何から守るのか・どこを守るのか

具体的に「何を守るのか」明らかにする作業は後回しにして、その前に、「何から守るのか」「どこを守るのか」といった課題を頭に描いておこう。

何から守るのか

「何から守るのか」という問題であるが、想定される敵は３種類いる。

悪意のある攻撃
悪意のない入力ミス
事故・災害

悪意のある攻撃は、その事例や方法がネットに速やかに公開されるので、そういった情報にアンテナを張っていれば比較的簡単に対処できる。最近ではプロによる攻撃が増えているので、ターゲットにされるのがお金に関わる情報であったり、企業の信用価値の失墜を狙ったものであったり、スパムを含めたフィッシングのための仕掛けであったりと、攻撃のパターンも読みやすい。
また、悪意のある攻撃は、社内で発生することが多いということにも留意しておこう。何事もそうであるが、外部から攻撃するより、内部から侵入する方が楽なのである。いくら強力なファイアウォールを設置していても、サーバ室に自由に出入りできるようではセキュリティ水準が低いとしかいいようがない。

逆に、悪意のない入力ミスは対処しにくい。
コンピュータ・リテラシーが低い人でもオンラインショッピングができるような時代である。悪意はないのだが、われわれ技術者が想定しないようなデータを入力したり、想定外の操作を行ってしまうことがある。その結果、システムが予期しない動作をしてしまうかもしれない。
悪意のある入力ではないにしても、システムの設計が甘いと、バッファオーバーフローしてしまうこともあるだろう。
どんな無茶な入力をされてもシステムダウンしないこと、データが流出しないことを肝に銘じてシステムを設計しなければならない。

事故・災害は、もっとも対処しにくい相手である。
停電によるデータ消失・サービス停止、火事や地震によるサーバ破壊‥‥バックアップ体制が不可欠だ。
しかし、無停電電源装置を備えていたとしても、停電が１時間以上に及んだらサービスを続けることは難しいだろう。サーバを耐震固定していたとしても、自宅や事務所が潰れたら一巻の終わりである。
もちろんバックアップする必要はあるのだが、完全なバックアップ体制を敷くことは不可能である。。
それなら視点を変えて考えてみよう。バックアップしなくても済む方法はないだろうか――詳しいことは追々説明していくことにする。