情報セキュリティの現場で起きている『教育不足』（前編） / SAFETY JAPAN [インタビュー] / 日経BP社（情報元のブックマーク数）
攻める側より守る側に問題がある。
「侵入する側が万能ではない」というのが分かったところで、次は守る側について考えてみましょう。分かりやすく理解してもらうためにも、まずは中世の城を思い浮かべてください。頑丈な城壁の周りは堀で囲まれており、入口には跳ね橋が架かっている。この城を企業のメインシステムだとすれば、堀や跳ね橋はファイアーウォールにあたります。普段は自由に往来できる跳ね橋も、敵の攻撃に備えて上げてしまえば通行は不可能です。侵入するには堀を渡る技術が必要なため、敵の数を減らせるほか、しっかりと監視さえしていれば発見も容易です。大切なのは、1つの防御だけで対応するのではなく、多重の防御を行うこと。『Security in Depth』といった言葉で表現される、この基本理念を念頭に置いた上で、現在の問題点は何かという部分を改めて見直してもらいたいのです。
http://www.nikkeibp.co.jp/sj/2/interview/37/index1.html
「攻める側よりもむしろ守る側に問題がある」というのを理解すると、ようやく解決策について考えるようになります。最近は、UNIXやWindowsなど基本となるOSに依存する問題よりも、むしろミドルウエアを含むアプリケーション問題の方が多くなってきています。OSについてはパッチを適用するしかないため、そのシステムをいかに整備するかにかかっています。また、時間的な問題などパッチで対応しきれないような場合も、ポートを塞ぐといった対処が可能です。そのほか、ファイアウォールや侵入検知システム（IDS：Intrusion Detection System）や、ルーターなどを含めたネットワーク全体で考えることも必要となります。これこそSecurity in Depthの考え方です。何か1つだけでは対応できない場合には、他の方法で対処することが大切です。
