NAS パラメータシート（QNAP / Synology ほか）

説明

使い方

収録内容

全9シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。

前提共通設計

機器・ディスク・時刻とログ・保守の方針

設定項目（18件）

メーカー・機種・版数・配置と用途・管理アドレス・★管理者アカウント・管理画面の接続元・ディスク構成・予備ディスク・★状態の通知・ディスクの型番・時刻同期・転送・記録する内容・★ファームウェアの更新・更新の担当・設定の退避・無停電電源・監視項目・変更の記録

設計外部アクセス

★外から使う仕組みが用意されている。被害はたいていここ

項目（23件）

★インターネットからの利用・★機器が自分で開ける穴・★名前で外から辿る仕組み・★管理画面の公開・接続元の制限・★入れる回数の制限・★多要素認証・使わない機能・追加のアプリ・★更新・書き方・★この機種は「インターネットから使えること」を売りにしている。・導入の途中で有効化を促され、そのまま有効になっていることがある。・社内だけで使うなら、外に関わる機能は全部切る。使うなら理由を書く。・★機器が自分でファイアウォールに穴を開ける仕組みを無効にする。・「誰も開けていないのに外から届く」はこれが原因。・機器側とルータ側の両方で、開いているポートを確認する。・★管理画面を外に出さない。例外を作らない。・必要なら別の手段（VPNなど）で社内に入ってから使う。・★使っていない機能を止める。入れた覚えのないものが動いていることがある。・動いている機能の一覧を出して、1つずつ要否を判断する。・・更新を止めない。小規模拠点に置いた機器ほど放置される。・誰が版を見るかを決めて、監視項目一覧に入れる。

設計共有と権限

★誰でも読める設定が既定で付いていることがある

項目（23件）

★誰でも読める設定・★全員向けの権限・利用者の管理・権限の単位・★書ける範囲・★バックアップ用の共有・ごみ箱・接続の暗号化・★古い方式・記録・書き方・★導入直後に、共有フォルダと権限の一覧を出して1つずつ確認する。・作った覚えのない共有や、誰でも読める設定が入っていることがある。・「作ったものだけを見る」と、既定で用意されたものを見落とす。・★書ける範囲を用途ごとに最小にする。・端末が暗号化されると、その端末から書ける範囲が全部やられる。・読めるだけの利用者を増やし、書ける人を減らすのが最も効く。・★バックアップ用の共有は、バックアップサーバー以外から書けなくする。・人が触れる共有と同じ権限にすると、端末をやられたときに複製先も失う。・保存先設計シートと対で読む。・・利用者を本体で持つと退職者が残る。棚卸しの手順を決めるか、ADと連携する。・ADと連携するなら、ADが落ちたときに入れる手段を残しておく。・・古い通信方式は無効にする。繋がらない機器が出たら、その機器側を更新する。

設計保存先としての設計

★「別の場所にある」だけでは保護にならない

項目（24件）

位置づけ・★認証を分ける・★書ける相手・★スナップショット・★消せない期間・拠点に置くとき・★複製の監視・容量・★復元の試験・電源・書き方・★本社と認証を分ける。本社のADと連携させると、・ADをやられた時点で複製先も一緒にやられる。・「拠点に置いたから安全」ではなく、「別の認証だから残る」が守りになる。・★書ける相手をバックアップサーバーだけにする。・人が触れる共有と同じ機器に置くなら、権限は必ず分ける。・★スナップショットと、消せない期間の設定を検討する。・管理者権限を取られても消せない状態を作れるかが、最後の砦になる。・対応しているかは機種による。発注前に確認する。・★複製の成否を監視する。止まっても誰も気づかない期間ができる。・拠点に置くと、回線が切れた時点で届かなくなる。・・容量はスナップショットの分も見込む。満杯になると複製が止まる。・・ここから実際に戻す試験を行う。「置いてある」と「戻せる」は別。・・拠点は電源が弱いことがある。無停電電源の要否を判断する。

確認確認項目集

社外から実際に接続して確かめる

注意設定時の注意

この機種で実際に起きる失敗と、その回避手順