コンテキスト認識型セキュリティ対策のアイデアは新しいものではない。だがセキュリティ業界関係者の多くは、ようやくセキュリティ技術が進化して、そうしたシステムが現実的になるレベルに達したと考えている。同時に、情報技術そのものの進化、特にモバイル端末のコンピューティングパワー増大が、コンテキストベースのセキュリティ対策のニーズを加速させている。

　例えば、私物端末の業務利用（BYOD）の増加に後押しされる形で企業のモバイル革命が進む中、コンテキストベースのアクセスコントロール（CBAC）が技術として成熟しつつある。CBACでは、ユーザーの本人情報と定義されたアクセスロールを利用する。ユーザーがログインすると、ネットワークへのアクセス形態に基づいて、そのユーザーが閲覧できるものや実行できることをコントロールする。言い換えると、私物のスマートフォンから会社のネットワークにアクセスしているユーザーが見られるものやできることは、会社支給のノートPCからネットワークにアクセスしているユーザーに比べて制限される。

　BCS Security Forum戦略パネルメンバーで、情報アシュアランスコンサルティングを手掛けるTrusted Managementのディレクター、ピーター・ウェンハム氏は、「規制対応のニーズ増大と、モバイル端末や在宅勤務、BYODの急成長が相まって、コンテキストベースのセキュリティ、特にCBACのニーズを加速させている」と解説する。

　「同時にコンピューティングパワーが増大し、性能に対して価格が下がり続けているのは朗報だ。市場にCBAC製品は存在するが、今後この市場分野への参入がさらに増えて革新が進み、より手頃な価格になるだろう」（ウェンハム氏）

インテリジェントセキュリティ

　技術革新の観点から見ると、コンテキスト認識型セキュリティのニーズを加速させているもう1つの要因として、従来のように1つで全てに対応させるセキュリティポリシーとコントロールではもはや対応できなくなり、多数のさまざまな端末が会社のネットワークに接続したり、ネットワーク間で接続したりしている状況に対してきめ細かい対応が可能になったことがある。

　「現在では、幅広いアプリケーションインテリジェンスをコンテキスト認識型のセキュリティインフラと連携させ、ユーザーのモバイル化に対応しながら妨げにならないセキュリティを提供する必要がある」。Information Systems Security Association（ISSA）英国支部の調査担当副代表、エイドリアン・ライト氏はそう話す。

　同氏によると、モバイルエンドポイントからデータセンターへとアプリケーションレベルでたどって状況を調べることや、ネットワークに接続している端末のIDと現状を可視化することは全て、高度化の一途をたどる攻撃をかわすための重要な要因となる。

　従って、誰が、何が、どこで、なぜ、どのように、という基本的なコンテキストに加え、真にテキスト認識型のアダプティブなセキュリティ対策では、リアルタイムの脅威情報と、関連する信頼レベルおよびリスクレベルを、アクセスや利用される資産に基づいて取り入れる必要がある。

　「最も重要なのは、そうした項目のセキュリティインテリジェンスを蓄積できるかどうか、そしてどう蓄積するかという問題だ」とライト氏は言う。

　この質問に答えるために、企業はまず、モバイルコンピューティングの規模、BYODの普及度、内在するリスクのレベルを総合的に判断し、コンテキスト認識型セキュリティインフラの構築と運営にコストを掛けるにふさわしいかどうかを自問しなければならない。さらに、出費を正当化するためには、端末の詳細なインベントリ、ユーザー、ロール、アプリケーション、リスクレベル、十分きめ細かくアダプティブなセキュリティコントロールのために必要な信頼の現状についての情報を蓄積・維持できることも確認する必要がある。

　ライト氏は「もしそうであれば、ユーザーのモバイル性と使いやすさの向上から事業上のメリットが生まれ、同時に貴重な情報を保護してセキュリティ管理に掛かる経費も削減できる」と指摘した。

転換への着手

　Gartnerによると、コンテキスト認識型セキュリティシステムの事業上のメリットは、究極的にはリスクを減らし、情報セキュリティ対策が意図せず正規のものまで遮断する確率を減らして企業の能力を高め、先端攻撃が検出される確率を増やすことにある。

　Gartnerのアナリスト、ニール・マクドナルド氏は言う。「ファイアウォール、Webセキュリティゲートウェイ、エンドポイント保護プラットフォームといった静的なセキュリティインフラの入れ替えを行う今こそ、コンテキスト認識型のアダプティブインフラへの転換に着手しなければならない。また、アプリケーション、IDおよびコンテンツ認識、さらには他の種類のコンテキストをポリシー執行の決定に盛り込むことについても、セキュリティサプライヤーに具体的なロードマップを要求する必要がある」

