信用のために、検証せよ。-対人関係と、ネットワークセキュリティー-

信用のただ乗りをさせないために。

筆者は本業がコンピュータネットワーク関係で、それに付随するセキュリティー関係の対応もちょっと見てはいるのですが…

最近思ったのが、最近のネットワークセキュリティーにおけるゼロトラストモデルなどは、対人関係に置き換えると結構わかりやすいんじゃないかな、と。
また、人間関係について「情に流されて判断を間違える」ということを防ぐため、あえて客観的に考えられるネットワークセキュリティーの言葉を通じて考えるのは、ありなんじゃないかなと考えた次第です。

1.従来型セキュリティ＝境界防御モデル

昔の企業ネットワークは「社外は危険、社内は安全」という考え方。
人間関係に置き換えると、
「友達」
「家族」
「尊敬する先輩」
などなど。

ただ、これを悪い人が利用し始めると、
「家族（友達）なんだから信じてよ」
「外部の人は理解できない存在です」
となってしまう。
これが問題あるのは直感的に理解いただけるかと思います。

2.ゼロトラストモデル

ネットワークセキュリティーにおけるゼロトラストでは
「信頼はしない、検証をする」
というのが基本的な考え方です。

これを人間関係として置き換えると、
「その発言が誰であったとしても、その妥当性を検証する」
になります。
家族、友人、上司、先輩…そこに例外はありません。
検証方法としては
「主張の根拠を訊く」「第三者の検証はあるか」「その人が間違っている可能性」
あたり。

3.最小権限の原則

ユーザーやシステムにそのタスクを実行するのに必要な最低限の権限のみを与える、という考え方。

これを人間関係として置き換えると、
「信頼関係を段階的に築く」
となります。
初対面の（専門家でもない）人に金銭管理や人生相談、恋愛相談、資産状況を開示しないのと同じことと言えます。

でも、初対面で専門家でもないのに、年収や借金、家族の状況をずけずけ聞いてくる人は「管理者権限を要求する不審なプログラム」という観点で警戒すべき対象と言えます。

4.DoS攻撃／DDoS攻撃（サービス拒否攻撃）

ネットワークセキュリティではサーバーに対して相手の処理能力を超える不正なリクエストを送信し、サーバー側の正常動作を妨害させる手法。

オレオレ詐欺などに代表される、緊急性を要求したり動揺を誘ったりして相手の判断能力を停止させる試みが代表例でしょうか。
そのような試みを行ってくる時点で「相手には攻撃意思がある」という判断基準になるかと思います。

5.多要素認証（MFA）

単一デバイスの単一認証要素ではなく、知識情報（ID・パスワードなど）・所持情報（スマートフォンやICカードなど）・生体情報（指紋・顔認証など）の複数情報を組み合わせて認証する方法。

人間関係だと、一つの意思決定の判断に
「当事者」「第三者」「専門家」「統計資料」「その人の行動や実績」
など複数の系統で総合的に判断すること。

これをたった1つの方法で1点突破を試みようとしてくる相手は警戒対象、と言えるでしょう。

6.チャレンジ/レスポンス

サーバーがクライアントに対し「お題（チャレンジ）」を出し、クライアントが正しい「答え（レスポンス）」を返せるかを確認する認証手順があります。

人間関係に置き換えるなら…
相手の意見に「NO」という表明をする。
※ここでの注意は、「相手の提示した意見」のみに対し示し、相手の人格攻撃はしないこと。

ここで引き下がり、尊重できる回答をしてきたらまぁまぁ安全。
激昂するようであれば危険な関係になる…という指標に。

7.認証バイパス攻撃

1.の境界防御モデルと重なりますが、「信頼関係が構築されている関係を偽り、認証せずに信頼させる」を悪用した手法。

オレオレ詐欺でいう
「お母さん、オレだけど」
は、身元を確認せず
「信頼関係が構築されている息子だと思い込ませ、信頼させる」
という構造になります。

この対策は「発信元を確認する」「本当の親子関係でしか知らない質問をする」「いったん電話を切って折り返し電話をする」…どれも「本人の宣言した情報以外で確認する、多要素認証」であるといえます。

8.終わりに

ネットワークセキュリティの考え方を一文で人間関係にあてはめると、
「信頼は属性ではなく、継続的な検証の結果として与えるもの」
になります。

ゼロトラストの本質は「誰も信じるな」ではなく、
「信頼を禁止することではなく、検証を禁止させないこと」
です。「トラスト」という単語に引っ張られるとここを勘違いしがち。

この検証を何かしらの理由でスキップしようとする場合、スキップを試みるだけの理由がある…ということを理解すると、人間関係モデル、ネットワークセキュリティモデルのどちらかに理解がある場合、より理解が進むのではないでしょうか？

今週はここまで。
何かに引っかかったなら、フォローいただけると毎週何かしらの雑考が届きますので、何卒よろしくお願いいたします。