PHPセキュリティ対策：概要

Web アプリケーションではセキュリティ対策が重要だ。PHP も例外ではない。
大切なデータやシステムを守るには、機密性を守るだけでは不十分で、完全性と可用性にも留意しなければならない。

何を守るか

セキュリティ^*（security）の和訳は「安全確保」である。では、何の安全を確保するのか――ここからセキュリティ対策がはじまる。

まず、守るべき情報資産の棚卸しからはじめよう。守るべき、すなわち価値のある資産とそうでないものを仕分けるのである。
棚卸しの際には、どの程度の価値があるのか、漏洩したときのリスクの大きさはどうかなど、定量的に判断できる材料を付加しておくと良い。

なお、セキュリティ対策は、じつに広範囲に及ぶし、さまざまな専門知識を要求される。個人の力で完璧なセキュリティ対策を紹介するのは無理である。
そこで、ここでは話題を PHP アプリケーションに絞り、その対策を紹介していくことにする。

セキュリティ対策――3つのポイント

セキュリティ対策というと、まず、ログイン認証を行ったり、データに暗号化をかけることが頭に思い浮かぶことだろう。
だが、入力されたデータが偽物だったらどうなるだろうか。また、セキュリティ対策を厳しくするあまり、事故が起きたときに、スタッフがシステムにアクセスするまでに時間がかかったりしたらどうなるだろうか――。

そこで、企業などの組織が情報を適切に管理し、機密を守るための包括的な枠組みとして、ISMS（Information Security Management System）が提案された。2004 年に標準化された [ISO/IEC 13335-1:2004;blue] では、次の 3 つを ISMS の基本コンセプトとしている。

機密性（Confidentiality）: 認可されていない個人、エンティティ（団体等）又はプロセスに対して、情報を使用不可又は非公開にする。（例）ログイン認証，ファイアウォール
完全性（Integrity）: 資産の正確さ及び完全さを保護する。（例）電子署名，タイムスタンプ署名
可用性（Availability）: 認可されたエンティティ（団体など）が要求したときに、アクセス及び使用が可能である（例）システム二重化，ロードバランサ

さらに、オプションとして次の 4 つの性質を含めても良いとしている。

真正性（Authenticity）: 情報の身元を保証する。（例）各種契約，オーダー否認防止
責任追及性（Accountability）: 情報発生／更新の行為形跡を保証する。（例）トラッキングログ
情報の信頼性（Reliability）: 動作結果に整合性がある。

参考書籍

「〈図解〉よくわかる ISMS とプライバシーマーク」（鳰原恵二／浅川浩／日本実業出版社／2004 年 10 月／2,100 円）
「暗証番号はなぜ 4 桁なのか？」（岡嶋裕史／光文社／2005 年 09 月／735 円）
「個人情報はこうして盗まれる」（萩原栄幸／ベストセラーズ／2005 年 06 月／1,575 円）
「日本一怖いインターネットの本」（関口啓貴／コネクタス／アスカ・エフ・プロダクツ／明日香出版社／2004 年 12 月／1,575 円）
「入門PHP セキュリティ」（クリス・シフレット／桑村潤／オライリー・ジャパン／オーム社／2006 年 05 月／1,890 円）

参考サイト
何を守るのか（ぱふぅ家のホームページ）「情報セキュリティ」って何をするの？（ITpro）セキュア・プログラミング講座「WEB アプリケーション編」（IPA）情報セキュリティ管理対策の紹介（CNET Japan）

（この項おわり）

何を守るか

セキュリティ対策――3つのポイント

参考書籍

参考サイト