真正性をつつく5 - アクセスポイントを決定しよう

　この記事は、真正性をつつく4の続きです。前回は、アクセス経路の特定について解説しました。今回は、アクセスポイントの決定について解説します。
　アクセス経路を考えると、非常に多くの組み合わせがある事に気付くと思います。ですが、真正性は経路の組み合わせで判定しません。この点に注意が必要です。分かり難いと思いますので例を挙げます。
　自称・営業部長山田太郎氏が受付で「俺は社長の許可を得てここにきている。早く通せ！」と言いだしたとします。この場合、受付嬢はそのまま通すべきなのでしょうか？答えは否です。たとえそれが本当であったとしても、誰かが認証しているのだから大丈夫だと考えるのは早計です。何故ならば、嘘の場合は真正性をチェックしていない状態になってしまうからです。この場合、受付嬢は理由に関わらず真正性をチェックするべきです。
　では、どこで真正性をチェックするのでしょうか？それを考えるのが、今回解説するアクセスポイントの決定作業です。アクセス経路には複数の組み合わせが考えられますが、認証をするオブジェクトは自ずと決まります。例えば、ガードマン、受付嬢、指紋認証端末などです。これらの認証オブジェクトを、どの様なアクセス経路を通ろうとも真正性をチェックできるように配置します。この配置した場所がアクセスポイントとなります。アクセスポイントは多ければ多いほど真正性が高くなりますが、それに比例して真正性をチェックされる側のストレスが増加します。また、アクセスポイントの増加に伴いコストも増加します。従って、保護対象となる情報資産の価値に見合ったアクセスポイントを設定するべきです。
　アクセスポイントを設定したら、アクセス経路と照らし合わして、真正性のチェック漏れがないか慎重に確認しましょう。クラッカーは一番弱い場所を選びます。真正性を逃れるルートがあるのならば、絶対にそこからクラック（情報資産の破壊／窃盗などの犯罪行為）されると考えましょう。クラッカーは自分よりも賢いと考えて、セキュリティ対策を練りましょう。