総務省が「職場外のパソコンで仕事をする際のセキュリティガイドライン」を公表 45
ストーリー by mhatta
少なくともネットカフェで仕事してはいけない 部門より
少なくともネットカフェで仕事してはいけない 部門より
faune曰く、"いささか旧聞に属するが、相次ぐP2Pソフトを悪用した情報漏洩の発生への対策からか、総務省が4月28日「職場外のパソコンで仕事をする際のセキュリティガイドライン」(リンク先はプレスリリース)を発表した。
セキュリティ対策の必要性を概論で判りやすく説明した上で、必要な対策を「ルール」「人｣｢技術」という切り口で整理している。当たり前といえば、当たり前の話ばかりとは思うが(とはいえ、
私物パソコンの業務利用について原則不可としていなかったりする点は気になる)、/.Jerの職場ではどのような対策が採られているだろうか？
これは個人的な疑問なのだが、ガイドライン本文(リンク先はpdf)で記載されているルール面に関する対策の一つである「一時的に職場外で参照する場合など、原本である必要性がないものは、複製を持ち出す」というのはどのような事態を想定しているのだろう？通常は共有のファイルサーバに文書を保管し、職場外参照データはローカルにコピーしていると思うのだが？"
自分の普通≠世間の普通 (スコア:2, すばらしい洞察)
どんな職場にもサーバがあるとは限りませんよね。共有PCはあっても
サーバを必要とする職場はそんなにありません。
Re:自分の普通≠世間の普通 (スコア:3, すばらしい洞察)
ただしアクセス制限等きっちり出来る環境が無いと、だだ漏れモードになるので注意が必要ですが...
あぁあとサーバーは物理的にも隔離しておかないとまずいですね
ファイルサーバー経由でウィルス感染とかもあるので、非Windows系のサーバーを使っていても、ウィルススキャン等の対策をお忘れ無く
まぁ上記とともに部外に持ち出せない体制を組めれば漏洩はかなり防げると思います
まぁでも、メール経由やWebDev等でのファイル転送も考慮しないとなので結構大変でしょうが...
コピーされても権限所持者しか閲覧できないような仕組みを導入してしまう方が楽かもしれません(暗号化含む)
あとは家で仕事してる(出来る)時点で何らかの問題有りと言うのが常識にならないうちは不可能ですかねぇ～
家で仕事をやるなら最悪でもVLAN張ってかなぁ?
Re:自分の普通≠世間の普通 (スコア:0)
WebDev->WebDAV
#それだけなのでAC
Re:自分の普通≠世間の普通 (スコア:0)
○VPN
言わんとすることはわかるけど、用語的には別物と言うことで。
# それともVLANでインターネットにつなげないように隔離せよという意味でしょうか。
# 自宅でそこまですることはないと思うので、一応上記の文意だと思うのですが。
Re:自分の普通≠世間の普通 (スコア:1)
VLAN->VPNです
セキュリティ系でVLAN使うとなるなら今だと認証VLANですかねぇ
ただ、此処までやるプロジェクトには私はぶち当たってなかったり
Re:自分の普通≠世間の普通 (スコア:1)
自宅と会社間に広域イーサを引っ張るんですよ、きっと。
もしくは、普通にIPSec張ってLAN側をbridgeさせるとか・・・。
#茶々入れだけなのにID
Re:自分の普通≠世間の普通 (スコア:2, 興味深い)
要するにあれだ. 職場に文書管理用共通ロッカーがあるなんてのはむしろ例外で, 個々人の机の引き出しに業務書類が詰め込まれているのが普通って話だ.
ダメな職場の典型例って言われてますけどね.
