トヨタコネクティッドやJTBの情報漏洩からもわかる「構成管理」の重要性　セキュアなシステム運用の初歩

システム運用を左右する「情報セキュリティ」

　システムに障害が発生すると、そのシステムを介して提供されているサービスは停止に追い込まれてしまいます。そうなれば業務が止まってしまったり、復旧のための工数を要したり、復旧に時間を要したりした場合はSLA違反につながる事態も想定されます。システム障害は事業継続に直結するリスクといえるでしょう。

　システム運用では、障害の発生によりシステムが停止することがないように、しっかりとシステムを管理することが求められます。これは情報セキュリティの3要素における「機密性」「完全性」「可用性」のうち可用性を維持することでもあり、情報セキュリティの維持こそが堅牢なシステム運用を可能にすると考えることもできるでしょう。

　システム運用において情報セキュリティを維持するための方法は様々ですが、サービスマネジメントにおける「構成管理」「変更管理」「リリース管理」は、セキュリティを維持するうえで大切な3要素となります。

　変更管理は、システムの変更が及ぼす影響を評価・承認するためのプロセス、リリース管理は、変更管理にて承認された変更を“利用可能な状態”にするプロセスです。これらのプロセスでは変更やリリースがシステムのどこにどのように影響するのか、正しく認識しておくことが大切です。

　当たり前だと思われるかもしれませんが、正しく認識しているつもりが実態と異なっていたり、管理している構成情報や認識に抜け漏れがあったりしたことでシステム障害につながった事例もあります。これは、影響を把握するために必要となるシステムの構成情報を正しく管理できていないことが原因で起こり得るものです。身近な事例として、「インターネットで非公開にしておくべき情報を誤って公開設定にしてしまい情報が漏えいした」というインシデントを一度は聞かれたことがあるのではないでしょうか。クラウドサービスのセキュリティインシデントの95％は設定ミスによるものだという調査結果もあり、正しく設定されているかを管理することは、情報セキュリティの観点で重要なポイントです。