こんなセキュリティの間違いをしていませんか？認証システム開発で得た教訓 - NTT Communications Engineers' Blog

この記事は、 NTT Communications Advent Calendar 2023 1日目の記事です。 はじめに こんにちは、イノベーションセンターの平木と申します。 11月1日にNA4Secプロジェクト1のチームにセキュリティエンジニアとしてjoinしまして、急遽、エンジニアブログに投稿させていただくことになりました。 今日ご紹介したいのは、前職（NTT Comの他部門）のセキュリティ機器の導入プロジェクトの話で、その中で私が遭遇した「嘘のような本当の話！？」をご紹介し、そこで得た学びをお伝えしたいと思います。 開発プロジェクトの概要 とある事件をきっかけに全社的にセキュリティ意識が今まで以上に高まって、より適切に権限をコントロールすべく、認可認証の仕組みが導入されることが決まりました。我々のチームでは、サーバネットワーク基盤を用意し、認証アプリを導入し、運用を確立することがミ

[hiroomi]

"構築開始当初で十分に仕組みやプロセスが整っておらず、当時は気づくことができませんでした。現在は運用プロセスで気づけるように"人が介入するから当然だろうし、うまい仕組みが組めるのか掘り下げてもらえると。

[mezamashi0540]

十分なセキュリティレベルがあってIPアドレスによる制限を過剰と判断するときはあるけど、その判断基準を再定義した、とかならいいと思うが、何だか泥縄だし全IP開放した奴はどう考えてのかとかグダグダ感が。

[nisisinjuku]

OKしていいんか？それ…しかも、記事にして公開していいんか？それ…(ﾟＡﾟ;)ｺﾞｸﾘ

[kenzy_n]

ありえない事は起こりえる事

[csal8040]

“全許可によるリスクを改めて評価し、対象となるネットワークはインターネット公開システムを持っていない点等を考慮し、直接侵入されるリスクが低いことから、リスクを許容することになりました”