事例に見る脅威

　さて、この事例にはどのような問題や脅威が存在するだろうか。

• 業務に関係のないWebサイト閲覧（業務効率の低下）

　上記のK太の行動は、皆さんの中にも心当たりがあるのではないだろうか？　こうした事例以外にも、野球の試合結果が気になるのでちょっとだけ見てみようといったことや、週末に遊びに行く場所への経路を調べようといったことも、業務に関係のないWebサイト閲覧に該当する。図1左のグラフを見ていただきたい。「職場のPCから私的利用でインターネットを利用するか」という質問に対して、何と65％近くのユーザーが利用すると答えている。また、業務利用と私的利用の境界が分からないとの回答が8％ある。これは主にニュースサイトの閲覧などが該当するだろう。競合他社や付き合いのある会社の株価情報、自社製品が載っているブログやSNSを閲覧することも、業務の範囲なのか否かの境界が分かりづらい。

図1　インターネットの利用実態（出典：ネットスター「第五回 職場でのインターネット利用実態調査 2008年」）

　しかし、Webサイト閲覧に対して会社としてルールを設定していないと、業務効率の低下を引き起こしかねない。実際に職場のPCから私的利用でインターネットを利用すると回答したユーザーに、どの程度の頻度で私的利用するのかを質問したのが図1右のグラフである。そこでは半数以上が「ほぼ毎日」と回答している。毎日10分間インターネットを私的利用していると考えた場合、1週間で50分、1カ月で200分、1年では何と2400分（40時間）もの時間を浪費していることになるのだ。システム管理者や経営者の方はこの数値の示す意味をよく考えるべきだろう。

• Webメールを使って社外秘の情報を送付

　社外秘の情報を社内のメールアドレスから送ると、社内のメールログなどで誰が誰に、何を送ったのかを追跡されてしまう可能性がある。だからバレないように社外のWebメールを使って極秘データを送る――。自分はこのようなことをするつもりはなくても、周りの社員が絶対にやっていないと言い切れるだろうか？　K太の場合も悪気があったわけではないが、結果として社外秘の情報を外部にメールで送ってしまっている。

• 怪しいWebサイトを閲覧してウイルスに感染

　女優の秘蔵写真などが掲載されているアダルト系のWebサイトは、ウイルスが仕込まれている可能性が極めて高い。また、広告やフリーウェアのダウンロードサイトではスパイウェアなどが仕込まれているときもある。そうしたサイトの危険性を頭では理解していても、別のサイトやスパムメールから誘導される形でつい閲覧してしまうことは日常的に起こり得る。これまでの連載でも説明したが、インターネット経由でウイルスに感染する「Webからの脅威」の割合が全感染経路の90％を占めるという調査結果もあるほど、Webサイトを閲覧する際には危険が伴う。

業務効率にも役立つURLフィルタリング

　では、上記の問題や脅威に対処するにはどのような製品・対策が必要なのか。

セキュリティと業務効率の向上を両立するURLフィルタリング

　まず、不用意なWebサイトの閲覧を防ぐために必要となるのは、「URLフィルタリング」といわれる製品だ。URLフィルタリングは、Webサイトをカテゴリごとに分類したデータベースであり、閲覧許可／閲覧規制などの設定をすることができる。下の画面例のように「不法」「アダルト」「出会い系」といったカテゴリごとに制限を設けることができるので、業務への関連性などに基づいてWebサイトへのアクセスを制御する手段として有効だ。部署や担当ごとの閲覧制御も可能で、例えばマーケティング部門など掲示板の閲覧が業務上必要なメンバーは閲覧を許可するといった運用が行える。

URLフィルタリングのカテゴリと閲覧ルールの例（画面は「Trend Micro InterScan WebManager」のもの）《クリックで拡大》

　しかし、「仕事の息抜きをするためにも、休み時間くらいは自由にインターネットを閲覧させてもいいのでは？」と思う管理者もいるだろう。製品にもよるが、URLフィルタリングソフトでは閲覧規制の時間を設定できるものが多い。業務時間を指定し、それ以外の、例えば「12～13時は野球やサッカーなどスポーツ系のニュースも閲覧を許可する」といった設定ができる。けじめを付けて業務を遂行した方が、作業効率が上がるという考え方もあるだろう。

　さらにURLフィルタリングでは、社員のWebメールの不正使用も制限することができる。「Yahoo!などで検索機能は使えるがWebメールのログイン画面は閲覧できない」、つまりWebメールは使用させないという仕組みだ。URLフィルタリングはセキュリティ製品という枠組みで語られることが多いが、実はセキュリティ対策と業務効率の向上を同時に実現できる製品といえる。

