリティ対策 セキュリティ対策の運用管理 ・不正操作を予防する計算機環境 9不正操作の検知 操作の意図を推測する技術 端末利用制限技術の向上 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 1 「個人・利用者」に係る潮流予測の例 安心・安全な利用者環境（PC端末）の実現 ITの利用拡大に対応するための技術と端末の安全性を向上させる技術の進展によ り、一般の利用者が適切な安心感をもって利用できる計算機環境を実現する。 （個人情報を無頓着に提供したり、逆に注意を払いすぎるあまり必要以上に不便な使 い方をする、といったことのない状態） 個人情報などの重要度の高い情報を他者に提供するような操作や、マルウェアの起 動につながるような操作など、セキュリティ上の危険を伴う操作は、利用者に対し、操 作の危険度が明示される等の適切な警告表示や、必要に応じて操作のブロック等が 行われる。 利用者も、自身が利用している機器の安全性に対して過度の信頼を置くことなく、状 況によりセキュリティ侵害が発生する可能性があることを理解し、上記の警告表示な どに対して適切な判断と対応をとれるようになっている。 また、新たな脆弱性や攻撃手法の発生によりセキュリティ侵害が発生する可能性は ゼロではないが、利用者に大きな手間をかけたり利便性を大きく低下させることなく、 迅速に回復するしくみが確立している。利用者も、セキュリティ侵害が発生した場合で も過度に反応することなく、冷静な対処がとれるようになっている。 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 2 『安心・安全な利用者環境（PC端末）の実現』のための要素マップ案 （想定要素） 利用者の啓発 （想定要件） ・情報リテラシーの普及 ・リスク教育 （必要と思われる技術・対策） 誤操作・不正操作の防止 攻撃情報・脆弱性情報の周知 リスクの整理・抽出技術 信頼性を担保する HW/OS/SW技術 ・セキュリティを作り込むための開発手法 ・新しいリスク対抗するために進化するソフトウェア ・ウイルスなどを自動的に隔離・排除するソフトウェア 自動復旧技術 セキュリティ対策の定量評価 形式手法による開発 仮想環境のセキュリティ確保 ベンダ側の サポート体制強化 ・24時間体制の相談窓口 ・リスクコミュニケーション体制 ・統一的な用語による表示、説明、取扱説明書 攻撃情報・脆弱性情報の周知 リスクコミュニケーション用 エージェントソフトウェア Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 3 ～5年 ～3年 ～10年 ・パッチ適用の一般化 開発手法 9パッチ開発・適用の信頼性向上とコスト削減 パッチの自動作成 •システム開発のセキュア化 高信頼・低コストな更新手法 9セキュリティを担保する製品開発 セキュアな開発手法 開発実績の蓄積 •製品開発の自動化 9セキュア・低コストな自動開発 製品のライフサイクル管理 形式手法による開発技術 サービス・ ベンダ セキュリティの自動検証技術 運用手法 •セキュリティ対策の体系的な運用 ・情報の安全な集中管理 9サーバに保存された情報の 安全な管理と利用 9セキュリティ対策の体系化と運用体制構築 セキュリティ対策の体系化・標準化 •ITシステムの運用自動化 9システムの安全な自動制御 システムの部品化・標準化 障害自動復旧技術 サーバ・クライアント協調 ライフサイクル設計技術 分析・解析手法 •システムの総合的な安全性評価 9複雑なシステムの分析、社会への影響評価 •リスクや対策の体系的な評価 9リスク・対策の評価手法の体系化 システムの相互影響評価 リスクの整理・抽出技術 システムのリスク分析技術 可視化技術 社会への影響の分析評価 セキュリティ対策の定量評価 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 4 「サービス・ベンダ」に係る潮流予測の例 ・自律的にセキュリティを維持するITサービス提供手法の確立 運用中に生じたシステム構成の変更や、システムの内部状態、外部環境の変動に 応じてシステムの設定や構成などを変更し、適切なセキュリティを自律的に維持できる ようなサービス提供の手法を確立する。 負荷の変動や環境変化に対応して、システム自体が動的かつ自律的に構成を変更 しつつサービス提供を行うことが一般的となる。これに伴い、システムは構成変更に よって適切なセキュリティが維持できるかどうか自分で判定し、適切なセキュリティを維 持するために必要であれば、コンポーネントの設定変更やアップデート、コンポーネン トの追加・削除を自律的に実行することができるようになっている。 また、動的にシステム構成が変化するサービスについて、適切なセキュリティが維持 されているかどうか、システムの外部から継続的に監視して確認することができるよう になっており、システムの自律的な対応だけではセキュリティを維持できない場合には、 サービスへの影響を抑えつつ、システムを（外部から）更新することもできるようになっ ている。 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 5 ～3年 ITインフラの高度化 ・ネットワーク・サービスの普及 9広範な領域でのセキュリティ対策 ・電子決済の民間連携・官民連携 9安全な決済情報流通 ～10年 ～5年 ・従来システムの高度情報化 9システムへの社会的信頼感の確保 人材育成 脅威分析・検出 社会的な合意形成 複数ポリシーの連携技術 証跡への対応 プライバシー保護技術 システムの安全性・信頼性向上 社会基盤・ 制度 ・クラウド／グリッド環境の仮想化 •個人情報の拡散 9分散情報におけるプライバシー保護 9仮想環境上での安全なサービス提供 仮想環境のセキュリティ確保 データマイニング技術 ユーザによる個人情報の制御 分散環境でのプライバシー保護技術 ・情報収集機器の普及と利用拡大 9情報利用拡大とプライバシーの両立 センシング情報の利活用技術 プライバシー保護技術 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 6 「社会基盤・制度」に係る潮流予測の例 ・高い信頼性・可用性とともに適切な安全性を提供可能な仮想サーバの実現 ネットワーク接続された多種多様な計算機の上に、高い信頼性・可用性をもつだけで なく、サービスに応じた適切な安全性が確保できるようなサーバ環境の構築を実現す る。 従来、高い信頼性・可用性・安全性が必要なサービスの提供には専用線や専用 ハードウェアを用いてシステム構築が行われてきたが、ITインフラの高度化により、汎 用的な計算機・ネットワーク上に構築された仮想サーバを利用しても十分な信頼性・可 用性・安全性を得られるようになる。 仮想サーバ構築の際には、サーバの構成要素となる資源（計算機・NW等）の安全 性を適切に判定し、サービスに必要な安全性に応じた資源の選択が行われる。また、 サービス提供において利用者などから取得した情報も、情報の性質によって要求され る安全性に応じ、仮想サーバ内で適切な管理が行われる（個人情報を直接扱う処理 には高い安全性を持つ特定の計算機だけを利用し、それ以外の処理にはもっと緩い 管理がされている多数の計算機を使う、など）。 Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved. 7