Re:自分の普通≠世間の普通 (スコア:0)
基本的に「仕事用データを私物PCに入れない」とするだけでどれだけマシな状況になるか。
それで居てコストは事業用と考えれば既に物の数に入るもんでも無いことだし。
Re:自分の普通≠世間の普通 (スコア:1, すばらしい洞察)
数年経ってますがいまだに携帯に電話が来るので
いいかげん勘弁してくださいなAC
Re:自分の普通≠世間の普通 (スコア:0)
Re:自分の普通≠世間の普通 (スコア:0)
#こういう馬鹿デカいの [srad.jp]を持ち歩かせるなってことなんだろうけど。
Re:自分の普通≠世間の普通 (スコア:0)
Cut & Pasteしますからねぇ。
Re:自分の普通≠世間の普通 (スコア:0)
当然、VNC で決まり (スコア:2)
もちろん、アンチウイルスソフトも入れてるし、ファイルの暗号化もしているし、ファイル交換ソフトなどは入れていないけど、盗難にあっても、最初から、「流出したらまずいデータ」は、職場外から仕事するのに使う PC には、ほとんど入っていないから無敵。 (オフラインで参照or 更新しなければいけないファイルを、必要最小限、手元に保存しておくだけ。暗号化もしてあるが、必要が無くなればすぐ消去)
別に考える事なんか無いじゃん。みんなはもっと面倒くさい方法やってるの？
Re:当然、VNC で決まり (スコア:2, すばらしい洞察)
組織全体のゲートウェイ(ファイアウォール)に穴をあけてVNC使うって、けっこう大変じゃありませんか？
出先から使いたいならアクセス制限をかけること自体が事実上不可能に近いでしょうし、パスワードクラックされたら、流出どころか削除や改竄までされてしまう可能性がありますよ。
SSHでトンネリングしますか？それは、とりあえず「難しい」の類に入るんじゃないんですかねぇ。
＃仕事はunixベースなのでサーバーにSSHでログインし、Xの転送で仕事しているAC
Re:当然、VNC で決まり (スコア:1, 参考になる)
SSHベースですが、基本的にSSHのフォワーディング設定を一度やってしまえばどうにかなるので、比較的楽ができます。
# SFTPとか拒否しておかないと何でもファイルの漏洩には無力ですけど。
Re:当然、VNC で決まり (スコア:2, 興味深い)
生活環境が PC-UNIX なのでこのソフトは使っていませんが，一旦インストールしたら鍵の有効期限が切れるまで楽そうですね．
Re:当然、VNC で決まり (スコア:1, フレームのもと)
> か面倒じゃありませんか？
グローバルIPは不要。
> 出先から使いたいならアクセス制限をかけること自体が事実上不可能に近い
「何の」アクセス制限なわけ？ 意味不明。
> パスワードクラックされたら、
VNC は妥当と言える安全性を有して [realvnc.com]いるが？ (バージョン3系は別)
> SSHでトンネリングしますか？
だから、不要。
> それは、とりあえず「難しい」の類に入るんじゃないんですかねぇ。
SSH でやりたければ、OpenSSH を使った簡易 VPN の構築 [unixuser.org]みれば？
VNC 使っているとは到底思えない人間が、単なる憶測で、実際に便利に使っている人間に向かって「こんな問題は無いのか？ あんな問題は無いのか！」と議論売られてもねぇ。無駄に人に反論する時間を割かせているだけだな。はっきり言おう、迷惑だ。Anonymous Coward の分際で、人に反論するな。
Re:当然、VNC で決まり (スコア:2, 興味深い)
のは有料版だけです。フリー版の方は、4.X系列でも 丸見えになっています。インターネット経由で使うのであれば over SSH は基本でしょう。 で、SSH Port Forwarding、どうってことないように思えるのですが、世間一般では「たいへん面倒」なこととされているようですね。不思議です。
Re:当然、VNC で決まり (スコア:0)
世の中の「ユーザ」は透過的に使えることが当たり前であって、必要な手順が１つ増える毎に
- 面倒
- 大変面倒
- やってられない
と評価が下がるのです(T^T)# セキュリティよりなにより己の都合、です。
# そりゃ、中には理解してくれる人もいますけどね。
Re:当然、VNC で決まり (スコア:0)
> グローバルIPは不要。
これについてのみ、もうちょっと説明していただけませんか？
グローバルIPがいらない理由が分からないのですが。
Re:当然、VNC で決まり (スコア:2, 参考になる)
そしたら、グローバルIPまたはダイナミックDNSでアクセス可能なVNCクライアント側を用意すれば、職場のVNCサーバーはNATの内側でも大丈夫ですし。
Re:当然、VNC で決まり (スコア:0)
…出かける前に自分で操作して、回線を途切れさせずに持ち運べばいいのか。
＃んなばかな。
Re:当然、VNC で決まり (スコア:0)
サーバーの画面で常にログオフしておけば、VNCのパスワードが破られてもOS認証で乗り切れる気がします。 あとはリモート専用のOSアカウントを用意すれば簡易アクセス制限になるのではないでしょうか。