設置が簡単なアプライアンス製品

　従業員が100人ほどの中小企業の場合、今回の事例のように兼任のシステム管理者が非常に多いといわれている。実際に筆者が先日訪問したユーザーも従業員が60人程度の企業で、兼任のシステム管理者が退職してしまったため、ウイルス対策製品の更新が止まっていた。片手間で管理をしていることに加えて、その兼任の管理者が退職や異動になっても今までのシステム管理業務が引き継がれていないという話はよく聞く。本事例のように、サーバなどの機器設置は外部のインテグレーターに発注することもあるが、近年はどこの企業も費用削減のため、IT予算確保がなかなか難しいのが現状のようだ。

　URLフィルタリングソフトはプロキシサーバにインストールすることが多いが、中小企業の管理者にとって、サーバ構築を行うとなると非常にハードルが高いといえる。そのような場合は、ネットワークに接続してWebインタフェースの管理コンソールで設定できるような、透過型ブリッジ構成のアプライアンス製品の導入を検討するといい。この構成では、既存の環境を変更することなく導入ができるので、サーバ構築などの手間が掛かることはない。またこの種のアプライアンスでは、PCに専用ソフトやエージェントソフトをインストールする必要がないため、古いPCが多い企業でもPCへの負荷やスペックを気にしなくて済む。限られたリソースを有効活用したい中小企業に適した製品といえるだろう。

中小企業向けのURL（コンテンツ）フィルタリングアプライアンス製品（写真は「Trend Micro WebManager Lite」）

フィルタリングは改ざんされた正規サイトにも有効か？

　ここまでの説明で、URLフィルタリングがセキュリティ対策や業務効率の向上に役立つことは理解できただろう。それでは、実際にURLフィルタリングを導入している企業に、URLフィルタリングを導入した理由を聞いた調査結果（図2）を見ていただきたい。

図2　URLフィルタリングの導入理由（出典：ネットスター「第四回　組織でのインターネット管理実態調査 2009年」）

　導入理由の3位と4位は経営者や本部の指示で導入したという受動的な内容のため除くと、セキュリティ・内部統制の強化という回答が多く、次いでウイルスやスパイウェアの感染・侵入があったためという回答が目立つ。つまり、導入した企業の多くがセキュリティ強化やウイルス対策のためにURLフィルタリングソフトを導入しているのである。

　ここで、5位のウイルス対策のために導入したという回答に焦点を当ててみる。確かにURLフィルタリングは、アダルトサイトなどウイルス感染が多いとされるWebサイトの閲覧を制限することができるため、ウイルス対策にも有効だといえる。しかし、よく考えていただきたい。URLフィルタリングは業務に関係がないWebサイトの閲覧を制限することはできるものの、業務上閲覧が許可されるWebサイトにウイルスが仕込まれていたとしたらどうだろうか？　例えば、2009年に感染が拡大した「JS_GUMBLAR（ガンブラー）」というウイルス（図3）は、正規のサイトを改ざんして、ウイルスの配布を行っている不正なWebサイトに誘導する（※注）。また、昨今の金銭の詐取を目的とした悪質なサイトは、1日以内にドメインを変えて、URLフィルタリングソフトやウイルス対策製品からの追及を逃れようとすることが多い。従来のURLフィルタリングソフトが採用している、Webサイトがアップされた後に業務に必要なWebサイトか否かをコンテンツで判断する方法では、タイムラグがあるのだ。

※注　URLフィルタリングは、通常の検索でヒットするようなWebサイトのみをアダルト系サイトなどと判断している。ウイルス配布だけを行っているサイトは、不正なサイトとは判断されないことが一般的だ。

図3　JS_GUMBLAR（ガンブラー）の感染と不正なWebサイトのドメイン変更

　このように、URLフィルタリングのみでウイルス対策を行うことは非常に難しい。第2回の「変化する脅威への備えは『今のウイルス対策を疑え』」でも紹介したように、「頻繁にURLが変更されるなど、運用が不安定ではないか」「ドメインが登録されてからどのくらいの期間が経過しているのか」などさまざまな角度からWebサイトの安全性を評価し、危険なサイトに接続させない「レピュテーション」技術も併せて利用すべきだろう。URLフィルタリングソフトにセキュリティ対策ソフト／サービスなどに実装されるWebレピュテーションを組み合わせることで、初めてWebからの脅威に対抗できる環境が整う。

　最後に、100人規模の中小企業に適したセキュリティ対策のポイントを以下にまとめる。

　次回は従業員200人の事例を用いて、企業が直面する脅威と対策・製品を紹介する予定だ。