トヨタコネクティッドやJTBの情報漏洩からもわかる「構成管理」の重要性 セキュアなシステム運用の初歩
【第2回】セキュリティ構成も含めた「構成管理」がセキュアなシステム運用の第一歩

IT部門における永遠の課題とも言える「システム運用」、その重要性を認識している担当者は多い一方、“適切に”実施できている企業は決して多くないでしょう。本連載「ITILをヒントに『システム運用』を捉えなおす」では、システムが複雑化する今こそ再考すべきポイントを解説していきます。第2回となる本稿は、皆さまにとって耳馴染みのある「構成管理」をテーマにセキュアなシステム運用の在り方を考えます。
システム運用を左右する「情報セキュリティ」
システムに障害が発生すると、そのシステムを介して提供されているサービスは停止に追い込まれてしまいます。そうなれば業務が止まってしまったり、復旧のための工数を要したり、復旧に時間を要したりした場合はSLA違反につながる事態も想定されます。システム障害は事業継続に直結するリスクといえるでしょう。
システム運用では、障害の発生によりシステムが停止することがないように、しっかりとシステムを管理することが求められます。これは情報セキュリティの3要素における「機密性」「完全性」「可用性」のうち可用性を維持することでもあり、情報セキュリティの維持こそが堅牢なシステム運用を可能にすると考えることもできるでしょう。
システム運用において情報セキュリティを維持するための方法は様々ですが、サービスマネジメントにおける「構成管理」「変更管理」「リリース管理」は、セキュリティを維持するうえで大切な3要素となります。
変更管理は、システムの変更が及ぼす影響を評価・承認するためのプロセス、リリース管理は、変更管理にて承認された変更を“利用可能な状態”にするプロセスです。これらのプロセスでは変更やリリースがシステムのどこにどのように影響するのか、正しく認識しておくことが大切です。
当たり前だと思われるかもしれませんが、正しく認識しているつもりが実態と異なっていたり、管理している構成情報や認識に抜け漏れがあったりしたことでシステム障害につながった事例もあります。これは、影響を把握するために必要となるシステムの構成情報を正しく管理できていないことが原因で起こり得るものです。身近な事例として、「インターネットで非公開にしておくべき情報を誤って公開設定にしてしまい情報が漏えいした」というインシデントを一度は聞かれたことがあるのではないでしょうか。クラウドサービスのセキュリティインシデントの95%は設定ミスによるものだという調査結果もあり、正しく設定されているかを管理することは、情報セキュリティの観点で重要なポイントです。
この記事は参考になりましたか?
- リスクベースがなぜ重要? ITILをヒントに「システム運用」を捉えなおす連載記事一覧
-
- 適切な「変更管理」が的確な「リリース管理」を導く 障害やインシデントを最小化するためのシス...
- システム運用で避けられない“変更”のリスク ITILを参考に「リスクベースアプローチ」で考...
- トヨタコネクティッドやJTBの情報漏洩からもわかる「構成管理」の重要性 セキュアなシステム...
- この記事の著者
-
高木 満人(タカギ ミチト)
情報セキュリティコンサルティング事業や情報セキュリティ教育クラウド「セキュリオ」事業を展開するLRM株式会社にて情報セキュリティコンサルタントを務める。ISMS/ISO27001、ISMSクラウドセキュリティ/ISO27017などの認証取得・運用支援を通じて、企業の情報セキュリティ体制構築に寄与。認...
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか?
この記事をシェア