運輸多目的衛星

なんとも久し振りの更新です。コメントを寄せられた時にレスするだけで、一ヶ月以上ご無沙汰でした。
それで、久し振りの話題ですが、本日打ち上げに成功した運輸多目的人工衛星MTSAT-2についてです。以下は、2006年2月18日の産経新聞のWebからの引用です。

宇宙航空研究開発機構は１８日午後３時２７分、運輸多目的衛星２号機を搭載したＨ２Ａロケット９号機を鹿児島県の種子島宇宙センターから打ち上げた。

　ロケットは打ち上げの約２８分後、太平洋上高度約３００キロで衛星を分離、予定の楕円（だえん）軌道に投入し、打ち上げは成功した。

　運輸多目的衛星２号機は、国土交通省と気象庁が運用する静止衛星で、昨年打ち上げた１号機「ひまわり６号」の予備、後継機。赤道上東経１４５度の静止軌道で、気象観測と航空管制を担う。順調なら打ち上げから約５日半で、高度約３万６０００キロの静止軌道まで上昇。搭載機器の機能確認を経て、「ひまわり７号」と命名される予定。

　気象観測業務では、１号機が不調な場合に代わって観測に当たるほか、２０１０年予定の１号機の運用終了後には後継機となる。また、航空管制では東経１４０度の１号機と２機体制で洋上の航空機の位置確認などに活用される。

　Ｈ２Ａは１月に８号機を打ち上げたばかりで、これで３回連続の成功。２１日にはＭ５ロケット８号機の打ち上げも予定されており、国産ロケットの連続打ち上げは順調に進んでいる。

情報セキュリティのBlogなのに、今までも日本の宇宙開発関係の話題を取り上げてきましたが、今回もその路線です。とは言っても全く関係ないと言うことでもないのです。根気は、「バックアップ」がキーワードです。
今回の衛星は、昨年打ち上げられたMTSAT-1Rこと「ひまわり6号」と一緒に航空管制に用いられる他に、気象観測では’バックアップ’機となります。引用した記事にもあるように、ひまわり6号の故障時の代替機であると同時に寿命に達した時には直ちに後継機になります。これは、実用衛星科学観測衛星など日本の人工衛星では初めての体制です。
金融機関などは、ホットスタンバイのシステムを容易して、システムダウン時もシステムの継続性を確保しています。気象観測でも、これで、継続的気象観測体制が初めて整備されたことになります。私は、運用管理系のソフトウェアエンジニア出身なので、このバックアップ機という考え方に共感すること大です。バックアップは、不測の事態が起きたときの備えです。ですから何事もなければ、不必要と言われかねません。MTSAT-2は、バックアップであると同時に後継機であり、二重の役割を負っています。これは、投資の有用性を向上させたと、私は思います。
全てのシステムが、バックアップ機を用意し、ホットスタンバイ体制/継続性を整備する必要がありません。しかし、気象観測/航空管制という重要な機能でホットスタンバイ体制が確率したことは、国民生活にとってもメリットが大きいですね。
ひまわり5号の後継機の打ち上げが、H2Aロケットの打ち上げ失敗などで、延期続きで、一時は米国の中古の気象観測衛星を借用するという苦い経験をしました。これで、世界でも最新で最も高性能の気象観測衛星を持ち、しかもバックアップ体制継続体制もも整ったということは、画期的なことです。

情報セキュリティ、システム監査の観点からもバックアップや継続性というのは、大切な概念です。重要な社会的インフラともいえる情報システムを抱える企業や自治体、団体にも参考になる出来事だと思います。

(これからは、もう少し頻繁に更新します。では、これからも宜しくお願いします)

USBメモリーの紛失

以下は、2006年1月5日に夕刊フジのHPからの引用です。

胸ポケに入れて帰宅し県職員、データ入りメモリー紛失

　長野県は５日、松本地方事務所の税務課職員が、自動車税や法人事業税など県税に関する個人や法人の計２１１１件分のデータを記録したパソコン用ＵＳＢメモリーを紛失したと公表した。

　県によると、住所、氏名や滞納状況などのデータが含まれていた。職員が１２月２０日、自宅で残務処理をするため、ワイシャツの胸ポケットにメモリーを入れて帰宅する途中で紛失した。