#VNCのインストール禁止令が出たのでAC
厚労省さん (スコア:2, すばらしい洞察)
違和感・・・・ (スコア:1)
悪用？
うーん・・・。
イメージ的には誤用、無知等からきてる気がするんですけどね。
それだけに「悪いことをしている｣という意識が低いからか、
被害が後を絶たない・・・と見ているんですが。
人事を半分尽くして天命を待つ
Re:違和感・・・・ (スコア:1, すばらしい洞察)
＞悪用？
「ウィルス」がP2Pソフトを「悪用」して「情報漏曳を発生」させていると考えると、どうでしょうか？
いくらなんでも、持ち帰りの仕事をupload用フォルダに入れるような人はいないと思いますが。
＃そんな意図は最初から無いと思うのでAC
Re:違和感・・・・ (スコア:1)
P2Pの件は関係する人が企業、P2P利用者、ウィルス作成者
とたくさんいるためどうにもややこしい
おまけにウィルス作成者は黒でそれ以外はグレーですから
もうひとつややこしいですね
#P2Pを問題にするよりウィルス作成者何とかするほうが
#本道だろうけど、どうにも世論は違う気がするな
Re:違和感・・・・ (スコア:0)
（たぶん同じ人だろうけど。）
Re:違和感・・・・ (スコア:1)
「情報セキュリティパランス」
に違和感を感じます。
原因はまさに無知からきてる気がします。
Re:違和感・・・・ (スコア:0)
とは何を指しますか？
P2P ソフトを使うこと？
仕事のファイルを持ち出すこと？
職場外のパソコンで仕事をする際.... (スコア:1, 興味深い)
Re:職場外のパソコンで仕事をする際.... (スコア:2, 興味深い)
よって、東京都労働局は総務省を始めとする中央省庁に対し、一度、手入れをやるべきだと思います。
Re:職場外のパソコンで仕事をする際.... (スコア:0)
生徒宅への家庭訪問とか。
Re:職場外のパソコンで仕事をする際.... (スコア:0)
まあ、教員には残業というものはないけど…
職場外と言えば (スコア:1, 参考になる)
＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:0)
自分としては今回のガイドラインにもあるように、私物PCであろうと業務PCと同じ対策が施されており、かつ会社なりの決めた運用ルールに従って運用されるなら、問題ないと思うのですが・・・？
（もちろん、家に持って帰って自宅用PCとしても使用、というのは論外だと思いますし、ルールを上手く適用できないため一律禁止ということならわかりますが。）
＃前の会社では、会社が他所への出向者にろくなPCを渡さないから、業務用に個人でノートPCを買う人が多数。
＃で、急遽偉い人の偉い人からセキュリティ対策として一律禁止が通知されたので、現場はパニック状態に・・・。
＃その後、緩和されたとか噂は聞いたけど、どうなんだろ？
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:2, すばらしい洞察)
> かつ会社なりの決めた運用ルールに従って運用される
> なら、問題ないと思うのですが・・・？
では、その私物PCが運用ルールに厳密に従っていることを
誰が確認して保証するんですか？
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:0)
業務用PCを確認するのと同じ人じゃないの？
こっそり変なソフトが入れられててもチェックしきれないから？
でもそれは業務用PCだって同じだよね。
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:1, すばらしい洞察)
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:0)
まぁ、それが嫌な人は素直に業務用PC使えばいいだけですし、それで使いたい人だけ使うという構図が上手く出来上がると思います。
＃前の会社、それ以前にAdmin権限とか何も考えてな（ｒｙ
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:0)
＃うろおぼえなのでAC
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:3, 興味深い)
法人の財産及び経費で業務を行うのが原則です。先ず私物を使わせた時点で、その私物の所有者への労働契約等に基づく給与などの労働対価を実質的に減らしていると見做され、労働基準法に抵触する可能性があります。そしてさらにその私物が20万円以上の場合、本来固定資産として原価償却処理をし固定資産税を納めるべきを、給料などに上乗せして支給し経費として一括償却していると見做され、税法に抵触する可能性があります。
Re:＞私物パソコンの業務利用について原則不可としていなかったりする点は気になる (スコア:0)
個人のノートＰＣを (スコア:0)
ＵＳＢメモリー等でデータの持ち出しを許可している段階で
その会社は終ってます
身近にも会社のＰＣでエロサイトを見て
ウイルス感染させたアホがいるのでＡＣ