マカフィー SE本部 エンタープライズSE CISSP エンジニアの桐谷彰一氏

　一見、パッケージ製品のように簡単導入できる印象のSaaS型だが、導入を前にして致命的な問題が発覚するケースは多い。

　日本企業は、良くも悪くも企業インフラ構築をSI事業者に任せっぱなしだ。よほど大規模な企業や要件がクリティカルな金融企業でない限り、例えば自社で脆弱性情報を収集しながら、リスクを抱えた資産が社内のどこにどれだけ存在し、どう対処すべきかをきちんと明文化している企業は少ない。

　「重要なパッチが出たので、この製品をバージョンアップしてほしい。手順はこれで、それに伴う影響範囲はこれです。こうしたSI事業者の手厚いサービスを受けるのに慣れているため、クラウドにアウトソースする上で必要なセキュリティレベルのベースラインが分からない」。全部お任せの至れり尽くせりな環境がクラウドセキュリティ活用の弊害になっていると、マカフィー マーケティング本部の市橋 満氏は指摘する。

マカフィー マーケティング本部の市橋 満氏

　これは企業だけの問題ではない。要件定義が提示されないために、何をすればよいのか、顧客の最適解が見えずに不安を覚えるクラウド事業者も多いという。

　こうした現状を改善するため、マカフィーは業界団体Cloud Security Allianceに参加し、クラウド自体のセキュリティ確保に向けた最善策の提案や、クラウドを活用するためのセキュリティの考え方などを議論している。そして、クラウドのビジョンを3つに分類し、そのうちの1つである「Security and Certification FOR the Cloud」という概念の下、米マカフィーでは「マカフィー・クラウドセキュア・プログラム」を発表した。これはクラウド事業者向けのプログラムで、クラウドの安全性について自動監査、修復、リポートし、認定サービスを提供して信頼性向上を支援するプログラムだ。

マカフィーのSaaS型セキュリティサービス

　では、企業はセキュリティの要件定義を規定するか、クラウド事業者のセキュリティ確保が完了するまでクラウドセキュリティサービスに手も出せないのかというと、そういうわけではない。機能によっては、すぐに利用できるものもある。その最たる例が、ウイルスやスパム対策だ。

　同社が提案するもう1つの概念に、「Security FROM the Cloud」がある。クラウド経由のセキュリティサービスという意味で、エンドポイントのセキュリティ対策「Total Protection Service」（以下、TPS）とWebサイトの安全証明サービス「McAfee Secure」、電子メール保護サービス「SaaS Email Protection」で構成される。

　TPSは、定義ファイルやソフトウェア本体の自動更新、Webコンソールからのセキュリティ状況チェック、マルウェア対策、デスクトップファイアウォール機能、レピュテーションを利用したWebブラウザ保護機能などを提供するクラウドサービスだ。オプションに、Webカテゴリフィルタリング機能と、公開サーバ向けの脆弱性検査が選択できる。

　「TPSは当初、管理者がいない中小企業で導入されるケースが多かったが、クラウドサービス化したことで大企業からの案件も増えた」（桐谷氏）。例えば、建設業など建設現場に仮設事務所を設置してネットワークを引きたい、全国に分散する何千もの拠点をクラウドで一括管理したいといったニーズに当てはまるという。

　2つ目のMcAfee Secureは、より複雑な脆弱性診断を行い、PCI DSS（クレジットカード業界のセキュリティ基準）への対応状況もチェックして安全性を証明するサービスだ。安全が確認されたWebサイトには、その証しとしてトラストマークが表示される。脆弱性の定期的なスキャンによるシステムの安全性を閲覧者に訴求することで、企業ブランドや信頼性の向上に貢献する。

　3つ目のSaaS Email Protectionは2011年初めに提供予定のサービスで、事前にウイルスやスパムチェックをしたクリーンなメールだけをユーザーに配送するサービスだ。DoS（サービス妨害）攻撃の防御も行う。

