セキュリティ

Lotus Domino のセキュリティの概要
組織のセキュリティを設定することは、非常に重要なタスクです。組織の IT リソースと資産を保護するためには、セキュリティのインフラストラクチャが重要な役割を果たします。システム管理者は、サーバーまたはユーザーの設定を実行する前に、組織のセキュリティ要件を慎重に考慮する必要があります。最新の情報を把握してプランニングを行うと、セキュリティ侵害のリスクを最小限に抑えることができます。

セキュリティに関するプランニングでは、次の指針を使用してください。

業務についてよく把握するこれは、組織の業務要件と満たすべきサービスレベルについて理解するプロセスです。自分に直接責任のないものも含め、業務のあらゆるコンポーネントを把握する必要があります。新しく買収された部門や企業分割により新設された子会社についても把握しておいてください。このプロセスの一部として、信頼できるネットワークと信頼できないネットワークを明確にする必要があります。信頼できるネットワークがエクストラネットに接続されている場合もあります。
業務要件について理解したら、次のような IBM(R) Lotus Domino(R) インフラストラクチャの詳細を検討します。 資産と脅威を明確にする (リスク分析)保護する資産の価値を明確にしてください。組織内のアプリケーションの価値は、それぞれ異なっています。たとえば、ほとんどの組織では、電子メールのインフラストラクチャは業務に不可欠です。しかし、以前の電子メールをすべて簡単に利用できるという機能は、それほど重要ではありません。次に、組織の外部だけでなく内部という観点からも、脅威を把握します。脅威のいずれか 1 つが現実のものとなった場合に組織が被る可能性がある損失についても把握しておく必要があります。最後に、その脅威が発生する確率を判断します。たとえば、信用できないシステムからの自動化された攻撃はほとんど確実に発生し、サーバーのある部屋が水害による被害を受ける可能性は高いと思われます。しかし、データセンターからサーバーのハードドライブが盗まれる可能性は、通常低いと言えます。
コンピューティングインフラストラクチャに対する脅威としては、次のようなさまざまなものがあります。 また、保護すべき Lotus Domino の資産とその保護方法について理解するために、Lotus Domino のセキュリティモデルも把握しておく必要があります。詳しくは、「Lotus Domino のセキュリティモデル」の項目を参照してください。

コンピューティング環境を保護するための戦略を立てるLotus Domino 環境に対する脅威を把握したら、Lotus Domino のコンピューティングインフラストラクチャの各部を保護するためのポリシーを作成します。次のような領域に対してポリシーを作成することが考えられます。

変更制御について詳しくは、「Domino Change Manager」の項目を参照してください。

インシデントハンドリング (緊急障害対応) 手順を作成するセキュリティインシデントは予期せず発生するものであり、業務、資産、社会的信用などの損失を避けるために即座に対処する必要があります。セキュリティプランには、インシデントハンドリングコンポーネントだけでなく、対処方法に関するフィードバックコンポーネントも盛り込んでおく必要があります。フィードバックは、セキュリティプランやポリシーを最新のものに保つための一助になります。
メモ インシデントハンドリングの重要性が記述されている優れた書籍としては、米国国立標準技術研究所 (National Institute of Standards and Technology) 発行の『Contingency Planning Guide for Information Technology Systems』(NIST Special Publication 800-34) があります。

インシデントハンドリングには、次のものが含まれます。

インシデントハンドリングプランを実施すると、次のものに対する要件をより明確に判断できます。 Lotus Domino Server および Web サーバーのログについて詳しくは、「Lotus Domino Server の Notes Log (LOG.NSF)」および「Lotus Domino Web サーバーログ」を参照してください。

Lotus Domino のバックアップについて詳しくは、「Lotus Domino Server をバックアップする」を参照してください。

イベントモニターについて詳しくは、「イベントを使用して Lotus Domino Server をモニターする」の項目を参照してください。

従業員研修の計画を立て、実施するセキュリティに関しては全員に責任があることをユーザーに理解させます。業務上のニーズに基づき、次の点に関してユーザー研修を実施する必要があります。

メモ 米国国立標準技術研究所 (National Institute of Standards and Technology) では、セキュリティに対する認識、訓練、教育の関係を示す文書として、「Information Technology Security Training Requirements:A Role- and Performance-Based Model」(NIST Special Publication 800-16) を発行しています。

一連のプロセスを常に最新の状態に保つこの手順は、通常は最も難しい手順ですが、他の手順と同様に非常に重要です。セキュリティの一連のプロセスと手順を定期的に見直すプログラムを作成するための時間をとってください。そのレビュー結果は、従業員研修に必ず反映させてください。変更があった場合は、従業員研修のアップデートが必要な場合もあります。
関連項目