文化の違い、技術のギャップ

M&Aに伴うセキュリティ問題を切り抜けるために

合併のプロセスが始まると同時に、組織は脆弱になる可能性がある。それを切り抜けるためにはどんなセキュリティ問題を念頭に、どう計画を立てればいいのか。

公開 2007年09月20日 05時00分

更新 2012年09月04日 19時30分

著者

Ed Skoudis

[TechTarget]

印刷する

　最近のビジネスニュースをチェックしたことがあるだろうか。M&Aが頻繁に起きている。予想外の案件もあり、特に情報セキュリティ市場で多い。数多くの情報セキュリティ担当者が、2つの別々の会社を1つに融合させるという気の遠くなるような作業を強いられているのだ。しかし、もし統合のプロセスを適切に処理しなければ、組織のセキュリティ態勢に深刻な影響を及ぼしかねず、合併後の会社のセキュリティが合併前より低下してしまうことさえある。

　M&Aを含めてどんな形であれニュースで注目を集めた会社は、脆弱性探しやフィッシングといった悪意ある行為のターゲットになることが多い。M&Aでは合併によって自分の職が脅かされるかもしれないとの不安が社内で生じ、内部からの脅威が助長されることもある。その結果、大切な情報をネットワーク上に置かなくなるところもあるかもしれない。セキュリティチームが合併の政治力学を読み取り、会社を守る最善の策を検討する中、こうしたすべての要因が課題として降りかかってくる。

　企業が合併時の混乱を切り抜けるためには、次に挙げるセキュリティ問題を念頭に置き、それに従って計画を立てる必要がある。

情報セキュリティポリシーの調整

　合併しようとする組織間では、ほとんど必ずと言っていいほど情報セキュリティポリシーの不一致が深刻な問題になる。合併計画立案の過程でこうしたポリシーを検討し、組み合わせる必要がある。双方が自分たちのガイドラインに固執していたのでは、このプロセスはうまくいかない。管理職に相談してリーダー役を1人選び、微妙な政治問題についてはその人物に決定を委ねることだ。一方の組織の方が他方よりも徹底したポリシーを持っていることも多い。困難な決断を下すことになっても、セキュリティ強化につながる方を選択することが重要だ。

　ポリシーが確定したらギャップ分析を行い、新しいポリシーに照らして両組織を評価する。順守のためにプロセス上、技術上の変更が必要になる個所を記したロードマップを作成する。

　ポリシーや技術に手を加えるのは時間がかかるものだ。ポリシーの調整と評価の作業はできるだけ早く始めることが大切だ。できれば合併の正式発表前から着手するのが望ましい。しかし残念ながら、情報セキュリティ担当者は自分の会社の合併についてマスコミ報道で知ることがほとんどであり、普通は発表前のプランニングは不可能だ。

　ポリシー調整のプロセスでは、組織を一本化して攻撃に備えるため、直ちに対応しなければならない技術分野が幾つかある。合併のプロセスが始まると同時に、組織が脆弱になる可能性があるからだ。

ネットワークアーキテクチャの理解

　まず、両組織のインターネットとビジネスパートナーの接続状況を示したネットワークアーキテクチャの構成図を入手する。両社とも社内のDMZおよび重要な社内ネットワークを、侵入検知システム（IDS）センサーで監視できることを確認する。合併の際には両社に追加センサーを導入し、不正侵入の痕跡がないかどうかを監視する。最も発生の可能性が高い攻撃を検出できるよう、Windowsの問題、Webアプリケーション攻撃など特定の環境でよくある種類の攻撃にスポットを当てる。情報セキュリティ担当者とシステム管理者を両社から任命し、IDSアラートを分析してシステムが攻撃されていないかをチェックさせる。

無線LAN導入に関する決定

　もし一方が無線LANを多様していてもう一方がそうでない場合、両社の弱点のプロファイルには大きな違いがあるかもしれない。無線LANに馴染んできた組織からワイヤレスを取り上げるのではなく、ワイヤレスインフラのセキュリティ設定をチェックしよう。暗号化されていなかったり認証が不十分な場合、WPA2などの改善された技術で強化することを検討するといい。

USBに関する決定

　社内のデータセキュリティ違反といった内部からの脅威に対抗するため、ノートPCのUSBを無効にする手もある。ただ、この手段を選ぶ前に、これによって生じる政治的、機能的デメリットについて検討することも大切だ。

マルウェアの封じ込め

　両社ともウイルス対策とスパイウェア対策の定義ファイルが最新であることを確認する。また、システムが感染する確率を最小限に抑えるため、重要なパッチを適用してシステムが最新状態に保たれていることも確認しよう。

従業員教育

　この重要なときに、従業員の情報セキュリティ教育を検討しよう。情報セキュリティポリシーを統合したら、続いて徹底した啓発プログラムを実施する必要がある。ポリシーの完成前であっても、合併した会社はターゲット型フィッシングの危険に的を絞った短時間の啓発プロジェクトを検討した方がいい。回覧式のチラシ、カフェテリアの卓上掲示板、お知らせ電子メールなどを効果的に使えば、「リンクを何でも信頼してはいけない」「電子メールアドレスの出所は常に確認しなければいけない」といった注意を促すことができる。電子メールに添付されている実行可能ファイルは、ZIPファイルに含まれているものであっても決して実行してはいけないと従業員に教えることも重要だ。

ファイアウォールとIDSツールの監視

　合併が完了したら、セキュリティチームはインターネット経由で外部に転送される大量のデータに目を向ける必要がある。従業員の「標準的な」インターネット利用パターンに応じて、例えば100Mバイトや1Gバイトなど、特定の容量以上のファイルのFTP／HTTP転送をスキャンする設定にしておいた方がいい場合もある。違反があれば、大掛かりなデータ流出の兆候かもしれない。Webプロキシのログも監視し、攻撃ツールがダウンロードされ、社内で使われていないかどうかをチェックしよう。

　結局のところ、合併に伴う情報セキュリティ問題を避けるためには次の2点が目標となる。

ポリシー、プロセス、技術の長期的な配置
一連の手早い技術的防御措置に支えられたポリシーの強化

　この二面戦略をうまく実行すれば、合併した会社がさらされるリスクは大幅に低減できる。

本稿筆者のエド・スカウディス氏はSANSインストラクターで、情報セキュリティコンサルティング企業Intelguardiansの創業者兼上級セキュリティコンサルタント。ハッカー攻撃と防御、情報セキュリティ業界、コンピュータプライバシー問題を専門とする。著書に「Counter Hack Reloaded」「Malware: Fighting Malicious Code」がある。2004、2005、2006年にWindows Server Security分野のMicrosoft MVPに選ばれ、Honeynet Projectにも参加している。

印刷する