データダイオードによる金融ITインフラのセキュリティ確保 |OPSWAT

金融機関に対するサイバー脅威の頻度と高度化が進む中、重要なITシステムを保護するためには、従来のセキュリティ対策にとどまらないサイバー防御が求められています。重要なITシステムをサイバー脅威から守る上で、適切なネットワークのセグメンテーションは極めて重要であり、データダイオードは他のネットワークセキュリティソリューションよりも高いセキュリティを提供します。

データダイオードはもともと軍事および防衛システム向けに開発されましたが、データの整合性、機密性、規制遵守が最も重要となる金融分野で新たな重要性を見出しています。

データダイオードとは、2つのネットワーク間のデータの流れを一方通行にする、ハードウェアベースのネットワークセキュリティ装置です。ファイアウォールやソフトウェアベースのセキュリティシステムとは異なり、データダイオードはデータが一方方向にしか流れないように設計されており、リモートからの攻撃が重要なITインフラに波及するリスクを排除します。

データダイオードの一方向セキュリティポリシーはハードウェアで強制的に適用され、侵害されることはありません。一方向通信パスを作成することで、データダイオードは重要なデータ転送を維持しながら、高価値資産を安全性の低い環境から分離します。

データダイオードの2つ目の、そして同様に重要なセキュリティ上の利点は、送信元ネットワークと受信先ネットワークの間にプロトコル上の分離を強制する点にある。データダイオードはもともと、米国防総省のクロスドメイン通信要件を満たすために設計されたものであり、その要件には、送信元と受信先の間のネットワーク機密性を完全に維持することが含まれている。

ネットワーク間でTCPやUDP接続を確立するファイアウォールとは異なり、データダイオードはデータペイロードのみを転送します。ダイオードの送信側にあるプロキシソフトウェアは、データパケットのヘッダーからルーティング可能な情報を除去し、ペイロードのみをダイオードの受信側へ転送します。受信側のソフトウェアはデータパケットを再構築し、別途設定された経路を通じて、そのパケットを正しいエンドポイントへルーティングします。

機密ネットワーク、原子力発電インフラ、その他多くの重要システムのセキュリティ確保のために広く導入されているデータダイオードは、ネットワークのセグメンテーション戦略を強化し、ネットワークドメイン間の通信を安全に保つ役割を果たします。

他の業界と同様、金融機関も業務プロセスを支えるために複雑なITインフラを構築しており、そのプロセスには、社内の各部門間だけでなく、外部のパートナーやベンダーとの間でデータを共有することが含まれます。多くの場合、データの共有は一方向ですが、データを伝送するネットワークインフラは双方向であるため、組織に対して潜在的な脅威の経路が生じることになります。

データダイオードを活用してデータを安全に共有できる事例は数多くあります。以下にその一例を挙げます：

1. 機密データのバックアップとアーカイブ：金融機関は、システム障害発生時の事業継続性を確保するため、業務システムからアーカイブ施設へデータをバックアップしています。データダイオードは、ファイルの転送、データベースのレプリケーション、システムイベント情報のアーカイブ施設への移行を行うほか、アーカイブ施設からデータを安全に取得することも可能です。
2. 隔離されたネットワークへの市場データのSecure ：トレーディング環境は、ブルームバーグやロイターなどからのリアルタイム市場データフィードに依存しています。このデータは、通常は隔離されたトレーディング環境へ一方向でプッシュ配信されます。ネットワーク境界にデータダイオードを導入することで、逆方向の通信チャネルを開くことなく、最小限の遅延でリアルタイムの動画やその他の新しいフィードを転送することが可能です。
3. 規制報告：金融企業は、安全な環境から規制当局へコンプライアンス報告書を提出します。これは、双方向ネットワークを介して送信されることが多い、一方向のデータ送信です。データダイオードを導入することで、ファイルを適切な宛先に自動的に送信できるようになり、送信元の環境の完全性を損なうことなく、機密性の高い規制関連データを確実に送信できます。
4. Secure ：Splunk間レプリケーション：金融サービス業界において、Splunkは主に、バックオフィスのリアルタイム監視および分析業務を支える単一の「ダッシュボード」としてデータを統合するために利用されています。これは、セキュリティ、業務効率、および顧客体験の向上を支援するために活用されています。データダイオードを使用してSplunkへのデータ転送を保護することで、以下のような業務の完全性が守られます：
   1. トランザクション監視と不正検知：Splunkは不正検知システムに対応しています。銀行システムからのトランザクションログは、リアルタイムかつ安全にSplunkへ転送される必要があります。データダイオードは、必要なネットワークのセグメンテーションを維持しつつ、異常検知に必要なリアルタイムのデータ転送をサポートします。
   2. 規制コンプライアンス体制の健全性：データダイオードによりSplunkへのデータ転送が保護され、必要な監査が支援されます。
   3. データダイオードは、高度にセキュリティが確保されたネットワーク接続を介して、システムログやアラートをSplunkに転送します
5. 金融情報の共有：国防総省内のアプリケーションと同様に、データダイオードを活用することで、組織内の各部門間や他の提携機関との間で情報を共有することができます。データダイオードは、内部のセキュアネットワークへの侵害を防ぐと同時に、業務の継続性を完全に維持します。
6. Cloud 転送：金融機関は、データダイオードを活用することで、内部ネットワークのセキュリティを損なうことなく、処理、分析、または保存のためにデータをクラウドプラットフォームに複製することができます。