オンライン攻撃者は、社外で仕事をする「リモートワーカー」が使うモバイルデバイスが、企業に攻撃を仕掛けるための格好の糸口になることに気付きつつある。多くの企業では、ノートPCなどのデバイスが企業ネットワークにアクセスする前に適切なチェックを受ける仕組みを整備していないためだ。

　これは調査会社の英ダイナミックマーケッツが実施した調査の結論だ。この調査は構成管理／セキュリティ管理製品ベンダーの米ランデスクソフトウェアからの委託により、昨年11月に米国、英国、ドイツ、フランスの500社のITマネジャーを対象に実施された。

　「調査結果で驚いたのは、基本的なセキュリティ手続きによって防げるウイルスやワームの影響をいまだに受けている企業が多いことだ」とランデスクのセキュリティソリューションマネジャー、ケビン・オーガー氏は語る。「ITセキュリティ支出が増加しており、企業は脅威に対して警戒しているにもかかわらず、こうした状況になっている」

　ランデスクが言うところの不適切なセキュリティ対策のせいで、回答者の65％以上が継続的にセキュリティ侵害を受けており、ネットワークのセキュリティを確保するためにウイルス対策ソフト以外の新たな方法を探している。また、回答者の60％が、自社では、デバイスがネットワークに接続しようとする際にスキャンをかけることも、自社のセキュリティ要件を満たさないシステムを隔離することもできないのが現状だと答えている。

　さらに、リモートワーカーや外回り中心の社員がいる企業に属す回答者が全体の85％以上を占めるものの、回答者の46％は、ノートPCやモバイルデバイスにセキュリティ設定を適用できるのは、こうしたデバイスが物理的に自社の環境の中にある場合に限られると認めている。一方、回答者の23％がセキュリティパッチの適用をユーザーに依存しており、22％が、企業ネットワークの外部で使用されているがVPNで管理できないデスクトップPCやノートPCがあると答えている。

　回答者が挙げたネットワークセキュリティ侵害の原因の上位は次のとおりだった。

• 許可されていないモバイルデバイスやノートPCが企業ネットワークに接続された
• ユーザーがセキュリティ設定を変更または解除した
• パッチやウイルス対策ソフトのシグネチャが更新されていなかった

　数人のIT専門家に、経験から見てこの調査結果が実態を反映しているかを尋ねたところ、反応はまちまちだった。

　「残念ながら、この結果はかなり現実に即していると思う」とアリゾナ大学化学環境工学部のサポートシステムアナリスト、エリック・ケース氏は語る。「私がやっている対策の1つは、WSUS（Windows Server Update Services）を実行して、セキュリティ更新プログラムを承認することだ。ノートPCがネットワークに接続されると、新しい更新プログラムがノートPCに導入されるようになっている」

　だが、大学という環境では、自前のデバイスを持ち込んでネットワークにアクセスする人が多い。ケース氏の学部は学部所有のデバイスについてはセキュリティを確保できるが、個人のノートPCの場合は、同学部がいかに努力を払っても、トラブルが起こる可能性がある。「学部のものではないデバイスのセキュリティにどう取り組むかは、まだ模索中だ」とケース氏は語る。

　同氏は調査結果の傾向と一致する事例を紹介した。同氏の同僚は最近、Windows Meta File（WMF）の不具合を修正するパッチを導入していた際、メインユーザーが休暇中で放置されていたマシンを見つけた。見てみると、マウスポインタが画面上のあちこちに移動していたという。「誰かがMetasploitを使ってほかのマシンを狙っていたそうだ」（ケース氏）

　さらに同氏は、攻撃を緩和したり防ぐことはできるが、脅威が存在することに変わりはなく、攻撃が成功してしまう可能性は常にあると付け加えた。大学の環境では、IT部門が直接管理していないデバイスが多いだけに、その危険が高いという。

　法律事務所ヒンショー＆カルバートソンのネットワークシステム／セキュリティ管理者を務めるトム・クロール氏にとって、調査結果は非常にショッキングだった。

　「1つ驚いたのは、セキュリティ侵害についての設問に対する回答だ」と同氏。「回答者がセキュリティ侵害をどう定義しているのかは分からないが、42％もの回答者が、ユーザーがセキュリティ設定を無効にしたことで問題が生じたと答えている。これは納得がいかない。もしわれわれの事務所でそんなことが起きたら、頭にきてしまうだろう」

　クロール氏は、回答者が設問を誤解したのでないかと考えている。設問は、「以下の項目のうち、あなたの会社でセキュリティ侵害の原因になったものはどれですか」というもので、米国の回答者の42％は、「ユーザーがセキュリティ設定を変更または解除した」を挙げた。

　「私のユーザーの大部分は、ウイルススキャンを解除することなど考えない」とクロール氏。「もっと設問の意図をはっきりさせてほしいものだ。これがウイルススキャンについての設問なら、そう分かるように書いてあるべきだ」

　「だが、ユーザーがInternet Explorer（IE）でミスをする場合のことを指しているなら、理解できる」とクロール氏。「IEでWebページを動作させるために、ユーザーが設定を変えるという状況が考えられる。例えば、ボックスがポップアップして、『このボックスをクリック』してページの問題を解決してください、といったメッセージが表示された場合に、セキュリティ設定を無効にしてしまうことに気付かずに、ユーザーがクリックしてしまうことがありうる。

　オーガー氏は、調査の回答は、設定をうっかり変えてしまった場合のことを念頭に置いたものだろうと語る。

　「ユーザーに悪気はないのだろう」と同氏。「彼らはゲームなどの家庭用プログラムが動くように、家で構成を変更したりすることがある。それを元に戻すのを忘れてしまうのかもしれない」

　「それでも、われわれが驚かされたのは、これほど多くの企業が、そもそもそうした変更をユーザーに許していることだ」

（この記事は2006年2月8日に掲載されたものを翻訳しました。）