抜け漏れないウェブのセキュリティ対策を - IPAがポイント20カ条

一方「ウェブアプリケーション」を動作させる「ウェブサーバ」に関しても脆弱性対策やサーバログの確認などを求めた。あわせて不要なサービスやアカウントの利用を停止、適切なアクセス制御やパスワード管理なども求めている。

またクラウドやホスティングサービスなど利用する場合も、責任の範囲を確認し、必要に応じて自組織で対応することや、定期的なセキュリティ診断、脆弱性診断を行うよう求めている。

同機構が示したウェブサイトのセキュリティ対策におけるチェックポイントの20カ条は以下のとおり。

・公開すべきではないファイルを公開していないか
・不要となったページやウェブサイトを公開していないか
・「安全なウェブサイトの作り方」に取り上げられている脆弱性への対策を実施しているか
・ウェブアプリケーションを構成するソフトウェアの脆弱性対策を定期的に実施しているか
・不必要なエラーメッセージを返していないか
・ウェブアプリケーションのログを保管し、定期的に確認しているか
・インターネットを介して送受信する通信内容を暗号化しているか
・不正ログインの対策はできているか
・OSやサーバ、ミドルウェアをバージョンアップしているか
・不要なサービスやアプリケーションはないか
・不要なアカウントが登録されていないか
・推測されやすい単純なパスワードを使用していないか
・ファイル、ディレクトリへの適切なアクセス制御を実施しているか
・ウェブサーバのログを保管し、定期的に確認しているか
・ルータなどを使用してネットワークの境界で不要な通信を遮断しているか
・ファイアウォールを使用して、適切に通信をフィルタリングしているか
・ウェブサーバやウェブアプリへの不正な通信を検知、遮断しているか
・ネットワーク機器のログを保管し、定期的に確認しているか
・クラウドなどのサービス利用において、自組織の責任範囲を把握し、必要な対策を実施できているか
・定期的にセキュリティ診断、監査しているか

（Security NEXT - 2018/12/14 ）ツイート

抜け漏れないウェブのセキュリティ対策を - IPAがポイント20カ条

関連リンク

PR

関連記事