セキュリティアーキテクチャ

アーキテクチャモデルのセキュリティ上の意味

システムを「どこで、どのように動かすか」を決めることをアーキテクチャの選択といいます。自社のサーバ室で動かすのか、クラウドに置くのか、1台の大きなアプリにするのか小さな部品に分けるのか。この選択によって、守るべき範囲と守る責任者が変わります。試験では、各モデルの長所と短所、そして責任の所在が問われます。

クラウドと責任共有モデル

クラウド（Cloud）では、設備を自分で持たず事業者から借ります。ここで重要なのが責任共有モデル（Responsibility matrix）です。物理設備やネットワーク基盤は常に事業者が守りますが、それより上の層をどこまで事業者が担当するかはサービスの種類で変わります。IaaS（Infrastructure as a Service）では OS から上は顧客の責任、PaaS（Platform as a Service）では OS とミドルウェアまで事業者、SaaS（Software as a Service）ではアプリまで事業者が担当し、顧客はデータとアカウントの管理に集中します。

自社設備（On-premises）とクラウドを組み合わせるハイブリッド構成（Hybrid）では、両者をつなぐ経路と設定の不一致が弱点になります。また、第三者ベンダー（Third-party vendors）に依存すると、相手の障害や侵害が自社に波及するリスクを受け入れることになります。

仮想化・コンテナ・サーバーレス

仮想化（Virtualization）は 1 台の物理マシン上でハイパーバイザー（Hypervisor）が複数の仮想マシン（VM）を動かす技術で、VM ごとにゲスト OS を持つため隔離が強い反面、起動が遅く資源を多く使います。コンテナ化（Containerization）はホスト OS のカーネルを共有し、アプリと必要なライブラリだけをまとめて動かすため軽量で高速ですが、カーネルの脆弱性が全コンテナに影響する点が弱点です。

サーバーレス（Serverless）は、関数単位のコードを事業者の基盤上で必要なときだけ実行する方式で、OS やサーバの管理から解放されます。マイクロサービス（Microservices）は、大きなアプリを独立した小さなサービスに分割する設計で、一部だけを拡張・更新できますが、サービス間の通信（API）が増えるため攻撃面が広がります。Infrastructure as Code（IaC）は、サーバやネットワークの構成をコードとして記述し自動で構築する手法で、設定を一貫させミス（設定ドリフト）を防げる一方、コードに誤りがあると全環境に同じ穴が複製されます。

ネットワーク基盤と特殊なシステム

• 物理的分離（Air-gapped）: ネットワークを物理的に切り離す。最も強いが、USB 経由の持ち込みやメンテナンスが課題。
• 論理的分離（Logical segmentation）: VLAN やサブネットで分ける。柔軟だが設定ミスで漏れる。
• ソフトウェア定義ネットワーク（SDN）: 制御プレーンとデータプレーンを分け、コントローラから経路やポリシーを集中制御する。
• 集中型と分散型（Centralized vs. decentralized）: 集中型は管理しやすいが単一障害点になり、分散型は耐障害性が高いが一貫した管理が難しい。
• IoT・組み込み機器（Embedded systems）: 計算能力や電力が限られ、パッチが提供されないことが多い。
• ICS/SCADA: 工場や発電所などの制御システム。可用性が最優先で停止できず、古い機器が多い。
• RTOS（リアルタイム OS）: 決められた時間内に処理を必ず完了させる OS。車のブレーキ制御や産業ロボットで使われる。

アーキテクチャを選ぶときは、可用性（Availability）、レジリエンス、コスト、応答性、拡張性（Scalability）、展開のしやすさ、リスク移転（Risk transference）、復旧のしやすさ、パッチの入手可能性、電力や計算資源といった観点を天秤にかけます。特に「パッチを当てられない（Inability to patch）」機器は、ネットワーク分離や前段のファイアウォールで守る補償的制御が定番の解答です。

エンタープライズインフラへのセキュリティ原則の適用

同じセキュリティ機器でも、どこに置くか、どうつなぐかで効果はまったく変わります。このレッスンでは、ネットワークをゾーンに分けて機器を配置する考え方と、代表的な機器の役割、そして離れた場所から安全に通信する方法を学びます。

