多層防御 (セキュリティ)
ウィキペディアから無料の百科事典
多層防御（たそうぼうぎょ、英: Defense in depth）は、情報技術を利用して、多層（／多重）の防御を行う手法と、人員、技術、操作を含めたリソースの配分までを決定する戦略までを含んだものである。これは、情報保証（Information Assurance、IA）戦略の一種である。
階層的防御、多重防御とも呼ばれることがある。
この多層防御の元となった英語の語句defense of depthは軍事用語の（縦深防御参照）であり、攻撃側の軍勢を停止させるのではなく、占領地を与えつつ時間を稼ぎ、遅延させることを目的とした戦略である。 コンピュータセキュリティ関連の用語である多層防御も、この考えと同じく、多層防御の機構、手順、思想は、重要なシステムに対しての直接攻撃や情報漏洩を避けるために多層の防御を行ない、ITシステムによる保証や信頼性を増加させることにある。 コンピュータネットワーク防御（CND：computer network defense）の用語において、多層防御はセキュリティに対する違反を防ぐだけではなく、攻撃を見つけ対応するための時間を稼ぐ必要がある。 これによって違反の影響を軽減する。
情報保証を行う部門は、ユーザーの環境に情報保証技術を適用する場合に、次のような名称での大まかな分類を行っている。
- コンピューティング環境（Computing Environment）
- エンクレーブ境界（Enclave Boundary）
- ネットワーク環境（Networking Infrastructure）
- 支援・保守環境（Supporting Infrastructure）
産業システムの多層防御[編集]
産業システムのICS-CERTでは、以下のような多層防御を提案している[1]：
| 項目[2] | 対策例[2] |
|---|---|
| リスク管理 | 脅威の特定 リスクの把握 資産一覧の作成・メンテ |
| サイバーセキュリティアーキテクチャ | 標準・推奨策 ポリシー 手順 |
| 物理セキュリティ | 現場機器のロックダウン 制御センターへのアクセス制御 リモート拠点のカメラ監視、アクセス制御、塀 |
| ICSネットワークアーキテクチャ | 共通のアーキテクチャ毎でのゾーン分け DMZ 仮想LAN |
| ICSネットワーク境界セキュリティ | ファイアウォール・一方向ゲートウェイ リモートアクセス・認証 ジャンプサーバ・ホスト |
| ホストセキュリティ | パッチ、脆弱性管理 現場機器 仮想マシン |
| セキュリティ監視 | IDS セキュリティ監査ログの取得 セキュリティインシデント・イベント監視 |
| ベンダ管理 | サプライチェーンマネジメント マネージドサービス・アウトソーシング クラウドサービスの活用 |
| 人的セキュリティ | ポリシー 手順 訓練・意識向上 |
脚注[編集]
関連項目[編集]
- 縦深防御 - 軍事用語 (defence in depth)
外部リンク[編集]
 | この項目は、コンピュータに関連した書きかけの項目です。この項目を加筆・訂正などしてくださる協力者を求めています（PJ:コンピュータ/P:コンピュータ）。 |