評価基準 No.4-5-1-9
ネットワーク境界防護

「それぞれ専用のネットワークセグメントに設置し、セグメント内外のアクセスを必要最小限に限定する」とは、具体的にはどのような状態になっていればよいか？

・サーバ内外のネットワークについて、物理的又は論理的な制御を行う必要がある。前者は、文字通り、ネットワーク回線が分かれていることである。後者は、回線上は同一だったとしても、その中を流れるデータが仮想的に別区画として管理されている状態である。

・いずれの方法をとった場合においても、ネットワーク図等においてどのような制御又は分離を行ったかを把握していることが望ましい。

＜物理的な制御の例＞

-重要な機密情報を扱うサーバについて、通常のネットワークとは別の回線・機器により構成する。この場合において、通常のネットワークとの間で通信を行う必要があるときは、その境界にファイアウォール等を設置し、内外の通信を必要最小限に制御する。

＜論理的な制御の例＞

-社外公開サーバは DMZ と呼ばれる別セグメントに配置する。

-同一の物理回線上において、VLAN 等により通信を分離する。

-クラウドサービス（IaaS/PaaS）上にサーバを設置する場合は、仮想ネットワーク（VPC 等）やサブネットの分割により専用のセグメントを構成し、セキュリティグループ、ネットワーク ACL、クラウド事業者が提供するファイアウォールサービス等により、セグメント内外のアクセスを必要最小限に制限する。

-サーバや仮想マシン（VM）などの単位で通信を制御し保護する（マイクロセグメンテーション）。