活用されないセキュリティ評価

Windowsサーバの脆弱性　その根本原因は？

Windowsサーバにまつわるセキュリティ問題が何年たってもなくならないのは、複雑な人為的問題が原因だ。

公開 2009年12月02日 08時01分

更新 2012年09月04日 17時36分

著者

Kevin Beaver

[TechTarget]

印刷する

　Windows環境のセキュリティ対策の問題点は基本的に何年も同じままであり、この先も大きく変わることはなさそうだ。これらの問題点はよく認知されており、診断ツールや簡単にできる対策もある。にもかかわらず根強く残っており、毎年相変わらずWindowsサーバのセキュリティトラブルを招いている。それはなぜか。一言で言えば、複雑な人為的問題が原因だ。以下で説明していこう。

　まず、Windowsを使っているほとんどの組織では概して、一般的なセキュリティ対策基準が採用されていない。よく知られている基準に基づいてWindowsサーバを構成するのではなく、強力なパスワードを設定し、最新パッチの適用を徹底するだけで、構成はおざなりにしている管理者が多い。「どのみちファイアウォール内のサーバなので、気に掛けるまでもない」というわけだ。

　また、往々にして、Windowsシステムの管理業務は責任の委譲がなされず、分担されていることが多い。Windows管理者はすべてのWindowsシステムを管理していることになっているが、ごく小規模な組織以外では、そうしていない場合が多い。大抵はほかの誰かもWindowsシステムの面倒を見ている。

　開発者やQAスタッフはしばしば、自分の環境を自分で管理する。物理セキュリティの担当者も同様だ。こうした場合ほど顕著ではないが、営業や研修といった部門も、独自にWindowsサーバを立てたり、処分したりすることがよくある。その結果どうなるのか。

　管理者が、「そのサーバのことは知らなかった。だからパッチが当たっていないのだ」と後で気付くことになる。

　全体的に、さまざまな関係者間で連携が取れていない。彼らはほかのことでは協調して動いているはずなのにだ。これでは、Windowsサーバが脆弱になるだけでなく、コンプライアンスに不備が生じたり、セキュリティ侵害が深刻化するなどの問題が起こる。

　さらに、セキュリティに関する統制が甘い場合も多い。これは以下のようなやりとりが行われる「キツネにニワトリ小屋の番をさせる」ような状況だ。

　経営者「われわれのWindowsサーバは安全か」

　Windows管理者「はい、もちろん」

　サーバは実際に安全なのかもしれないが、攻撃者が悪用可能な弱点を発見する強力な脆弱性スキャナや倫理的ハッキング技術を使って現状を調査しないと本当のところは分からない。

　セキュリティポリシーの策定と徹底を不適切な人が行っているケースも見掛ける。ネットワーク管理者が裁判官、陪審員、執行人を兼ねるのは禁物だ。このやり方は効果的ではなく、セキュリティ問題を軽減するよりもむしろ悪化させてしまう。適任者（法務、経営管理、人事、コンプライアンス、セキュリティ、オペレーションの担当者）で構成された小規模で機動的なセキュリティ委員会が、セキュリティポリシーに関する決定を行う必要がある。

　IT部門に混乱が生じている印象を受けることもある。担当者がどこに何があるかを把握していないのだ。その原因と考えられるのは、システムインベントリの内容やネットワーク図が古くなっていることだけではない。多くの管理者はあまりにも多くの仕事を抱えており、しかも、それらをこなすために役立つ適切な時間管理や目標設定のスキルを持っていないのだ。仕事を怠けるのは論外だが、まじめに取り組んでいても、忙しいあまり安全対策が手薄になると、Windowsサーバのセキュリティ問題が拡大してしまう。

　また、コンプライアンスの取り組みが基本的なレベルに終始している場合もある。通り一遍のコンプライアンスを確保するだけでは不十分だ。一定の要件を満たせば、「われわれはあの法律とこの規制を順守している」と主張できるが、会社のコンプライアンス責任者や監査人が非技術系で、現実的な洞察や検証を欠いたチェックリストに基づいて業務に当たっている場合、セキュリティホールが見落とされ、時間とともに増加してしまう。さらに、セキュリティテストの実施結果が活用されず、無駄になる場合も多い。多大な資金を投じてセキュリティ評価を行ったのに、リポートと提言が何年も放置されたままになり、揚げ句の果てに、評価対象の多くが変わってしまったため、再評価が必要であることに誰かが気付く──。このような失敗を経験した組織をわたしは何度となく見てきた。また、ネットワーク管理者が自分に必要な継続的研修を受けていない場合もある。RSAやCSIなどのカンファレンスやTechTargetのセミナーなどに定期的に継続して出席することは、有益なだけでなく、必須でもある。いかに優秀な人でも、日々のルーチンワークから離れて最新の問題や攻撃について学ぶことは絶対に必要だ。情報セキュリティ業務を的確に処理していくには、それが欠かせない。「予算を確保していない」「時間がない」といったよくある言い訳は、それをしない理由にならない。

　これらすべての問題の原因となる根本的な大問題は、情報セキュリティについて、そして効果的なIT運営には何が必要かについて、理解する気がないビジネスマネジャーの存在だ。こうした人々はさまざまな局面において、物事の優先順位を無視した判断、行動を取ることになる。保険に加入していないドライバーがシートベルトをしないで、あちこち車を走らせるようなものだ。彼らは怖いものはないと思っているかもしれないが、いずれはそうではないことを思い知らされ、苦い教訓を得ることになる。マネジャーには本来、このような過ちは許されない。

印刷する