人力検索はてな
モバイル版を表示しています。PC版はこちら
i-mobile

IT内部統制(J-SOX法)を求められたり、プライバシーマークを取得もしくは取得を目指しておられる情報システム担当の方々に質問いたします。

それぞれの監査基準の中には情報システムに対する「ウィルス対策」が必ず含まれています。

クライアント側に対してはアンチウィルス対策ソフト(Symantec Antivirus等)の導入を施していますが、外部に公開しているWebシステムに対して具体的にどのような対策を採ればいいか悩んでいます。

WebサーバやMailサーバなどフロントがLinux、データベースサーバがWindowsという構成です。

Linuxサーバに対するウィルス対策については何割かの企業が未対応という記事も見たことがありますが、実施しないにしても正当な理由が無いと通用しない話ではないかと考えています。

最初にご回答いただける方を限定しましたが、対象でない方であっても広くご意見をいただければ幸いです。

●質問者: t-suguyaruka
●カテゴリ:コンピュータ インターネット
✍キーワード:Linux SOx法 Symantec Web Windows
○ 状態 :終了
└ 回答数 : 3/3件

▽最新の回答へ

1 ● kurukuru-neko
●27ポイント

>Linuxサーバに対するウィルス対策

主体は不正侵入防止対策がウィルス対策より

範囲が広いからではないでしょうか。

サーバーが適切に管理・運用されているか?

・不正侵入をどのように防止しているか

・不正侵入の検出はどのようにするのか?

・不正侵入された場合の復旧は?

・不正侵入された場合の、情報の保護は?

・セキュリティーホールなどの対策方針?

・Firewall

・セキュリティー監査(外部・ツール)?

・十分な性能維持

IDS・IPS

http://www.atmarkit.co.jp/channel/ids/ids.html

http://www.atmarkit.co.jp/flinux/rensai/security07/security07.ht...

http://www.f-secure.co.jp/

◎質問者からの返答

ご回答ありがとうございます。

不正侵入防止対策ありきのウィルス対策であるということは理解できます。

>何割かの企業が未対応

ということは残りの企業は対策を採っているということになるのですが、バックに控えているDBサーバも含めて対策の実情をご存知であれば情報として頂戴できれば幸いです。


2 ● kurukuru-neko
●27ポイント

知っている範囲では

ウィルス対策に限定すると感染原因となる

導入するソフト・独自開発するプログラムを

事前にウイルスチエックする位

◎質問者からの返答

ご回答ありがとうございます。

>ウィルス対策に限定すると感染原因となる

確かにそうですね。

ウィルスは外部よりも内部のほうを気にしたほうがいいですね。仕組みの導入もありますが、瀬戸際で防ぐことも重要な対策ですね。

近視眼的にならないように気をつけます。


3 ● l07steps
●26ポイント

情報システム担当ではないですが、回答させてください。


Linuxサーバは「ウイルス対策」より「不正アクセス対策」の方に必要性を感じます。

「ウイルス対策」は「不正アクセス対策」を行った次に考えるものではないでしょうか。


私が、サーバのウイルス対策の必要性が低いと思う理由は以下の通りです。


ウイルスに感染するにはウイルスプログラムを実行させないといけませんが、

個人で使うような端末と比べて、サーバは人を介してプログラムを実行する機会は少ないはずです。

サーバを狙うならわざわざウイルスを使わず、不正アクセスを狙うと思います。


Windows を守るための Linux にインストールするアンチウイルスサーバみたいなものは良く目にしますが、

Linux を守るアンチウイルスソフトはあまりありません。(ウチの Linux クライアントには AntiVir をいれています。)

また、さっきセキュリティベンダのウイルスデータベースを "Linux" で検索してみましたが、

大手でないとあまりヒットしませんでした。


アンチウイルスソフトにもリスクはあります。

誤認識や、ファイルの削除についてです。

プログラムの設定や運用で回避できると思いますが、ソフトへの過信は被害を広げると思います。

◎質問者からの返答

ご回答ありがとうございました。

ウィルス対策の必要性が不正アクセス対策のそれより低いというのは理解できました。

ご記載いただいた内容については対策検討の際に参考にさせていただきます。

ただ、質問に記載させていただいたように、このような状況とは別に監査基準としてウィルス対策を実施している/していないが一様に問われています。

このギャップを各企業ではどのように解釈してご対応されているのか、ご存知であればお聞かせください。

よろしくお願いいたします。

関連質問


●質問をもっと探す●



0.人力検索はてなトップ
8.このページを友達に紹介
9.このページの先頭へ
対応機種一覧
お問い合わせ
ヘルプ/お知らせ
ログイン
無料ユーザー登録
はてなトップ