ベル・ラパドゥラ・モデル｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. ベル・ラパドゥラ・モデル
             

ベル・ラパドゥラ・モデル

ベル・ラパドゥラ・モデル（Bell-LaPadula Model）は、コンピュータシステムにおける機密性を保護するためのセキュリティモデルであり、特に軍事や政府機関などで採用される機密情報の管理において重要な役割を果たします。1973年にアメリカの科学者デヴィッド・ベル（David Bell）とレナード・ラパドゥラ（Leonard LaPadula）によって開発されたこのモデルは、「情報の漏洩を防ぐためのアクセス制御ルール」を定義しています。ベル・ラパドゥラ・モデルでは、情報の読み取りや書き込みに関する厳格な規則を設け、特定の条件を満たしたユーザーのみが機密データにアクセスできるように制御します。

このモデルの特徴は「機密性（Confidentiality）」に重点を置いていることであり、ユーザーがシステム内の情報にアクセスできるかどうかを明確に規定しています。具体的には、「読み取り」と「書き込み」の操作に対してそれぞれ独自のルールが設けられており、これにより機密情報の漏洩を防ぐとともに、組織内の情報が適切に保護されるよう設計されています。

ベル・ラパドゥラ・モデルの特徴

1. 安全性を重視したアクセス制御

ベル・ラパドゥラ・モデルは、データの機密性を確保するためのアクセス制御メカニズムを提供します。情報が不正に漏洩するリスクを軽減することが主な目的であり、特に「情報の読み取り」と「情報の書き込み」に厳密なルールを適用することで、機密データの保護を強化します。

2. セキュリティクリアランスと分類レベル

ベル・ラパドゥラ・モデルでは、ユーザーとデータそれぞれに「セキュリティクリアランス（ユーザーが許可されている機密レベル）」と「分類レベル（データの機密レベル）」が設定されています。この2つのレベルを比較することで、ユーザーがデータにアクセスできるかどうかが決まります。

3. 機密性の「読み取り・書き込みルール」

ベル・ラパドゥラ・モデルでは、データの「読み取り（Read）」と「書き込み（Write）」に対して独自のルールが設定され、これによって不正アクセスや情報漏洩が防止されます。具体的には「単一方向のアクセスルール」が設定されており、これにより情報の機密性が保たれるようになっています。

ベル・ラパドゥラ・モデルの基本ルール

ベル・ラパドゥラ・モデルでは、情報の「読み取り」と「書き込み」に対して以下の2つの主要なルールが適用されます。

1. シンプルセキュリティプロパティ（Simple Security Property）

シンプルセキュリティプロパティは、データの「読み取り」に関するルールです。このルールでは、ユーザーは自分のセキュリティクリアランスと同じレベルか、それよりも低い分類レベルの情報のみを「読み取る（Read）」ことができます。具体的には、機密情報にアクセスするための条件として「ノーリードアップ（No Read Up）」の原則を定めています。つまり、ユーザーは自分よりも高い機密レベルのデータにはアクセスできないというルールです。

例として、機密レベルが「機密（Confidential）」のユーザーは、より高い「極秘（Top Secret）」レベルの情報を読むことは許されませんが、「公開（Public）」や「機密」といった、同じレベル以下の情報にはアクセスできます。

2. *-プロパティ（スター・プロパティ / Star Property）

*-プロパティは、データの「書き込み」に関するルールです。このルールにより、ユーザーは自分のセキュリティクリアランスと同じレベルか、それよりも高い分類レベルの情報にのみ「書き込み（Write）」が可能です。これは「ノーライトダウン（No Write Down）」の原則とも呼ばれ、機密情報が低い機密レベルのファイルに書き込まれることで情報が漏洩するリスクを防ぎます。

例えば、「極秘（Top Secret）」レベルのユーザーが「機密（Confidential）」や「公開（Public）」レベルの情報に書き込みを行うことは許可されず、逆に「極秘」もしくはそれ以上のレベルにのみ書き込みが可能です。

ベル・ラパドゥラ・モデルのメリットとデメリット

メリット

  • 情報漏洩リスクの軽減：シンプルセキュリティプロパティと*-プロパティにより、機密情報が不正に公開されるリスクを最小限に抑えることができます。
  • 厳格な機密性管理：情報の機密性に特化した設計であり、特に政府機関や軍事機関などで高度な機密データを保護するために適しています。
  • アクセス制御の簡潔化：シンプルなルールに基づいてアクセス制御を行うため、アクセス制御の運用や管理が容易になります。

デメリット

  • 柔軟性の欠如：ベル・ラパドゥラ・モデルは機密性の確保に重点を置いているため、完全性（Integrity）や可用性（Availability）を考慮していません。商業的なシステムなど、柔軟性が求められる場面には不向きです。
  • 書き込み制限による制約：*-プロパティにより、低い機密レベルへの書き込みが制限されるため、業務の効率性が損なわれる可能性があります。
  • 外部攻撃への防御が限定的：ベル・ラパドゥラ・モデルは、システム外部からの攻撃やソーシャルエンジニアリングに対しては直接的な防御手段を提供していないため、物理的なセキュリティ対策が求められます。

ベル・ラパドゥラ・モデルの利用例

政府や軍事組織

ベル・ラパドゥラ・モデルは、特に軍事や政府機関において、国家機密や極秘情報の保護に使用されています。異なるセキュリティクリアランスを持つユーザーがアクセスする情報を厳格に制御する必要があるため、このモデルが非常に有効です。

金融機関

金融機関においても、顧客データや取引情報を保護するために、ベル・ラパドゥラ・モデルを用いたアクセス制御が導入されることがあります。特定の権限を持つユーザーのみが機密情報にアクセスできるようにし、不正アクセスや情報漏洩を防ぐことが可能です。

企業の内部情報管理

ベル・ラパドゥラ・モデルは企業内の重要データ、例えば研究開発データや顧客リストなどの情報管理にも応用できます。従業員の職務レベルに応じてアクセス範囲を設定し、内部情報の流出を防ぐための管理体制が構築されています。

ベル・ラパドゥラ・モデルと他のセキュリティモデルとの比較

  • ベル・ラパドゥラ・モデルとビバスモデル：ビバスモデルは、機密性ではなく完全性（Integrity）を重視するセキュリティモデルです。ベル・ラパドゥラ・モデルとは逆に、「読み取り」と「書き込み」に関するルールを設けて、データの改ざんを防ぐことを目的としています。
  • ベル・ラパドゥラ・モデルとマルチレベルセキュリティ（MLS）：マルチレベルセキュリティは、ベル・ラパドゥラ・モデルの考え方を基盤として、さまざまなセキュリティレベルを組み合わせたシステムです。各データやユーザーにセキュリティレベルを割り当て、柔軟なアクセス制御が可能になります。

まとめ

ベル・ラパドゥラ・モデルは、機密性に特化したセキュリティモデルであり、軍事機関や政府機関、金融機関などでの重要情報の保護において役立ちます。シンプルセキュリティプロパティと*-プロパティによって情報の漏洩リスクを最小化し、システムの安全性を確保します。ただし、完全性や可用性についての考慮がないため、企業や商業システムでは他のセキュリティモデルと併用することが推奨されます。ベル・ラパドゥラ・モデルは、特定のセキュリティニーズに適した有効なアプローチを提供し、情報資産を保護するための重要な基盤となっています。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。