　職員は交番に紛失を届けたが、県には報告しなかった。４日に外部から情報提供があり発覚。メモリーは見つかっていないが、データの流出は確認されていないという。

ZAKZAK 2006/01/05

最近は、Note PCの紛失や盗難に対する対策やリスクコントロールについては、色々と声高に唱えられるようになりました。持ち運び制限やデータの暗号化、個人PCの使用禁止、シンクライアント等々。
しかし、上記の記事にあるようにUSBメモリーのリスクもかなり高いと思います。
FDと違って大容量、CD-RWやDVD-RWと違ってデータ保存が簡単、持ち運び容易です。ということは、大容量のデータがいとも簡単に持ち運びできる、つまり大量のデータの漏洩や紛失のリスクが高いということです。CD/DVDのドライブを使用禁止にしている事例は珍しくありません。FDは、ドライブそのものが内臓から外付けになり、使わせないケースが多いです(記憶容量が小さいので、その意味でも既に過去のメディアでしょうね。
USBのポートは、最近はUSBマウスが主流のせいか、以外に制限が緩いようです。しかし、記憶メディアとしてのリスクを考えると、FDやCD/DVD等よりも大きいのは明らかでしょう。USBメモリー、リスクアセスメントと適切なコントロールが必要です。個人的には、原則として使わせない、もしくは使途を限定することが必要だと思います。皆さんのご意見は如何でしょうか。
　

謹賀新年

新年明けましておめでとうございます。昨年、当Blogを開設以来、更新が滞りがちにも関わらず、多くの方に参照して頂きました。本年も旧年同様に当Blogを宜しくお願い申し上げます。
皆様のご多幸を祈念致します。

平成18年元旦
管理人

’情報セキュリティ’ということ

情報セキュリティコンサルタントのおき楽Blog、久々で今年最後の投稿です。
’情報セキュリティ’について、改めて考えることがあります。セキュリティとは何なのでしょうか。securityという単語の意味を調べてみると、

安全、無事
安心、心丈夫
(財政上の)安定，保障
危険･危害などに対する〕防衛(手段), 警備(態勢), 安全保障
(負債の支払いに対する)保証，担保，抵当(物件)
[通例複数形で] 有価証券
安全[保安]の(ための), 安全保障の

以上、exciteの翻訳ページの結果から引用

National securityは、国家安全保障予約されます。では、Information securityは、何と訳すれば良いのでしょうか。私は、’情報の安全保障’なのだと思います。では、情報とは何なのでしょうか。

DATA ：　情報
information　：　情報
inteligense　：　情報

いずれも日本語で、情報という訳がついています。英語で三つの単語があるということは、意味の上で違いがあるということだと思われます。以下は、受け売りなのですが、上記の疑問に答えてくれます。

dataは、資料という段階です。単に収集されただけで、整理されていない状態。名簿でいるならば、氏名と住所、電話番号などが無秩序に集められているだけで、体系化されていない。例えば、同窓会名簿を作るために氏名と住所は集めました。しかし、年次別、男女別、クラス別、学部学科別等に整理されていない。したがって、使用不可能とまでは言えないが、使いづらいでしょうね。

Informationは、収集されたdataが整理された状態。上記の例で例えれば、集められた名簿に関するdataが、年次別、男女別、クラス別、学部学科別等に整理された状態。これならば、使い勝手が良いし、価値が向上するでしょうね。

intelligenseは、informationに付加価値が付いた状態。同窓会名簿にプラスして、現在の職業や収入、家族構成等との情報とリンクされれば、所謂情報資産としての価値は向上しますし、情報の漏洩が危惧されます。

この、情報の3段階の定義は、そのまま情報資産としての価値の評価を表しているように思われます。特に付加価値のついたIntelligenseレベルの情報が漏洩した時の影響は、計り知れないものがあります。

’情報の安全保障’とは、こういった情報の安全を保障するあらゆる方策、行為なのだと思います。

国家安全保障が、単に軍事的対応のみでなく、政治的経済的政策や社会政策な等にも及ぶ、広範囲な概念であるとの同じように、’情報の安全保障’も単にIT関係の施策だけでは包括できないものであろうと思います。国家安全保障が一国の政策の根幹を成すように、’情報の安全保障’も企業経営上の重要施策であると言っても過言でないと思います。

’情報の安全保障’を如何に構築していくか。それが、この業界で活動する我々の課題命題ですね。新年を迎えるにあたり、改めて情報セキュリティについて考えてみました。皆さんのご意見等待っております。

保証ということ

日本セキュリティ監査協会(JASA)で、保証型セキュリティ監査の促進を目的としたプロジェクトが進行中です。私も、メンバーの1人としてこのプロジェクトに参画しています。プロジェクトの発足後、間も無くして構造計算偽造問題が発覚し、プロジェクトの会合の席でも酒席でも、この話題がでないとことはありません。

