プライバシーマークコミュのレンタルサーバとルータ間の回線の弱さを指摘されました。

皆さん、サーバは社内などの専用サーバを使ってますでしょうか？
弊社はＧＭ○のレンタルサーバを利用してます。
前回の審査ではその会社と覚書を交わすように指摘を受けましたが、
当然そんなことをすると、他の何万社もＧＭ○は同じ対応が必要なので
覚書を交わしてくれませんでした。
（結果的には状況を報告したらＯＫになりましたが・・・。）

今回はレンタルサーバ（ＧＭ〇）・・・・・・ルータ（社内）の間の
「・・・・」部分の回線で個人情報を盗まれる心配がある！
という指摘を受けたのです。
「通常は社内にサーバを持ったり、専用回線を引いたりしてます。」
と言われましたが、
レンタルサーバを利用して回線のセキュリティを上げる方法はありますか？

コメント(8)

最初
全て
最新の40件

[1] mixiユーザー 08月24日 20:41

残存リスクで管理、でいいんじゃあないですかぃなぁ。

普通は…、て言われてもね(笑)

[2] mixiユーザー 08月24日 21:13

抜本的な解決は，残存リスク含めて十分検討する必要がありますが，

単に技術的な話であれば，
使い方によりますが，
SSLとかにしてしまえばいいんじゃないでしょうか。
ファイルサーバとしての用途に限定されますが，
レンタルサーバ側でSSL対応のWebサーバを立て，
WebDAVのネットワークフォルダにしてしまうという手です。
IPとベーシック認証でアクセス制限を施す程度ですから，
たいした手間にはなりません。
もちろんWebサーバですから，
接続もとのIPアドレス（接続失敗したものも含め）や
入力されたIDも，すべてログが残ります。

[3] mixiユーザー 08月24日 21:54

本件に限りませんが、その場で抗弁しない限り、現場で指摘された以上は、「正式な指摘」になるのでしょうね。

現場で指摘になるのかどうかは、はっきりいって審査員の力量と経験・知識によると思います。

ただし、個人情報の伝送経路におけるリスク認識と対策については、比較的指摘事項になりやすいところと思います。

全般の管理の程度との関係で、または、当該個人情報の重要度等との関係で、一概にどう、とはいえませんが、比較的簡単な対策方法もあるところですので、しっかり対策をやっていただき、より安全になってほしい、という、審査員の「親心」（？？？）ではないでしょうか。

[4] mixiユーザー 08月25日 00:17

指摘になってしまった以上、なにかしないと、審査員側も了承できないので、審査員に状況を説明して、審査員自身に「ムチャな指摘をしてしまった」ということを自覚させたうえで、レンタルサーバに置く個人情報を最小限に抑えるとか、そんな、あいまいな対策を講じるのが、いいのではないかと思いますけれど。

[5] mixiユーザー 08月25日 00:52

Web機能利用時にSSL機能を利用し、GMOにはMailでのPop over SSL、FTPでもFTP Over SSLが標準装備されています。
また、有料オプションですが、ジオトラスト独自認証SSLもサポートされています。
それを利用すれば良いと考えます。
また、レンタル・サーバーと会社間のインターネット回線をVPN接続しても良いと思われますが。

社内サーバーにする必要はないと考えます。
審査員の指摘事項は良いにしても、対策に付いては適切な提案では無いと思われます。

[6] mixiユーザー 08月25日 10:20

はると申します。
従業員が10人におらず、ファイルサーバも構築しておらず
メールもホームページのサーバもレンタルで行っており、
ご指摘の回線については指摘されておりませんでした。
考えるに通信回線盗聴のリスクとして、
半年に一回とか年一回の社内通信回線盗聴調査ということで
通信回線盗聴のリスクはさけられないでしょうか

[7] mixiユーザー 08月26日 00:29

通常よくあるのは．．．

個人情報を取得する画面を設置。
申し込み、だったり、問合せ、だったり。

で、この画面そのものは、ＳＳＬで経路保護します。

次に、ここで入力した情報を、ウェブサーバーで、メール化し、特定のメールアドレスあてに、送付します。この場合のメールサーバーは、ウェブサーバーのレンタル業者と同一が多い。従って、ここまでは、経路が、まぁ、安全です。

問題は、この後で、メールサーバーにある、メール化された情報を、どう取りにいくかです。ただのｐｏｐ３で引いてしまっては、経路の保証がありません。従って、この経路をＳＳＬ等で暗号化する必要があるわけです。

方法は、いろいろ。ウェブメールでＳＳＬ接続で引く、というのがもっとも簡単。

なんか大げさな指摘のように見えて、案外とこの程度の話、ではないのかな？？

いずれにせよ、一般論として、脆弱なところは、全体の伝送経路の中で最も弱いところに依存します。
ですので、情報の伝送経路をずっと丁寧にたどって、その中で最も弱そうなところに手当てをするのが基本中の基本です。そういう観点で、本件は、どうですか？

[8] mixiユーザー 10月03日 02:36

皆様の助言のおかげで何とか対策できました。
ありがとうございます。
回線間はＳＳＬによる暗号化で対応できそうです。
レンタルサーバーはＧＭ○から移行が必要になりました。
Ｐマークがあり、約款を公開しているところへ移行することで解決しました。

ありがとうございました。

ログインすると、みんなのコメントがもっと見れるよ