セキュリティゾーンと機器の配置

ネットワークは信頼度の異なるゾーン（Security zones）に分けます。外部のインターネット、公開サーバを置くスクリーンドサブネット（Screened subnet、旧称 DMZ）、社内の内部ネットワークが基本で、境界ごとにファイアウォールを置きます。外部に公開する機能を減らすことは攻撃面（Attack surface）の縮小につながります。

機器の属性も重要です。インライン（Inline）に置いた機器は通信がそれを通過するため遮断（Active）ができますが、故障すると通信に影響します。タップ／モニター（Tap/monitor）で複製した通信を見る機器は、遅延も影響も与えない代わりに検知（Passive）しかできません。侵入防止システム（IPS: Intrusion Prevention System）は前者、侵入検知システム（IDS: Intrusion Detection System）は後者の典型です。

インライン機器が故障したときの振る舞いを障害モード（Failure modes）といいます。フェイルオープン（Fail-open）は故障時に通信を素通しし、可用性を優先します。フェイルクローズド（Fail-closed）は通信を遮断し、安全性を優先します。工場の生産ラインのように止められない環境ではフェイルオープン、機密システムではフェイルクローズドが選ばれます。

代表的なネットワーク機器

ファイアウォールの種類はレイヤで区別します。レイヤ 4 ファイアウォールは IP アドレスとポート番号で判断し、高速ですが中身は見ません。レイヤ 7 ファイアウォールはアプリケーションの内容まで検査し、特定のアプリや攻撃パターンを識別できます。有線 LAN ポートに勝手に端末をつながせないためには、ポートセキュリティとして 802.1X を使い、EAP（Extensible Authentication Protocol）で認証に成功した端末だけをネットワークに参加させます。

安全な通信とリモートアクセス

離れた拠点や在宅の端末と安全に通信するには VPN（Virtual Private Network）を使います。インターネット上に暗号化されたトンネル（Tunneling）を作り、中身を読まれないようにする仕組みです。拠点同士を常時つなぐサイト間 VPN には、ネットワーク層ですべての IP パケットを守る IPsec がよく使われ、個人の端末からの接続には TLS を使うリモートアクセス VPN が手軽です。

SD-WAN（Software-Defined WAN）は複数回線を使って拠点間の経路をソフトウェアで最適化する技術です。SASE（Secure Access Service Edge）は SD-WAN にクラウド提供のセキュア Web ゲートウェイやゼロトラストネットワークアクセス（ZTNA）などを統合したもので、在宅勤務や SaaS 利用が多い企業に向きます。効果的な制御の選択（Selection of effective controls）とは、こうした選択肢の中から、守る対象、脅威、コスト、運用能力に合ったものを選ぶことです。

データ保護の概念と戦略

セキュリティの最終的な目的は、データを守ることです。しかし、すべてのデータを同じ強さで守るのは現実的ではありません。そこで、データを種類と重要度で分類し、置かれている状態ごとに適切な保護手法を選びます。試験では「この状況に最も適した手法はどれか」という形で手法の違いが問われます。

データの種類と分類

• 規制対象データ（Regulated）: 法律で扱いが定められたデータ。個人情報、医療情報、カード情報など。
• 企業秘密（Trade secret）: 製法やレシピなど、秘匿することで競争力の源泉となる情報。
• 知的財産（Intellectual property）: 特許、著作物、ソースコードなど。
• 法的情報（Legal information）: 契約書や訴訟関連の文書。
• 財務情報（Financial information）: 決算、取引記録、口座情報。
• 人間が読める／読めないデータ（Human- and non-human-readable）: 文書や表と、バイナリや機械向けデータ。

分類（Data classifications）は重要度による格付けです。公開（Public）は誰が見てもよい情報、プライベート（Private）は個人に関する情報、機密（Confidential）は社内や関係者に限る情報、センシティブ（Sensitive）は漏れると大きな損害になる情報、制限付き（Restricted）はごく限られた人だけがアクセスできる情報、クリティカル（Critical）は事業継続に不可欠な情報です。分類が決まると、必要な暗号化や権限の強さも決まります。

データの 3 つの状態

データは常に 3 つの状態（Data states）のいずれかにあります。保存中（At rest）はディスクやデータベースに置かれている状態で、ディスク暗号化やアクセス権限で守ります。転送中（In transit）はネットワークを流れている状態で、TLS や IPsec で守ります。使用中（In use）はメモリ上で処理されている状態で、暗号化が最も難しく、メモリ暗号化や厳格なアクセス制御で対処します。