テクノロジー以上

　Information Security Forum（ISF）によると、これまでのセキュリティ技術やアプローチと同様に、コンテンツ認識モデルもテクノロジーだけが問題になるわけではない。

　「その導入を最大限に活用するためには、一定の情報セキュリティ態勢を整え、一部のプロセスを再検討する必要が生じる」と話すのは、ISFの首席リサーチアナリスト、エイドリアン・デイビス氏。「技術を買うことから始めるのではなく、コンテキスト認識型セキュリティでは現在と将来の事業を支えるために、何がどうできるのかを理解することから始めなければならない。このアプローチの恩恵を受けるためにはコンテキスト認識型ファイアウォールを買う以上のことが必要だ」

　コンテキスト認識技術へのアプローチは、企業のアップグレードパスに沿った戦略的な技術の入れ替えによって行う必要があると、Isacaサイバーセキュリティ委員会のメンバーでHedgehog Securityのマネージングディレクター、ピーター・バシル氏は助言する。

　「それから、コンテキスト認識技術で業務の合理化を実現できるプロセスのボトルネックを見極め、コンテキスト認識技術で効率を低下させることなく反応時間を高速化できる集中的なデータ分析の分野を見極めなければならない」（バシル氏）

　ISFによれば、出発点となるのは、社内の情報を分類し、データガバナンスやその関連の技術の導入が必要かどうかを判断することだ。「情報を分類すれば、保護のために必要なコントロールが促進されるはずだ」とバシル氏。

　ネットワークとID・アクセス管理インフラをコンテキスト認識型にするためには投資が必要だ。これにはロケーション認識やネットワークアクセスコントロール（NAC）、モバイル端末管理（MDM）、端末への証明書の保存、連携型のID管理の採用などが含まれることもある。

　「さらに、選んだソリューションは全てスマートフォン、タブレット、ノートPCの全領域に導入し、クラウドベースのビジネスソリューションのインタフェースに対応させる必要がある」とデイビス氏は話す。

人間の介在

　もう1つ考慮すべき重要な点として、コンテキスト認識型セキュリティでは、そのIT環境に詳しい情報セキュリティのプロフェッショナルの必要性を排除できそうにないと、（ISC）2 European Advisory Boardメンバーのイオヌット・イオネスク氏はくぎを刺す。

　「問題は、こうしたツールは全て、組織の環境を熟知しているスペシャリストが設定する必要があるということだ。つまり、ツールより先に人間がコンテキストを理解していなければならない」（イオネスク氏）

　うまく設定された賢いツールには、数えきれないほどのメリットがあるかもしれない。だがそれを過大評価すべきではないとイオネスク氏は言う。たとえツールがそれなりのレベルのコンテキストを取り込んで、理にかなった行動を提案することができたとしても、適切なリスク回避戦略を立てるためのビジネスワークフローと複雑性を理解するためにはさらなる分析が必要だ。「もしコンテキストを追加するだけで解決するのなら、セキュリティの観点から組織全体をモデリングするエキスパートシステムを誰かが考案しただろう。そして、情報セキュリティプロフェッショナルは失業に追い込まれていたはずだ」と同氏は言う。

　コンテキスト認識型セキュリティツールはセキュリティプロフェッショナルにとって、助けが増えることを約束するものではある。だがサプライヤーの投資回収率の計算のみを根拠に調達を決めてはいけないと同氏はアドバイスする。「こうしたコンテキスト認識型次世代技術のサプライヤーはセキュリティと事業上のメリットを宣伝するが、ユーザー組織はそれを信用して不必要に飛びつくことには慎重になるべきだ」

Computer Weekly日本語版最新号のお知らせ

• Computer Weekly日本語版　2014年1月22日号：Amazon Web Services vs. Google

「施策のスピード感が足りない」「あまりにも標準的」と酷評されるGoogle Compute EngineはAWSに対抗できるのか？

■Computer Weekly日本語版 最近のバックナンバー

Computer Weekly日本語版　1月8日号：オープンソースハードウェアになるデータセンター

Computer Weekly日本語版　12月18日号：Windows Server 2012 R2徹底レビュー

別冊Computer Weekly 企業向けGoogleサービスのリスクとメリット