SaaS Email Protection

　業務アプリケーションとして定着した電子メールは、管理体制が十分整っているイメージがある。しかし、年々急増する電子メールの数と容量はメールサーバを圧迫し、また、セキュリティ対策をパッチワーク的に追加したケースも多く、配送の遅延を含むトラブルを引き起こしている。「問題解消に負荷分散や冗長構成などを施しても、ただ複雑で硬直したシステムを作るだけだ」（桐谷氏）

　そうしたねじれた構成も、クラウド対応にすれば簡素化でき、24時間365日の安定運用、メールサーバの補強およびアップデートの負担ゼロが手に入る。「メールチェックも一時ディスクに書き込まずに行うので、メール内容がクラウド側に残る心配もない」（市橋氏）

研究機関を中核にセキュリティ機能を提供

　同社が掲げるクラウドビジョンの3つ目は、「Security IN the Cloud」だ。同社のセキュリティ研究機関「Global Threat Intelligence」（GTI）を中核に据え、「Artemis」「Site Advisor」「Trusted Source」といったセキュリティ機能を同社製品やサービスへ提供する。

Global Threat Intelligence

　Artemisは、同社が蓄積してきたマルウェア情報データベースで、パターンファイルを補完するファイルレピュテーション機能である。膨大な亜種を次々に送り出すマルウェアは、1日1回のパターンファイル配信では対処が遅くなる。疑わしいファイルが送信されてきたとき、Artemisに問い合わせてパターンファイル作成対象なのか、安全と見なしてよいものかを判断する。

　Site Advisorは、Webサイトのレピュテーションを行う。フィッシングサイトかどうか、リンク先が悪質なページかどうかなどを検証し、Web経由の被害を未然に防ぐ。

　Trusted Sourceは、IP／電子メールのレピュテーションを行う機能だ。IPや電子メールのレピュテーションに従い、迷惑メールの大量配信先や偽装された電子メールをブロックする。さらには、社内の感染端末が接続しようとする外部サーバの情報も収集している。感染前後のセキュリティ対策として活用できる。

　これら3つのセキュリティ機能は、クラウド以前より提供されてきた。同社のネットワークセキュリティ製品と有機的に連携し、エンドポイントだけではなく、ネットワーク全体のセキュリティも高めてくれる。各機能をクラウド化したことで、よりリアルタイムでの情報共有が可能になり、ネットワークセキュリティという同社の企業価値をさらに高めている。

クラウド化で変容するエンドポイントセキュリティの未来

　クラウド化は、セキュリティ機能の提供方法や実現方法を変えてきた。このまま進めば、考えるべきセキュリティと考えなくてもよいセキュリティが出てくるかもしれない。「クラウド経由でデータにアクセスする仮想デスクトップでは、エンドポイントにデータ保存のためのHDDが存在しない。ということは、HDD暗号化やデータ保護機能をエンドポイントに施す必要がなくなる」（市橋氏）

　そして、マカフィーはさらにその先を見据えた戦略がある。

　ノートPCや携帯電話、スマートフォンなど、近年のエンドポイント端末の多様化は著しい。こうした「消費者テクノロジー」は携帯性や使い勝手に優れており、業務の現場でどんどん活用されている。いずれはセキュリティポリシーで利用禁止にできないレベルにまで浸透する可能性も高い。そのとき、エンドポイント端末内のデータをどう保護するかが課題となり、最終的にはセキュリティ対策で仮想デスクトップを採用する企業が増えるだろう。

　こうした未来をにらみ、マカフィーは容量無制限の自動バックアップサービス「マカフィーオンラインバックアップ」（30日間無料版あり）や、Citrix XenDesktop向け仮想デスクトップ対応ウイルス対策製品「McAfee Management for Optimized Virtual Environments AntiVirus」（MOVE AV）など、エンドポイント製品を提供開始した。また、2010年5月にはモバイル端末の管理、データ保護のためのベンダーであるTrust Digitalを買収し、米国で既にサービスを開始している。今後も基盤の変容に合わせてセキュリティの在り方を対応させていく。