2.2.4 バッチシステム利用時の注意事項

運用形態についての注意事項

本番環境のバッチシステムの構築を行うのは、管理者です。
管理者は、以下の対策を実施してシステムを構築する必要があります。
責任者は、対策を実施させる義務と責任があります。

運用形態の遵守
概要	“2.2.3 運用形態”で説明している内容は、バッチシステムでのセキュリティ確保の基本対策であり、必ず従ってください。
対策を実施しない場合の危険性	“2.2.3 運用形態”に従わない環境でバッチ実行基盤を運用した場合、ネットワーク経由のセキュリティ侵害や、物理的な資源破壊など発生する可能性があります。
危険性の具体例	イントラネット外に本番環境の業務用サーバ(バッチサーバ含む[以降も同様])を配置した場合、インターネット経由の攻撃に対して脆弱な状態となり、業務が停止する可能性があります。業務用サーバが設置された部屋への出入りが自由な場合、悪意のある者により業務用サーバ／回線などが物理的に破壊され、業務が停止する可能性があります。
対策	“2.2.3 運用形態”に従って、本番環境を構築してください。

バッチジョブ定義の登録についての注意事項

本番環境のバッチジョブ定義データベースにバッチジョブ定義の登録を行うのは、管理者です。
管理者は、以下の対策を実施してバッチジョブ定義を登録する必要があります。
責任者は、対策を実施させる義務と責任があります。

バッチジョブ定義の正当性の確認
概要	本番環境とテスト環境は別になります。バッチジョブ定義を本番環境のバッチジョブ定義データベースに登録する場合、登録操作前のバッチジョブ定義のすり替えや改ざんを防止する必要があります。
対策を実施しない場合の危険性	誤ったバッチジョブ定義が本番環境に登録された場合、不正な業務処理が実行される可能性があります。
危険性の具体例	バッチジョブ定義には、業務アプリケーションの連携方式などが定義されています。これが改ざんされて登録されることにより、不正なアプリケーションの業務への組込みなどが発生する可能性があります。
対策	テスト環境から本番環境へのバッチジョブ定義の記憶媒体での受渡しは、管理者が直接行うことでバッチジョブ定義のすり替えを防止できます。本番環境でバッチジョブ定義を登録する際に、バッチサーバ上のディスクにバッチジョブ定義ファイルを一時保存する場合は、バッチジョブ定義ファイルに不正アクセスされないように適切なアクセス権を設定してください。

退避についての注意事項

バッチ実行基盤の退避を行うのは、管理者です。
管理者は、以下の対策を実施して、バッチ実行基盤の退避を行う必要があります。
責任者は、対策を実施させる義務、責任があります。

定期的な退避の推奨
概要	業務用サーバは、定期的に退避することを推奨します。退避することで、サーバに異常が発生した場合でも退避時点の状態に復元できます。
対策を実施しない場合の危険性	何らかの原因でデータの破壊／改ざんが発生した場合、退避を実施していないとデータを復元できなくなります。
危険性の具体例	悪意のある者による攻撃以外にも、機器の故障や天災などにより、データが失われる可能性があります。このような場合には、退避として作成されたデータによる復元が必要となります。
対策	［業務データ］業務データなどの破壊／改ざんなどは、いつ発生するかわからないため、退避の実行間隔を短くすることで、より新しい退避データを復元できる可能性が高まります。退避間隔を短くすることで作業負荷が高くなるため、運用状況によって、適正な退避間隔は異なりますが、バッチシステム運用開始の直前や、定義を変更した場合などには、特に退避を実行することを推奨します。［バッチシステムの設定情報］バッチ実行基盤の設定情報やバッチジョブ定義に関しては、業務運用中に頻繁に更新されることはありません。したがって、設定や定義を変更した箇所は必ず退避してください。さらに、定期的にバッチシステムの環境設定資源（ジョブスケジューラ資源、バッチサーバ環境資源、バッチジョブ定義データベース環境資源、業務データベース資源）をすべて退避することを推奨します。

ジョブの投入／操作についての注意事項

バッチ実行基盤では、ジョブの投入／操作を受け付けるのは、バッチ受付サービスです。
ジョブの投入／操作を行うのは、管理者／運用者です。
ジョブの投入／操作を許可するユーザの設定は、システム構築時に設定します。
システム構築を行うのは、管理者です。
管理者は、以下の対策を実施して、バッチ実行基盤を構築する必要があります。
責任者は、対策を実施させる義務、責任があります。

