[P2P]P2Pソフトとセキュリティポリシ

P2Pソフトの代表例ファイル交換ソフトで多くのセキュリティ被害が発生している。特にP2Pソフトならではのセキュリティインシデントとして、自分の情報を掲示板やP2Pネットワークにアップロードすることが挙げられる。Winnyではアップロードされた情報が消去できないことから事態を深刻化させている。ファイル交換ユーザはウィルスソフトを利用する事が当たり前のことになっているだろう。もっともウィルスソフトを使用するのはPCユーザとしては当然のことでないといけないのだが。。。

ところで、企業ではセキュリティに対する関心の高さからセキュリティポリシを作成しているところが大分多くなっていると思う。P2Pソフト利用等においてセキュリティポリシは変化するのだろうか？ここではセキュリティポリシでも特に下位レベルのセキュリティスタンダートやプロシージャについて注目してみよう。

１）ソフトウェア利用の許諾
P2Pソフトは何もファイル交換だけでない。IMやSkypeなど有益なソフトも含まれる。このような利用についてはシステム管理者の許諾を必要とすべきである。P2Pソフトの利用をシステム管理者が把握することにより、そのソフトが重大なバクがあったり、不正利用が検知された場合利用者に伝える目的もある。ただし、この条文自体はP2Pソフト以外でも当てはめるべきである。また、現時点で承諾されていないP2Pソフトをやむ得ず使いたい場合には、費用対効果など客観的なデータを出して、管理者に申請する方がよいだろう。（管理者はそのアプリに対するリスクを検討する必要がある。）

２）ウィルス対策ソフトのインストールの義務及びパターンファイルの更新
もはや言う事は無いだろう。P2Pソフトを利用するに関わらず周知・実行を徹底すべき事項である。例えばメールについてウィルスGW（ゲートウェイ）で駆除してもP2PのIMを使ってファイルを交換し、それで感染してしまう可能性がある。ウィルスGWを過信せず、クライアント毎にウィルスソフトをインストールすべきだ。また定期的にパターンファイルのバージョンが最新かチェックする必要がある。

３）アプリケーションソフトのパッチ等適用、バージョンのチェック
古いアプリケーションの場合、重大なセキュリティホールが存在する場合がある。その場合には速やかにパッチを適用すべきである。また定期的に公式ホームページを訪れ最新（安定）バージョンのチェックをし、使用に障害が無ければバージョンの新しいものに更新する。

４）トラフィック、ログの監視
システム・ネットワーク管理者は許諾されていないP2Pアプリケーションの利用によるリスクを抑えるために、トラフィック、プロキシのログを監視し、許諾していないP2Pアプリケーションについてはその利用者に注意喚起、あるいはプロキシ、ファイアウォールなどで通信をブロックする。

５）最新セキュリティ情報の把握
システム・ネットワーク管理者はセキュリティに対する最新情報について収集・分析をする。場合によってはシステムの変更・ユーザへの周知を行う。

６）ユーザへの教育・啓蒙
P2Pソフトを使った場合のリスク・責任について定期的に行う。

７）罰則の規程
これはセキュリティポリシに書く文面であるが、上記に書いたセキュリティスタンダート、セキュリティプロシージャに違反した場合には社内規定により処罰される。

ざっと挙げただけでもこんなものである。ところで、良く見るとこのような文面はP2Pアプリケーションに特化したものでなく、セキュリティポリシとしては一般的なものである。現時点で私が考えてみると、P2Pアプリに特化してセキュリティ事項を文面に書く必要はないと思っているのだが、皆様はどのように考えているだろうか？

逆にセキュリティポリシ等でP2Pアプリについて規定すべきだと考えている方はコメントを頂きたい。