「MSS」の活用も選択肢に

　代表的なセキュリティ対策の外部委託サービスは「マネージドセキュリティサービス」（MSS）だ。MSSは一般的に、ファイアウォールやIDS（不正侵入検知システム）／IPS（不正侵入防御システム）といったネットワークセキュリティ製品の運用監視代行サービスを指す。最近では運用監視に加えて、セキュリティシステムの設計からセキュリティ製品の導入を含め、包括的なアウトソーシングサービスとしてMSSを提供するベンダーもある。

　SOCやCSIRTを構築している組織は現在、潤沢なセキュリティ対策のコストが掛けられる大規模な公共機関や大企業が中心だ。MSSを利用するか否かにかかわらず、SOCやCSIRTの維持にはそれ相応のコストが掛かることが、その背景にある。24時間365日のリアルタイム監視体制を構築したり、高度なログ解析製品などを導入したりすれば、自ずとコストが高まってしまう。

　だからといって、SOCやCSIRTが担う全てのセキュリティ対策を諦めてしまうのは得策ではない。小規模な組織でも実現可能な、コストが掛からない対策が幾つかある。例えば一定期間ごとに、重要な箇所のログのみを外部の専門家に監査してもらうようにすれば、コストをかなり抑えることができるはずだ。その際にシステムのパッチ適用やバージョンアップをすれば、少なくとも継続的に情報が漏えいする“だだ漏れ”の状況は防ぐことができる。

　セキュリティ対策の一番のポイントは、セキュリティが保たれているかどうかを確認するサイクルを回すことだ。どんなに立派なセキュリティ対策を施しても、100％の安全は実現できない。だがこのサイクルを回してチェックしていれば、システムの課題や脆弱性にいち早く気付くことができる。「セキュリティ対策は、セキュリティ製品の導入時に済んでいる」と思い込んで油断することは、間違っても避けなくてはならない。

対策のポイントはやはり無線LAN

　セキュリティ対策は、一部の対策だけをいくら強化しても機能しない。これまで説明してきた通り、システム全体のセキュリティが保たれているかどうかの確認を継続することが、セキュリティ対策の王道であり本筋だ。

　だが実際には、攻撃者にとって狙いやすく、システム管理者にとって対処しにくい部分がどうしても残る。本連載で何度も登場する「無線LAN」がそれだ。無線LANの電波は目に見えないという事実が、その根本にある。目に見えないものは構造を理解しにくく、その動作が正常かどうかの判断や管理もしにくい。また攻撃者が侵入しても、それが露見しにくくなるのだ。

　では有線LANを敷設すればよいかというと、残念ながら簡単にはいかない。教育機関の施設には、企業のオフィスによくある「OAフロア」と呼ばれる空間がないことが一般的だ。OAフロアはオフィスの床下10～20センチにある、LANケーブルを敷設できる空間のことを指す。OAフロアの構築工事をするとなると、廊下やその他の設備を含めた施設全体の大規模な改修が必要となる。コストと期間、そしてそれを利用する際の運用面の全てにおいて、現実的な選択肢となり得ないのだ。そもそも教育機関の今後の主力デバイスとなるタブレットは、有線LAN接続端子を備えないものも多い。これらを総合的に考えると、有線LANで無線LANを代替するのは現実的ではないだろう。

　しかし、その代替手段は幾つかある。1つの教室にデバイスが数台しかなく、用途も限定するのであれば、無線LANの代わりに3G／LTEといった携帯電話回線を利用するのが有効だ。アンテナを運用管理する必要もなく、ユーザー認証などのセキュリティ対策も、基本的には携帯電話事業者に一任できる。

　この仕組みはデバイスの数を絞った限定的な利用には非常に適しているが、規模拡大には向かない。1人1台環境を実現するなど一定規模以上で利用する場合は、回線分の月額利用料金が掛かる携帯電話回線では、ランニングコストが掛かり過ぎてしまう。デバイスを本格的に導入するのであれば、多くの場合は無線LANを選択するのが合理的だ。

　教育機関にとって無線LANは厄介な存在だが、クライアントPCやタブレットなど無線デバイスの1人1台環境と無線LANとの組み合わせは、IT活用を効果的に進めるためには非常に有効だ。だからこそ、無線LANを導入しないという選択肢は現実的ではないだろう。そのため多くの教育機関にとって、無線LANのリスクへの対処は避けられないのだ。