セキュリティポリシーって・・・？

質問

FWをネットワークの実験のために構築しようとしています。

そこで、セキュリティポリシーを考えなさいといわれましたが、
いまいちピンときません。

皆さんは具体的にどのようなセキュリティポリシーをもっているのでしょうか？
どういった風にポリシーを考えたらいいのでしょうか。

とりあえず今は、LAN内から外部は自由にアクセス可能にしたいと思っています。
それと外部からLAN内にはWebサーバーやFTPサーバー以外は利用させたくないので
そのアクセス以外は基本的に防ぎたいと思っています。

これだけではセキュリティポリシーとはいえないのでしょうか？

回答No.3

kuma-ku · ベストアンサー

こんにちは
FWと言うことですので、セキュリティポリシーはFWルールを指していると思います。

[ FWのルール処理について ]
FWでは基本的には、何も定義しない状態では全ての通信を遮断しています。
また、上から順番にマッチング処理を行う為、1行目にマッチすれば処理、マッチしなければ2行目・・・という順番に処理されます。

[ 一般的なFWルールについて ]
いくらLANからの通信でも、何でも通す処理はNGです。必要な通信だけ許可しておいてください。
なぜなら、社内から不正な通信を行われると、会社を訴えられる恐れがあるため、不必要な通信を遮断するのが一般的です。

　WEB(HTTP[TCP80]/HTTPS[TCP443])
　Mail(SMTP[TCP25]/POP[TCP109,110])
　DNS[TCP53/UDP53]
　ICMP
　その他業務用アプリケーション
　※社内にDNSサーバが無い場合には、
　　DNS[TCP53](ゾーン転送)は必要ないです。
　　FTPは止める傾向が強いですが、
　　必要であれば追加してください。
　　FTP(DATA[TCP20]/CONNECTION[21])

広義の[セキュリティポリシー]とは、社内のセキュリティ全般に関しての内容で、書類や部外者の扱いなども含まれます。
例えば、メールのセキュリティポリシーは以下のサイトが参考になると思います。
http://www.ejf.gr.jp/mail/mp/pdf_index.html

不明な点があれば聞いてください。
ではでは

お礼

回答ありがとうございました。

TCP/IPの知識が不足しているとこの辺の話が理解できないので、もっと勉強しようと思います。
ありがとうございました。

回答No.2

jeee

セキュリティポリシーは、正式には「情報セキュリティポリシー」いい、つぎを参照してください。
　　・国民のための情報セキュリティサイト
　　　　http://www.soumu.go.jp/joho_tsusin/security/index.htm
　　・情報処理推進機構セキュリティセンター
　　　http://www.ipa.go.jp/security/index.html
　　　　読者層別対策実践情報
実施に当たっては、次を参照してください。
　　・情報セキュリティポリシーに関するガイドライン
　　　http://www.bits.go.jp/sisaku/secu-kakuho.html

なお、情報セキュリティポリシーと伴に重要なこととして、「個人情報保護」があり、この法律である「個人情報保護法」が来年４月から施行（実施）されます。
質問者の会社が、個人情報取扱事業者に該当する場合、義務が課せられますので、早期に対策を講じてください。
個人情報保護法については、つぎを参照してください。
http://www5.cao.go.jp/seikatsu/kojin/jigyousha/index.html

実際の例として、個人情報の漏洩問題を起こした会社の個人情報保護と情報セキュリティポリシーの基本方針を参照してください。
http://hikari.softbankbb.co.jp/information/policy.php
http://hikari.softbankbb.co.jp/information/security.php?PHPSESSID=66e8012c29fc6c99ef366637f6a90e3d

お礼

回答ありがとうございました。

回答No.1

noname#198952

一般には...
どの情報を誰が利用可能か、どのデータを暗号化するか等、情報の目的外利用や
外部からの侵入、機密漏洩などを防止するための方針を定めたものというのが
セキュリティポリシーと呼ばれるようです。
また企業では、トラブルによるシステムの停止、データの喪失などに対して
どう対処していくか、といった項目まで含める場合もあるようです。

FireWallのセキュリティポリシー=FWルールと考えることもあります。
LAN内から外部は自由にアクセス可能というだけではルールとしては不十分の
ような気がしますが。ネットワークを使用するサービスが数多く存在するのに
自由というのはあまりに自由すぎやしませんか？
またWebサーバやFTPサーバ以外は利用させたくないというのは、LAN内に抜ける
ということ?それともDMZを設けるということ？それとも使用ポートを制限する？
考えることはまだまだ数多く存在するハズですよ。

お礼

回答ありがとうございます。

そうですね、自由というのは漠然的で不十分ですね。
この辺は特にどうしようか決めていないので、制限しなくてもいいかなと思ったもので・・・。
あくまで外部からの攻撃を守るというのが最大のテーマなので内側からは自由としてもいいかなぁと思いました。

ネットワークの構成はDMZの構成になっています。