①建物の設計/構造計算　→　②建築確認申請　→　③審査機関(民間/自治体)による審査

①の段階での不正や不備(リスク)を③の審査で低減する、というのがこのシステムの要諦だと思います。しかし、初めから想定された①のリスクを③でコントロールできず、システム全体の信頼性が大きく揺らいでいます。では、このシステムは不要なのでしょうか。それは断然否だと、私は思います。一戸建てであろうとマンションであろうと、建築の専門家でない一般の消費者が設計図や構造計算書を見て、耐震強度を自らチェックするなど不可能です。そこで、審査機関(民間/自治体)による審査を通過したことで信頼/信用する、言わば代行のシステムは必要であろうと思います。今回は、その代行システムが全く機能しなかったという深刻な問題が露呈した訳です。
では、システム(制度)が必要だとして、どこを改善改革すべきでしょうか。元々、①のリスクは想定済です。そのリスクを③で回避しようと図り、機能しなかった訳ですから、改善改革ポイントは③でしょうね。そこで、私案であうが、

1
審査機関(民間/自治体)は、被審査者が初回の審査の場合、構造計算書の強い審査を行う。再計算も辞さない強さが必要でしょう。

2
被審査者の申請が一定回数、例えば10回に達した場合は、再度強い審査を行う。

3
強い再審査を回避するために、所定の回数に達する直前に審査機関を変更することも予想される。そこで、審査機関(民間/自治体)は無作為抽出による強い審査を行う。

所定審査回数とランダムの審査を組み合わせることで、被審査者への牽制効果を期待できます。これで、リスクをゼロにすることはできません。また、この私案の前提として、審査機関(民間/自治体)に一定の力量を要求することになります。審査機関(民間/自治体)の淘汰も必要です。審査業務量が増えることに審査機関(民間/自治体)は抵抗するでしょう。しかし、失われた信頼を取り戻すには、かなりの改革が必要です。

JASAの保証型情報セキュリティ監査促進プロジェクトで、「保証」を与えることの難しさ、責任の重さを感じています。まあ、びびっているとも言えるかもしれません。これは、他のメンバーも多かれ少なかれ同様だと思います。その上で、なんとか保証型情報セキュリティ監査を広がっていけばと念じています。

このところ、仕事や忘年会で帰りが遅く、週末は飲みに行って朝帰り、なんで状態でこのBlogの更新を怠っていました。世の中は、例の建築士の問題が拡大の一途ですね。セキュリティ監査の関係者も無関心ではいられず、「保証」するということの責任を改めて感じてます。この件は、いずれこのBlogでも取り上げてみます。

ところで、この記事の本題は12月10日行われたCISA/CISM試験です。今年から年2回制になり、12月の試験は今回が最初でした。初めて受験する方、6月の試験にリベンジの方、年内にCISA/CISMの完全制覇を目指す方。多くの方が受験されたようです。12月はCISMは英語のみなので、受験者少なかったようですが、CISAと合せて500名を超える受験者であったそうです。6月の受験者と合計すると、今年の受験者は延べ1,000人を越えました。受験者の皆さん、長丁場の試験、本当にご苦労様でした。皆様のお手元に吉報が届き、ISACAのメンバーの加わって頂ける事を祈念しています。
CISA/CISM受験者の増大　→　合格者の増大　→　ISACAメンバーの増加　というスパイラルで東京支部の会員も1,000名を突破しました。おそらく、1,000名突破より早いペースで2,000名を超えることと思います。
システム監査、情報セキュリティ、ITガバナンスなどCISA/CISMの活躍する場は増えています。これからも受験者は益々増えていくのでしょうね。思いを新たにISACA東京支部の活動を行っていこうと思います。
では。

12月10日土曜日に、公認情報システム監査人(CISA)と公認情報セキュリティマネージャ(CISM)の試験が行われます。年2回制になって初めての12月試験でう。CISMは英語のみの試験ですが、この年2回の試験はCISA/CISM志望者のとってメリットが大きいですね。
私自身は、CISAは最初の試験は不合格でした。しかし、年に1回の試験なので、また来年か～　と落胆したものです。これで、再挑戦を諦めてしまう人もいます。年に2回ならば、半年後に再受験出来ますし、CISA/CISM双方の試験に同じ年に合格する可能性もあります。受験者に有益な制度改正であったと思います。最初の挑戦に方もリベンジの方も、4時間の試験、頑張って下さい。
皆さんが合格し、ISACAの活動に参加されること期待しています。