PHPセキュリティ対策：概要

Webアプリケーションではセキュリティ対策が重要だ。PHPも例外ではない。
大切なデータやシステムを守るには、機密性を守るだけでは不十分で、完全性と可用性にも留意しなければならない。

何を守るか

セキュリティ（security）の和訳は「安全確保」である。では、何の安全を確保するのか――ここからセキュリティ対策がはじまる。
まず、守るべき情報資産の棚卸しからはじめよう。守るべき、すなわち価値のある資産とそうでないものを仕分けるのである。
棚卸しの際には、どの程度の価値があるのか、漏洩したときのリスクの大きさはどうかなど、定量的に判断できる材料を付加しておくと良い。

なお、セキュリティ対策は、じつに広範囲に及ぶし、さまざまな専門知識を要求される。個人の力で完璧なセキュリティ対策を紹介するのは無理である。
そこで、ここでは話題をPHPアプリケーションに絞り、その対策を紹介していくことにする。

セキュリティ対策――3つのポイント

セキュリティ対策というと、まず、ログイン認証を行ったり、データに暗号化をかけることが頭に思い浮かぶことだろう。
だが、入力されたデータが偽物だったらどうなるだろうか。また、セキュリティ対策を厳しくするあまり、事故が起きたときに、スタッフがシステムにアクセスするまでに時間がかかったりしたらどうなるだろうか――。

そこで、企業などの組織が情報を適切に管理し、機密を守るための包括的な枠組みとして、ISMS（Information Security Management System）が提案された。2004年（平成16年）に標準化された ISO/IEC 13335-1:2004 では、次の3つをISMSの基本コンセプトとしている。