われわれは、企業に対して以下のようなセキュリティの取り組みを期待するようになっている。

• セキュリティ問題の責任ある開示
• 既知の問題が存在する製品の迅速なアップデート
• 業界のセキュリティフォーラムへの積極的な参加
• ネットワークおよびセキュリティ製品ベンダーが提供するセキュリティパッチを適用したソフトウェアイメージへの容易なアクセス

　以上のどの点においても、Huaweiのセキュリティは満足できる水準には達していない。

　ただし、これはベンダー1社の問題であり、国の違いは全く関係していない。確かに、ソフトウェアにバグが多いという点で、Huawei製品の選択は危ない賭けかもしれない。だがそれは、Huaweiが中国企業だからではない。Huaweiは、Cisco、Juniper、米Hewlett-Packardのようにセキュリティ重視のハイエンドなネットワーキング企業というよりも、「リリースすれば後は関係ない」というタイプの、ルーティング／スイッチング分野におけるコスト重視のベンダーであるからだ。

　つまり、ネットワーク製品のベンダーを選ぶ基準は、必ずしも「本社に掲げられた国旗の模様」ではない。「そのベンダーが世界の情報セキュリティのコミュニティーにどう関わっているか」が重要だ。自社製品のセキュリティ対策に口先だけでなく真剣に取り組んでいるベンダーの方が、エンタープライズユーザーのニーズに応える態勢は整っている。クリティカルなインフラの購入を検討しているネットワーク管理者やセキュリティ管理者は、こうした点に注意を払う必要がある。その機器の出自がどうであれだ。

リスク4：ビジネスの問題

　ネットワークセキュリティ脅威の全てが、欠陥や悪意のあるソフトウェアやハードウェアに原因があるわけではない。中国のサプライヤーを検討する上では、「中国企業は競争や知的財産の文化的な枠組が他とは異なる」という非技術的な問題も重要となる。

　中国の政治体制の下で企業が成功するためには、中国共産党との結び付きが不可欠だ。その中国共産党は、中国政府と中国軍のインフラに統合されている。中国ではこれが当たり前なのだ。中国企業との取引の際は、必須の要素としてこの点を認識し、それ相応に行動する限り、中国のサプライヤーのことを個別に心配する理由は特にない。Huaweiと中国政府や中国軍との結び付きは、内密の関係ではない。中国の大企業とはそういうものなのである。

　中国企業と中国政府の利害が連動しているということは、「中国企業が最も忠誠を尽くすのは中国政府に対してであって、顧客に対してではない」ということでもある。このロイヤルティー構造が意味するのは、ネットワーク機器の購入者がベンダーと作業する際には、どのベンダーとであれ、セキュリティを意識した行動が求められるということだ。

　多くのITスタッフは近年、機器のサプライヤーを「信頼できるパートナー」だと見なし、トラブルシューティング情報への広範なアクセスを許可したり、ネットワークの設定構成や拡張計画に関する機密情報を共有するようになっている。中国企業と取引のあるネットワーク管理者やセキュリティ管理者は、中国企業の体質やロイヤルティー構造が他とは異なることを十分に理解し、機密情報やアクセス制御の点で適切な距離を保つよう留意すべきである。

　情報セキュリティに特有の問題ではないが、言及に値する懸念が他にも幾つかある。1つは、企業の安定性だ。HuaweiとZTEが、今現在販売している製品を翌年もサポートしているかどうかを確実に知る方法はあるだろうか？

　これと関連してもう1つ、米国やヨーロッパの大半の企業と比べて、中国企業には比較的透明性が欠けているというのも懸念すべき点だ。会社の財務状況（あるいは所有者情報ですら）に関する監査済み報告書がなかったり、全く入手不可能だったりすれば、買い手にとって自身の選択を検証する術はほとんどない。

　たとえ情報が提供されたとしても、中国企業を他国の競合企業と比較するのは容易ではないだろう。HuaweiとZTEは、どちらも数百億ドルの売上高を誇る世界最大規模の電気通信機器ベンダーであり、有力企業のようではある。だが普通のネットワーク管理者には（あるいは米議会の委員会にも）、それを断言するのは不可能だ。

中国企業からIT製品を購入するのは危険か？

　Huaweiをはじめとする中国企業に対する指摘の大半は、事実でないことが多い上に“外来もの”嫌いの側面が強く、実際に検証されている脅威というより政治的および金銭的な懸念から生じている。中国企業からの製品購入を検討しているネットワーク管理者およびセキュリティ管理者は、大きな購入判断を下す前に、他のベンダーと同様に適切な注意を払い、製品の品質やサポート、長期的な存続の見通しを検討すべきだ。

　確かに中国企業は、北米やヨーロッパの競合企業とは異なるビジネスルールの下で経営している。だがこうした違いは、一方では「機密情報を保護し、適切な距離を保った関係を維持すること」の重要性を思い出させるリマインダーの役割も果たす。機密情報の保護と適切な距離を保った関係の維持は、サービスや機器を提供するあらゆる企業との関係において必要とされる。ベンダーの本社がどの国にあろうと、その点に変わりはない。

本稿筆者のジョエル・スナイダー氏は、米コンサルティングファームOpus Oneのシニアパートナーであり、IT業界で25年以上の経験を持つ。