ジョブの投入／操作についての注意
概要	バッチシステムをセキュアな状態で運用する場合、ジョブを投入できるユーザ、ジョブを操作できるユーザを限定する必要があります。
対策を実施しない場合の危険性	第三者から重要なジョブが投入されたり、重要なジョブを操作される可能性があります。
危険性の具体例	業務用データベースを更新するような重要なジョブが、だれでも実行できる場合、業務用データベースをだれでも更新できる状態と同じになります。ジョブの操作についても上記同様であり、重要な業務用データベースを更新中にジョブ操作により中断されてしまう可能性があります。
対策	業務用サーバは、“2.2.3 運用形態”に従って、バッチシステムを構築してください。ジョブの投入／操作可能なグループとして、新規にバッチ実行基盤専用のグループ(バッチシステム利用グループ)を作成し、運用者だけを登録してください。

ジョブログの確認についての注意事項

バッチ実行基盤でジョブの投入を行うのは、管理者と運用者です。
ジョブの実行が完了すると、投入時に指定した場所に、ジョブの実行結果が記録されたジョブログファイルが格納されます。
ジョブログファイルの確認を行うのは、ジョブを投入した人です。
ジョブを投入した人は、以下の対策を守って、ジョブログを確認する必要があります。
責任者は、対策を守らせる義務、責任があります。

ジョブログの確認についての注意
概要	ジョブログには、業務に関わる重要な情報が格納されています。ジョブログファイルは、運用者だけが参照可能なアクセス権が付いています。ジョブログファイルの内容を確認作業中に、画面ののぞき見により、バッチシステムの内部情報が漏洩する可能性があります。画面ののぞき見が可能な状況で、カメラなど記録用機器を利用された場合は、より情報漏洩の可能性が高まります。
対策を実施しない場合の危険性	ジョブログには、ジョブの展開結果による、業務アプリケーション情報や、業務で使用するファイル情報などの、バッチシステムの内部情報が格納されます。 telnetなどの画面に表示した、ジョブログファイルの内容が漏洩する可能性があります。実際のバッチシステムへ直接攻撃可能になるわけではありませんが、バッチシステムの内部情報が漏洩することになるため、攻撃の可能性を高めることになります。
危険性の具体例	のぞき見やカメラ撮影によって、ジョブログの内容が漏洩した場合、業務で使用するジョブの、実行する業務アプリケーション情報、ファイル資源情報の漏洩と同等の影響があります。情報の漏洩により、バッチシステムへの攻撃の足がかりとされる可能性があります。
対策	作業中の画面を参照する必要のない人物には、画面をのぞかれないように注意してください。作業用端末の周辺でのカメラ／カメラ付き機器の利用を禁止してください。作業中の端末から一時的に離席する場合、OSからログアウトするか、パスワード付きスクリーンセーバーを利用して、第三者に端末を利用されないようにしてください。

2.2.4.2 テスト環境での注意事項

テスト環境での作業者についての注意事項

テスト環境のバッチシステムの構築を行うのは、管理者です。
管理者は、以下の対策を実施して、テスト環境を構築する必要があります。
責任者は、対策を実施させる義務、責任があります。

テスト環境全般の注意事項
概要	本番環境と同等のテスト環境を構築してテストを実施する場合、テスト環境には本番環境で実際に利用されるアプリケーションやバッチジョブ定義が配置されることになります。テストの際には、これらの資産が盗難されないよう、本番環境と同等のセキュリティ対策を実施してください。
対策を実施しない場合の危険性	テスト環境のセキュリティ対策が不十分な場合、アプリケーション、バッチジョブ定義が盗難される可能性があります。これらが盗難されても、実際の本番環境のバッチシステムが攻撃されるわけではありませんが、本番環境の内部構造が漏洩することになるため、攻撃の可能性が高まります。その他の定義や、テスト用の業務データなどについては、実際の本番環境で使用されるものと、テスト環境で使用されるものとは異なるのが一般的であるため、盗難の影響は小さいと考えられます。
危険性の具体例	テスト実施時に、テスト環境への出入りが制限されていない場合、悪意のある者がテスト環境にパケットキャプチャを仕掛けることにより、回線上を流れるバッチジョブ定義を盗難される可能性があります。盗難されたバッチジョブ定義から、実際の本番環境の構成を予想され、バッチシステムへの攻撃の足がかりとされる可能性があります。テスト環境への出入りが自由で、かつテストサーバのパスワード管理も不適切な場合、テストサーバに配備されている業務アプリケーションが盗難される可能性があります。アプリケーションの仕様から、不正な業務処理を実行させるためのリクエストを類推され、実際のバッチシステム攻撃の足がかりとされる可能性があります。
対策	バッチシステムを運用する本番環境と同等のテスト環境を構築してテストを実施する場合は、セキュリティ対策についても“2.2.4.1 本番環境での注意事項”と同等になるようにしてください。

