小規模ユーザーのためのセキュアサーバ導入のポイント(2) 確実なサーバ導入の手順

先週は、サーバ専用機を購入することの利点について解説した。今週は、そのサーバ専用機を使って安全で安心できるサーバ環境を作るために、どういった手順で作業を進めるかを解説しよう。

導入と環境整備

最近のサーバ専用機では、OSは最初からセットアップした状態になっている場合が多い。また、OSやアプリケーションの導入サービスを別途、オプションサービスとして用意している場合が多いだろう。サーバの据え付け、ソフトウェアの導入、その後の設定作業を自前で行うか、それともサーバ製品のベンダやシステムインテグレーターに依頼するかは、手持ちの人手と時間、それとかけられる費用を勘案して決めることになる。

ともあれ、ファイルサーバ、メールサーバ、Webサーバなど、さまざまなサーバ機能を提供するのがサーバ導入の目的だから、そのために必要なハードウェアとソフトウェアを揃えて所要の設定を済ませるのが、最初に求められる作業であることは論を待たない。

運用方針の策定

それと平行して、サーバ、あるいはネットワークの運用に関する方針・手順を決めなければならない。具体的には、以下のようなものだ。

・ユーザーアカウントやコンピュータ名の命名ルール
・ユーザーやコンピュータの増減が発生したときの追加・削除に関する申請・実行手順 ・セキュリティポリシーの策定－ これはソフトウェアの設定以前の、どういったセキュリティ対策が必要かという指針のことだ。
・想定される脅威－これが明確になっていなければ、防御策を決められるはずがない。どういった種類のサーバを運用するのか。サーバは社内に置くのか、データセンターに置くのか。拠点は1カ所だけか、遠隔拠点があるのか。後者の場合、通信手段には何を使うのか。こういった状況を洗い出した上で、それに対してどのような対策を講じなければならないかを明確にする必要がある。ウィルス対策や不正侵入対策は普遍的なものだが、状況によって必要な対策・必要ではない対策がある。
・守らなければならない情報の洗い出し－たとえば物販関連の仕事をしていれば、顧客リストの取り扱いが重要になる。単に業務上必要というだけでなく、個人情報保護の観点からも重要なことだ。これがエンジニアリング関連の会社であれば、技術情報や図面、ソースコードの類をどう護るか、という話になるだろう。
・人的要素に関する検討・対策－セキュリティ対策では往々にして「人間」が最大のセキュリティホールになる。もちろん、ソフトウェアの設定強化や不正侵入対策用のハード・ソフトを設置することも重要だが、重要な情報を記録したファイルに対するアクセス権の設定やアクセス状況の監視・記録は、その一例といえる。
・負荷状況の予測－たとえば、遠隔拠点との間を結ぶために使用したWAN、あるいはVPNの回線が遅すぎて、業務の効率を下げることになるのはよろしくない。
・サーバやネットワークの管理体制－専任の管理者を置くのか、誰かが兼任するのか。兼任の場合、どの程度の時間を割くことができそうか。あまり人手を割けない場合、外注のためにどの程度の予算を使えるか。その際の情報漏洩対策はどうするかなど、考えなければならないポイントは多い。

こうした問題への対応については、拙著「企業ネットワーク再構築ガイドライン」が、何かの参考になるかもしれない。すでにサーバやネットワークを運用している方も、これから構築・運用する方も、御一読いただければ幸いだ。

使えるリソースは活用する

前項で述べたように、サーバやネットワークの運用に際しては考慮しなければならないポイントが多い。それを、人手と時間を使って解決するだけでなく、利用可能なリソースがあれば積極的に活用して解決したい。

たとえば、OSが備えるセキュリティ関連機能の活用なら、余分な費用はかからない。次回に解説するように、Windowsサーバではウィザード形式でセキュアな設定を実現する手段を用意しているため、これを活用すれば少ない手間で安全性を高めることができる。

また、マイクロソフトのWebサイト「TechNet Online」では、Windowsサーバを活用するためのノウハウをいろいろと提供している。これについては拙著「microsoft.com大全」でも取り上げているので、参考にしていただきたい。Windows以外のOSでも、ベンダ、あるいはユーザーコミュニティなどを通じて、さまざまな情報を手に入れられる場合が多いだろう。

ウィルス対策であれば、サーバ機器のベンダがアンチウィルスソフトを一緒に提供していたり、さらにパターンファイルなどの更新をサポートするサービスを提供していたりする場合がある。こうした付加サービスの有無を判断材料にしてサーバ機器の選定を行うのも賢いやり方といえる。サーバに限ったことではないが、初期コストよりもその後の運用・メンテナンスにかかる手間やコストの方がずっと高いからだ。