「ファイアウォールなしで重要なサーバーを運用するのは普通？」記事へのコメント

セキュリティ、セキュリティもいいけれど

[reichi (5718)]

セキュリティが高ければそりゃいいんだとは思うけれど、
意識するあまり、運用コストが高くついてしまう場合がある。
守るべき情報が正しく守られるなら、それ以外の部分は必要以上に厳しくするとコストの上昇を招くだけで、費用対効果(※)が合わなくなる時がある。

※ここで言う費用対効果は、漏洩した時の被害で発生する信頼の回復の費用も含む。

クライアントセキュリティとサーバ(業務データ)のセキュリティは分けて考えたいなぁ・・・。
それにちゃんとファイアウォールを考えるなら、サーバとクライアントの間に専用のセキュリティアプライアンスなりWAFなりを設置するのがいい(楽)と思う。

#ファイアウォールがあれば安心って考え方がちゃんちゃらおかしい。
#L3のファイアウォール程度なら、正直アプリの正常通信に見せかける攻撃にはほとんど意味が無い。
#ベネッセだって結局ソーシャル？権限を持った人間の問題だったし。

Re:セキュリティ、セキュリティもいいけれど

[mtdra (35226)]

> #ファイアウォールがあれば安心って考え方がちゃんちゃらおかしい。

質問者の発言も「～べきだと教え込まれている。」程度なのも困ったもの。
理由などの説明が有れば答えも考えられるのだが。
そして、理由はそれぞれなのだから「普通」かと聞かれても答えに困る。

Re:

[Anonymous Coward]

この質問者もそうですが知識のない人ほど怖がって「なんでもかんでもやるのが当然」と言う傾向がありますね。

Re:

[Anonymous Coward]

逆に知識があるからこそ、やるのが当然という人もいるわけで。
そこだけで判定はできないでしょう。

Re:

[Anonymous Coward]

知識はあっても経験はなさそうだよね

Re:

[Anonymous Coward]

セキュリティの原則の中に「最小限の原則」というのがある。

つまり、この場合なら、システムへのアクセスは可用性を損なわない最小限にしなければいけない　という風に使う。
普通か、と聞かれれば”普通だ”と答えるよ、自分は。

原則だから、絶対やれ、ということではなく、FW適用はやるのが普通でバイパスするには理由が必要。ということ。

Re:

[Anonymous Coward]

システムにアクセスするＦＷは動かさない方がより最小限ですよ。