「インターネットに接続しなければ安全」は幻想

　教育関係者に限らず、あまりITの分野に詳しくない人にこのような話をするときに、よく言われることがある。それは「インターネットに接続していないから大丈夫なのでは」という意見だ。これは一見、非常に理にかなっているように見える。大企業でもこのことを理由に「クローズドなネットワークにはセキュリティ対策をしない」という例も珍しくない。

　だがインターネットに接続していないクローズなネットワークにおいても、不正侵入などの事件がたびたび発生していることを考えると、決して油断はできない。むしろ「オフラインだから攻撃者が侵入できない」というその油断が、無責任な管理体制の不備を生み、侵入後も継続して情報漏えいを続けてしまう元凶になることもある。

　なぜ、インターネットに接続されていないのに侵入されてしまうのか。実は教育機関のネットワークからインターネットへ接続する出入り口（ネットワーク用語では「ゲートウェイ」という）以外にも、「情報の出入りができる口」があり、それが不正侵入の原因となる可能性がある。

　最もあり得るのは、無線LANアクセスポイント経由での侵入だ。無線LANの電波は、それほど遠くまで飛ぶものではないが、数十メートル程度は届いてしまう。つまりネットワーク機器の設定に不備があれば、校舎の近くにタブレットやクライアントPCなどを持ち込むだけで、簡単にアクセスできてしまう可能性があるのだ。仮にネットワーク機器を適正に設定していても、攻撃者が事前にIDやパスワードを盗んでいればアクセスできてしまう。

　「ID／パスワードを厳重に管理すればそんなことは起こらない」と考える人が多いだろう。だが攻撃者は、その対策を乗り越えてネットワークにアクセスしようとさまざまな手段を講じる。だからこそ、設定も管理も運用も万全に見えるシステムを導入し、先進的なIT活用事例だと考えられていた教育機関などでも大きな事件が起きてしまう。「インターネットに接続しないネットワークであれば大丈夫」という安全神話が、既に崩壊してしまっていることは、もう常識として認識するべきだろう。

システム構築時だけでなく、その後の運用こそ重要

　システムの導入時に適切なセキュリティ対策を施すことが重要なのは、今更説明する必要はないだろう。だが、この「適切なセキュリティ対策」というのが、なかなか難しい。セキュリティ対策というと、マルウェア対策ソフトウェアやファイアウォールなどのセキュリティ製品の導入がまず思い浮かぶだろう。だが、これらの製品を多数導入したからといっても、それが恒常的に高いセキュリティを保つことには直結しない。これがセキュリティ対策の難しいところだ。

　なぜ高額なセキュリティ対策製品を導入したのにもかかわらず、セキュリティを保つことができないのだろうか。「セキュリティ製品自体に欠陥があるからだ」と考える人もいるだろうが、その考えは正しくない。

　セキュリティ製品は、いうなれば単なる“高い塀”のようなものだ。塀があれば、攻撃者はその塀を乗り越えるのにそれなりに苦労することは間違いない。だが常に効果を発揮してもらうためには、定期的に塀に欠陥がないかどうかの確認や保守、メンテナンスをする必要がある。例えば塀に穴が開いていたり、1か所だけものすごく低い部分があったり、一見すると丈夫そうでも、実は壊れやすい材質が使われていたりといった欠陥を放置すれば、期待する効果は得られない。

　「そんなことは当然だ」と考える人もいるだろう。だが特に国公立の教育機関においては、セキュリティ対策を継続的に見直すことは意外と難しい。国公立の教育機関では、予算の源泉は税金だ。予算を通すには稟議（りんぎ）を通し、最終的に議会の承認を取るといった時間のかかるプロセスを経なければならない。そのため有事の際に自由に使えるセキュリティ予算をあらかじめ用意することは難しく、用意できたとしても何の審査もせずに即時利用することは困難だろう。

　幸運にも予算を確保し、侵入の痕跡を発見できたとしても、システム管理者はセキュリティのスペシャリストではないことから、その状況下で適切な対応ができない可能性がある。例えば、ほとんど効果がないと分かっていても不正侵入が発覚してからパスワードを変更するといった、場当たり的な対応を繰り返すしか方法がない。

　重要なのは、システムの内部や攻撃手法を見える化することは難しい、という事実だ。そもそも想定外の事象が起こり得るのだから、何が有効な対策になるのかはもちろん、何が原因かさえも分からない状況に陥ることが十分にあり得る。システムを構築しただけで何の備えもない状況で不正侵入が発生したら、システムのエンドユーザーはもちろん、管理者さえも何が起こっているかを理解できないという、最悪の事態を招いてしまうことになる。