「うっかりミス」による情報漏えいの脅威

　さらに注目すべきは、情報漏えいである。情報漏えいというと、最近ではWinnyなどのP2Pファイル共有ソフトを介した暴露ウイルスによるものが目立っているが、実際にはそれだけでない。企業における業務のITシステムへの依存度が増すに従い、利用者による操作ミスなどが原因で、意図せず機密情報が外部に漏れてしまう偶発的なケースも少なくない。特に、メール送信時に誤って機密情報が含まれたデータを添付してしまったケースもあるのだ。

企業がなすべきセキュリティ対策――理論編

　日ごろこのような脅威にさらされている中で、企業はどのようなセキュリティ対策をすべきだろうか。

ボット対策

　ボット感染をいち早く検知する方法として、ボット特有の動作を利用する方法がある。

　ボットは多くの場合、感染後に特定のサイトと何らかの通信を行う。この通信は、当該コンピュータ上のウイルス検知ソフトでは（隠ぺいされて）検知できない場合があるが、コンピュータ外からネットワーク機器を介して見れば、観測可能である。この特定サイトとの通信の有無を検知することで、どのコンピュータがボットに感染しているか否かを検知することができるのだ（図1）。

図1●ボット感染PCの検知

　ボット感染PCがどのサイトと通信するかについては、ウイルス検知ソフトのベンダーやセキュリティベンダーなどが情報を公開していることがあるので、それを参考にするとよい。また業務上、通信の必要のないサイトとの通信や、通信が行われることがないはずの時間帯の通信などもチェックするポイントといえるだろう。

Webベース攻撃対策

　Webを経由した脅威対策としては、ユーザーのPCが直接外部のWebサイトに接続することがないように、中継サーバ、いわゆるプロキシサーバを導入する方法が一般的だ。プロキシサーバにおいて、ウイルス検知を行ったり、ウイルスを設置しているWebサイトのURLをブラックリストとして登録し、ユーザーがアクセスできないようにする（図2）。

図2●プロキシサーバで危険なWebサイトへのアクセスをブロック

情報漏えい対策

　メールサーバ（もしくはメールゲートウェイ）において、特に添付ファイルの中身をチェックし、特定のキーワードが含まれていないかどうかを確認する仕組みを導入する方法が一般的である。

　また、外部とどのようなやりとりが行われたかをすべて蓄積しておく方法も有効である。これにより、漏えい事故発生後、どのようなデータが漏えいしたのかどうかを速やかに把握することができる。

図3●メールサーバでコンテンツチェック

企業がなすべきセキュリティ対策――実践編

　「理論編」で紹介した方法は、既存のサーバにソフトウェアを追加インストールしたり、また既存のネットワーク機器のログを解析することでも実現可能である。つまり、大きなシステムの変更や機器の入れ替えを行わなくても、ある程度は実装できる。しかしその場合、システムおよびネットワーク管理者の負担が激増することは間違いない。また、実装方法が担当者の能力や趣味に依存する部分が多くなるため、もし担当者が変わった場合に引き継ぎがうまくいかないことが珍しくない。

　そこで、これらの機能を実装し、かつ操作が簡単で導入が容易な専用ハードウェアである「セキュリティアプライアンス」の導入を検討することをお勧めする。

　セキュリティアプライアンスといえば、かつてはファイアウォールやVPN（Virtual Private Network）装置を指すことが多かったが、現在は「理論編」で紹介した機能を有したものが増えてきている。特に、現在企業で引き合いが多いのは、想定される脅威からネットワークおよびコンピュータを守るために必要なセキュリティ機能を一元化した統合型アプライアンスである「UTM（Unified Threat Management）」である。

図4●さまざまなセキュリティ機能をUTM1台で実現

　このほかにも、メールのゲートウェイとして、ウイルスチェックに加えて送信メールのコンテンツチェックを行って情報漏えいを防止する機能を持ったアプライアンスや、送受信されるメールをすべてアーカイブするアプライアンスも登場している。

　また、このようなセキュリティアプライアンスの多くがWebベースの管理インタフェースを有するなど、特別なコマンドを覚えなくても操作や設定が簡単にできるように工夫されており、管理者の負担を大きく軽減するだけでなく、担当者の変更に伴う引き継ぎも比較的容易にできることが期待できる。

