米セキュリティベンダー、Tenable Network Securityのロン・ガラ最高経営責任者（CEO）によると、多くの小売業者はシステムを障害なく確実に機能させる目的で、情報セキュリティ対策を犠牲にする。IT担当者はシステムへの変更を一切許されない。基幹システムの可用性に支障が出かねないからだ。同氏はこの凍結期間を「ホリデーITロックダウン」と表現している。

　通常、11～12月はこの期間に当たり、パッチのインストールのような基本的なセキュリティ対策を無視する小売業者や、IT監査やセキュリティ診断を飛ばす業者もある。特に、ホリデー期間中の脆弱性スキャンは、システム障害といったパフォーマンス問題を生じさせるリスクがあるとの理由から不評だという。しかしガラ氏によれば、最近のスキャナやデータベースは回復力が高くなり、そうした認識は時代遅れになっている。

　米調査会社Forrester Researchの主席アナリスト、ジョン・キンダーバグ氏も、最も基本的なセキュリティ対策が、年末商戦シーズンにはないがしろにされると指摘する。顧客の情報を守ってTargetのような被害を防ぐために不可欠であるにも関わらずである。

　「ロックダウン期間中、パッチや設定の更新、ファイアウォールのルール変更はほとんど何も行われない。ロックダウンは、絶対的な緊急時を除き、何も触ってはいけないことを意味する」（キンダーバグ氏）

　ロックダウン期間の副作用として、小売業者のIT担当者の中には、システムに変更を加えることができずに仕事が減るため11～12月は休みを増やす傾向もあるという。これによってセキュリティ問題が発生する確率はさらに高まる。

　キンダーバグ氏はいう。「物事が非常に速く動いている世界にあって、（ロックダウン期間中の）小売業者は普段のような対応ができないことがあり、ある程度のリスクにさらされる」

　米通販サイトEtsyのセキュリティエンジニアリングディレクター、ゼーン・ラッキー氏は、年末商戦中は安定性を確保するため、小売業者が導入する新しいアプリケーションコードの量が減るのが一般的だと話す。ただ、チェックすべきコードの量が減ることは、セキュリティ上のメリットにもなるという。

　ラッキー氏は年末商戦期間とそれに伴うIT活動の減速を、セキュリティ部門にとってのチャンスと見なす。同氏の部門は11月と12月を利用して、会社が次の年に予定している大型プロジェクトに取り組んでいるという。

　「年末商戦中は大忙しになる理由がいくらでもある。だが私にいわせれば、ほとんどの組織は年末商戦中に限らず、1年中セキュリティに力を入れている」と、ラッキー氏は電子メールで応じた。

PCI DSSの順守

　年末商戦中のITロックダウンを選んだ小売業者は、自社環境のリスクを高めるだけではない。クレジットカードデータのセキュリティ基準（PCI DSS）の推進団体であるPCI SSCの意図に反する可能性もある。多くの企業は現在、PCI DSSの順守は年に一度確認すればよいものと見なしているが、PCI SSCはPCI DSSの更新版のバージョン3.0の一環として、PCI DSSの基準を企業の年間を通じたプロセスにしようとしている（参考：「PCI DSS 3.0」で高まるセキュリティ要求、新要件を詳説）。

　Tenable Network SecurityのPCIソリューション担当製品マーケティングマネジャーで、PCI SSCの認定審査を担当するQualified Security Assessor（QSA）として10年近い経験を持つジェフリー・マン氏は以前から、PCI DSSについては「普段の業務の心構え」で臨むよう組織にアドバイスしてきた。バージョン3.0以前から、同標準の規定の多くは「周期性」の要素を持っていたと同氏は話す。

　だが、例えばパッチのインストール状況について小売業者のサーバをチェックするたびに必ず、年末商戦中は米Microsoftが毎月定期的にリリースしている月例パッチも含めたパッチが適用されていないというギャップが見つかるという。小売業者はパッチの配信を年が明けるまで待つ傾向があるが、パッチはテストして時系列で適用しなければならないことも多く、数週間から数カ月の遅れが生じることもある。

　「小売業者は年末商戦中に自分たちの環境を凍結させたがるが、そのやり方とPCI DSSはあまり相性が良くない。そこで私の顧客のほとんどは、埋め合わせのコントロールに関して非常にクリエイティブなやり方でその規定に取り組むか、または率直にいって、多くの場合、審査のためにやってくるQSAに気付かれないことをただ願っている」とマン氏。

　Forrester Researchのキンダーバグ氏も同じ見方だ。PCIコンプライアンスの観点から見ると、どれくらいの期間であれ単純に無視してはならないセキュリティコントロールが存在する。同氏は特に、常にPCI準拠を維持すべき分野の一例として、暗号化とログ監視に関わる規定を挙げ、「1年のうちの特定期間中、自分が楽をするためにそれをやらないというのは許されない」と語った。

年末商戦の準備

　専門家は年末商戦中のITロックダウンにまつわる危険性を口にするが、小売業者はどうやって、ITセキュリティリスクとビジネスリスクの両方を抑えながらこの重大な年末商戦期を乗り切ればいいのか。米Hewlett-Packard（HP）のEnterprise Security Services担当上級副社長兼ゼネラルマネジャー、アーサー・ワン氏が勧めるのは、年末商戦前にモニタリング機能を導入し、その機能を11月から12月にかけて強化することだ。

　「私がいう“モニタリング”は、管理されたセキュリティ環境のことだ。この環境で見つけ出す攻撃の特性やインシデントは、特定の業界に向けられたものかもしれない」（ワン氏）

　同氏はまた、小売業者が1年のそれほど忙しくない時期に、PCI DSSを含む監査のスケジュールを組むことを勧めている。これはコンプライアンス規定を無視しろというわけではなく、単純にIT担当者が年末商戦中にセキュリティに専念できる時間を増やすのが狙いだ。同じ助言は、四半期末など年間の特定期間に特に忙しくなる他の業種にも当てはまる。

　Tenable Network Securityのガラ氏はまた、年間を通じて重点的な監視機能とセキュリティコントロールを配備しておくことの重要性も強調した。年間を通じてそうした対策を講じていない企業ほど、年末商戦の繁忙期に向けた備えが不十分な傾向があるという。

　通常のセキュリティ業務がミッションクリティカルなシステムに与える影響を不安視する組織でも、クレデンシャル（認証・資格情報）管理、ネットワークのモニタリング、ログ分析といった影響の少ない代替策を使えば、目と鼻の先で不測の事態が発生していないことを確認できる。

　「これでシステムにパッチを当てないことや、ファイアウォールのルールを管理しないことに対応できるわけではない。しかし、業務に支障を来たしかねず、対応すべき重大な脆弱性がネットワーク上にあるかどうかを知る手掛かりにはなる」とガラ氏。

　小売業者には年末商戦中にITをロックダウンするという思考を全面的に撤回してもらいたいとガラ氏はいう。そのためには、組織が自分たちを狙う脅威について、常に問い掛ける必要がある。そうしなければ、そのリスクについての判断さえ下せないはずだ。

　「ITを凍結させるのは、もっと安定しているときだ。アップタイムを増やすためだけにセキュリティを犠牲にすれば、予告なしの攻撃を容易にさせる。それはファウストの契約だ。良い取引とはいえない」（ガラ氏）