データがどの国に置かれているかも重要です。データ主権（Data sovereignty）とは、データは保存されている国の法律に従うという考え方で、EU の個人データを域外に置けないといった制約を生みます。これに対応する手法が地理的制限（Geographic restrictions）で、位置情報（Geolocation）をもとに保存場所やアクセス元を制限します。

保護手法の使い分け

このほか、セグメンテーション（Segmentation）で重要データを別ネットワークに隔離する方法や、権限の制限（Permission restrictions）で必要な人だけがアクセスできるようにする方法も、データ保護の基本です。暗号化しても、誰でも復号鍵を使えるなら意味がないため、手法は組み合わせて使います。

レジリエンスと復旧の重要性

どれだけ防御を固めても、機器は壊れ、災害は起き、人は休みます。レジリエンス（Resilience）とは、問題が起きても事業を止めず、止まってもすばやく元に戻せる力のことです。このレッスンでは、止めないための「冗長化」と、戻すための「復旧」の両方を学びます。

高可用性と冗長化

高可用性（High availability）を実現する代表的な手法が負荷分散（Load balancing）とクラスタリング（Clustering）です。負荷分散はロードバランサが要求を複数のサーバに振り分け、性能向上と障害時の迂回を同時に実現します。クラスタリングは複数のサーバを 1 つのシステムとして動かし、1 台が故障しても別のノードが処理を引き継ぎます（フェイルオーバー）。

単一の事業者や製品に依存しないことも重要です。プラットフォームの多様性（Platform diversity）は異なるベンダーの製品を組み合わせて同じ脆弱性で全滅するのを防ぎ、マルチクラウド（Multi-cloud systems）は複数のクラウド事業者を使って特定事業者の大規模障害の影響を限定します。地理的分散（Geographic dispersion）は、拠点を離れた地域に置いて同じ災害で同時に失われないようにする考え方です。

代替サイトの種類

どのサイトを選ぶかは、許容できる停止時間とコストのバランスで決まります。事業継続（Continuity of operations）の計画では、キャパシティプランニング（Capacity planning）として人員（People）、技術（Technology）、設備（Infrastructure）のそれぞれに余裕があるかを確認します。特定の 1 人しか復旧手順を知らない状態は、人員の単一障害点です。

バックアップ

バックアップ（Backups）は復旧の土台です。方式には、すべてを毎回取るフル、前回のフル以降の変更をすべて取る差分、前回のバックアップ以降の変更だけを取る増分があります。差分は復元がフルと最新の差分の 2 セットで済み、増分は容量が最小ですが復元にすべての増分が必要です。

• オンサイト／オフサイト（Onsite/offsite）: 同じ建物に置くと災害で一緒に失われるため、遠隔地にも保管する。
• 頻度（Frequency）: 取得間隔が長いほど失われるデータが増える。
• 暗号化（Encryption）: バックアップ媒体が盗まれても読めないようにする。
• スナップショット（Snapshots）: ある時点の状態を丸ごと記録。仮想マシンやストレージで素早く戻せる。
• レプリケーション（Replication）: 別のシステムにリアルタイムで複製し続ける。
• ジャーナリング（Journaling）: 変更の記録を逐次保存し、バックアップ後の変更も復元できるようにする。
• 復旧（Recovery）: バックアップは「戻せること」を定期的に試して初めて意味を持つ。

電源と復旧計画のテスト

電源（Power）の冗長化では、無停電電源装置（UPS）が停電直後の数分間をバッテリーで支え、電圧変動からも機器を守ります。長時間の停電には発電機（Generators）が対応しますが、起動して安定するまで時間がかかるため、UPS と組み合わせて使います。

復旧計画は作っただけでは機能しません。テスト（Testing）には段階があり、机上演習（Tabletop exercises）は関係者が集まってシナリオに沿って手順と役割を議論するもので、本番に影響を与えません。シミュレーション（Simulation）はより実践的に訓練し、フェイルオーバー（Fail over）テストは実際に予備系へ切り替えます。並行処理（Parallel processing）は本番を止めずに復旧システムを並行稼働させて検証します。