　ところで、数年前からこのようなセキュリティアプライアンスは存在していたが、実は普及の度合いはそれほど高くなかった。理由として考えられるのは、

• 1台に機能を集約すると、万一故障した場合に「すべてがダウン」してしまう恐れがある
• 障害対策ために多重化したいが、コストが（一般的に）高くなってしまう
• スループットなどの性能が十分でない

といった点である。しかし、最近になって製品の性能が向上したことや、また2008年4月から実運用の始まった日本版SOX法や頻発する情報漏えい問題によって企業が情報管理やコンプライアンスの重要性を認識し始めたことを背景に、セキュリティアプライアンスの需要が急速に伸びている。

　IDC Japanが4月に発表した調査結果によると、2007年のセキュリティアプライアンスの市場規模は396億円、前年比13.8％の増加である。これは、IT市場全体の伸び率2.4％に比べて非常に高い数字である。この中で特に目立った伸びを見せているのはUTMであり、その市場規模は119億円で前年比77.8％の増加だという。低価格製品のラインアップも充実してきており、今後ますますセキュリティアプライアンスに対する需要が増していくだろう。

機器を活用するに当たっての課題、そして2つのポイント

　セキュリティアプライアンスの需要が高まっていることは確かであるし、セキュリティアプライアンスの導入で、セキュリティレベルの向上と管理者のコストがある程度削減できることも事実である。しかし重要なのは、（セキュリティ製品全般にいえることであるが）セキュリティアプライアンスは万能ではない、言い換えれば、場当たり的に導入さえすればよいというものではないということだ。

　このようにセキュリティアプライアンスを適切に運用するに当たって、まず第一に挙げられる重要なポイントは、「ソフトウェアの更新」である。

　ウイルス検知やURLフィルタといった機能は、ウイルス検知ソフトと同様に、パターンファイルなどの定義ファイルを最新の状態に維持しなければ意味がない。また、セキュリティアプライアンスに組み込まれているソフトウェア自体にセキュリティ上の問題が発見されることもある。そのような場合、速やかにソフトウェアを更新する仕組みと運用体制が必要である。

　セキュリティアプライアンスの導入に際しては、このような更新作業がどのようなタイミングで、どのように自動的に行われるのか、または手動で行わなくてはならないのかをあらかじめ確認し、適切に更新が行われるように運用しなければならない。

　次に重要なポイントは、「異常や障害が発生した際の処理」である。

　セキュリティアプライアンスは企業のITシステムの根幹を成す部分に導入されることが多いため、そこに異常や障害が発生した場合には、企業の業務全体に致命的な影響を及ぼす可能性が高い。例えば、障害発生時にネットワークが停止して業務の継続が不能となってしまうようなことがないか、また速やかに管理者が異常を検知し、対応できるかといった点が重要となってくるのだ。

　そこで、まずセキュリティアプライアンスの導入に当たっては、機能として障害時の可用性がどの程度確保できるのか、また異常時のリポート機能としてどのようなものが提供されるのかをあらかじめ確認しておくべきである。

　また、異常が発生したときのリポートがどこにどのように通知され、それを基に誰が誰の判断でどのような対応を取るのか、意思決定プロセスや対応手順（連絡手順を含む）をあらかじめ整備しておくとともに、適宜、予行演習を実施するなどして、整備した手順が適切に運用できることを確認しなければならない。

　最後に、上記以外でセキュリティアプライアンスの導入時に必ず確認しなければならない点を紹介する。

・自社にとって必要なセキュリティ機能が装備されているか

・自社のシステムやネットワークの規模、環境に適しているか（性能を含む）

・自社のセキュリティポリシーを十分に反映できるか（矛盾や不足がないか）

　まず自社にとって、どのようなセキュリティ機能が必要なのかを洗い出し、そしてどの程度の量の処理が必要になるかを見積もる。その上で、それらの要求・要件を満たす製品を選択し、自社のセキュリティポリシーと矛盾しない設定が可能かを確認する。

　以上で紹介したポイントに注意して、自社にふさわしいセキュリティアプライアンス製品を選び、うまく利用していただきたい。