テスト環境でのデータベース利用についての注意事項

管理者は、テスト環境で使用するデータベースを構築するときに、以下の対策を実施する必要があります。
責任者は、対策を実施させる義務、責任があります。

テスト環境でのデータベース利用の制限
概要	一般に、テスト環境には特定しにくい多数の人間が接するため、テスト環境から本番環境で使用するデータベースを直接接続することは避けてください。本番環境のデータベースのセキュリティが脅かされる可能性があります。テスト環境と直接接続するデータベースは、開発用／テスト用のデータベースだけとしてください。
対策を実施しない場合の危険性	テスト環境から、本番環境のデータベースに接続する場合、テスト環境でデータベースのパスワードを扱う機会が生じることになります。テスト環境のセキュリティ対策が不十分な場合、データベースのパスワードが漏洩する可能性が高まります。
危険性の具体例	テスト時などに、テスト環境から本番環境のデータベースに直接接続し、テスト環境でデータベースのパスワードをずさんに管理した場合、実運用時に本番環境のデータベースに不正にアクセスされ、バッチジョブ定義や業務データなどを盗難される可能性があります。
対策	テスト環境と本番環境で使用するデータベースは別々にしてください。テスト環境から本番環境のデータベースにアクセスできないように構築してください。テスト環境で使用するデータベースにおいても、パスワードの設定を行い開発者以外アクセスできないように構築してください。設定したパスワードは、テスト環境の管理者が管理してください。

2.2.4.3 開発環境での注意事項

開発環境での作業者についての注意事項

バッチ実行基盤で使用する、バッチジョブ定義や業務アプリケーションの開発を行う開発環境の構築を行うのは、開発者です。
開発者は、以下の対策を実施して、開発環境を構築する必要があります。
責任者は、対策を実施させる義務、責任があります。

開発環境へ出入りする作業者の制限
概要	開発環境へ出入りする作業者が制限されていない場合、悪意のある者が開発環境へ出入りする可能性があります。開発環境へ出入りする作業者を制限できない場合は、“開発用クライアント端末についての注意事項”を必ず守ってください。
対策を実施しない場合の危険性	悪意のある者が開発環境に侵入した場合、開発用端末／回線などの物理的破壊や、開発資産の盗難の可能性があります。
危険性の具体例	悪意のある者が開発環境に侵入でき、かつ開発用端末のセキュリティ対策が不十分な場合、開発用端末から業務アプリケーションのソースやバッチジョブ定義など、開発資産を盗難される可能性があります。
対策	開発環境への出入り可能な作業者を制限するようにしてください。

開発用クライアント端末についての注意事項

バッチ実行基盤では、バッチジョブ定義を開発するための開発用クライアントとしてInterstage Studioがあります。
開発用クライアント端末を使用するのは、開発者です。
開発者は、以下の対策を実施する必要があります。
責任者は、対策を実施させる義務と責任があります。

作業中の画面ののぞき見防止
概要	本製品は、一般に漏洩の危険度が高いとされるパスワードを画面非表示とし、画面ののぞき見による漏洩を防御しています。しかし、長時間作業画面をのぞき見された場合、アプリケーションのソースや業務に関するログなど、作業中に画面表示される可能性がある各種の情報が漏洩する可能性があります。画面ののぞき見が可能な状況で、カメラなど記録用機器を利用された場合は、より情報漏洩の可能性が高まります。
対策を実施しない場合の危険性	テスト環境で扱うアプリケーションのソースやバッチジョブ定義などの内容が漏洩する可能性があります。
危険性の具体例	のぞき見やカメラ撮影により、開発中のバッチジョブ定義が漏洩した場合、バッチジョブ定義ファイルが盗難されたのと同じ影響があります
対策	作業中の画面を参照する必要のない人物には、画面をのぞかれないように注意してください。作業用端末の周辺でのカメラ／カメラ付き機器の利用を禁止してください。作業中の端末から一時的に離席する場合、OSからログアウトしたり、パスワード付きスクリーンセーバーを利用して、離席中に第三者に端末を利用されないようにしてください。

バッチジョブ定義の登録についての注意事項

テスト環境のバッチジョブ定義データベースにバッチジョブ定義の登録を行うのは、管理者です。
管理者は、以下の対策を実施してバッチジョブ定義を登録する必要があります。
責任者は、対策を実施させる義務と責任があります。

バッチジョブ定義の正当性の確認
概要	開発環境で開発したバッチジョブ定義を、テスト環境のバッチジョブ定義データベースに登録する場合、登録操作前のバッチジョブ定義のすり替えや改ざんを防止する必要があります。
対策を実施しない場合の危険性	誤ったバッチジョブ定義がテスト環境に登録された場合、不正な業務処理が実行される可能性があります。
危険性の具体例	バッチジョブ定義には、業務アプリケーションの連携方式などが定義されています。これが改ざんされて登録されることにより、不正なアプリケーションのテスト環境への組込みなどが発生する可能性があります。
対策	開発環境からテスト環境へのバッチジョブ定義を登録する場合、テスト環境の管理者が直接行うことでバッチジョブ定義のすり替えを防止できます。バッチジョブ定義登録時においても、“開発用クライアント端末についての注意事項”の対策に従ってください。