ネットワークセキュリティを考えるときの補助線

"080/365: Network Security" by Lucas Maystre is licensed under CC BY-SA 2.0

 

 

色々なネットワーク関連のセキュリティ製品が、色々な会社から出ています。

正直に言って、専門家の端くれである私でも宣伝文句で何を言っているのか、何を対象としているのかあいまいな書き方でよくわからない場合も増えています。（ほとんどそれだと思います。売っている側も、自分が売っているものを理解してないのではないかと思うくらいです。曰く、End to End？なんじゃそりゃってもんです。それに、ユーザのロールベースと、端末さえ押さえれば大丈夫みたいな、冗談で言っているのかとしか思えない提案を、誰でも聞いたことのある名前の大会社が、大真面目に言ってきます。しかも、経営層がそれに騙されるからたちが悪い。大丈夫なのでしょうか？）

 

こういう時にいやしくもネットワークセキュリティに関する専門家であれば、OSI参照モデル（参照：WikiPedia）のどこに相当する製品あるいは取り組み（業界では、ソリューション：問題を溶かす解決するものの意味といいます）なのか、明確にすべきです。

 

逆に言えば、下記の表のどこのソリューションであるかがわかれば、自社にとって必要か不要か、今までのものとの二重投資なのかがわかります。

 

OSI参照モデル
7　アプリケーション層
　　所謂WEB、FTP,メール配信などはここです。
6　プレゼンテーション層
　　使用しているコードと変換。
　　（EUC/ASCII/ETF8などと、相互変換）
5　セッション層
　　所謂プロトコール。
　　通信プログラム間の通信の開始から終了まで。
4　トランスポート層
　　ネットワークの端から端までのエラー処理。
3　ネットワーク層
　　通信経路の選択（ルーティング）と、中継。
2　データリンク層
　　直接的（隣接的）に接続されている通信機器間
　　の信号の受け渡し。狭い意味でのプロトコル。
1　物理層
　　コネクタの物理形状や、光や銅線などの材質。

 

 

実は、上記7層以外に10層モデルを提唱する人もいます。

 

8　ユーザ層
　　個人的なITリテラシーや、信条の問題。
9　組織とお金層
　　組織的に受け付けない、お金がないなど。
10 政治と宗教
　　社内の力関係、会社を縛る信条など。

 

実は、セキュリティを考える上でこの第8層から第10層というのも大きな課題になります。
そのため、セキュリティの専門家としては拡張したOSI参照モデルの10層で物事をとらえる必要があります。

 

このような指摘はあまり見かけないような気がするので、整理して考えるのに便利なのでご紹介しました。