国家が関与するハッキングツールやエクスプロイトが一般の犯罪者の手に渡ることはまれだ。だがShadow Brokersがエクスプロイトを流出させたことで、こうしたリスク分析は見直しが必要となった。

　注目すべきは、サードパーティーのセキュリティ研究者がこうした攻撃を見つけることができていたかもしれないという点だ。脆弱性について最小限の情報が公開されただけで、米国家安全保障局（NSA）が発見したのと同じ脆弱性を、誰か他のセキュリティ研究者が発見できていた可能性がある。

　NSAからエクスプロイトを盗み出して販売するというShadow Brokersの行為は、Microsoftなどのソフトウェアベンダーが自社製品のサポートライフサイクルポリシーを策定する際には予想し得なかったであろうことだ。

　いったん脆弱性が公開されれば、攻撃者によって悪用されるのは想定の範囲内となる。Microsoftは修正プログラムを用意するメリットとコストを慎重に比較検討する必要があった。そして今回の場合、脆弱性はリモートコード実行を可能にするものであり、広く悪用される可能性があった。恐らくMicrosoftはだからこそ、既にサポートが終了している幾つかの旧OS向けにも修正プログラムを公開することにしたのだろう。ただしそうした旧OS向けに修正プログラムを提供すれば、誤った安心感が生まれ、ユーザー企業がサポート対象外OSの使用を引き延ばすことになりかねない。

ユーザー企業が取るべき対応

　ユーザー企業が取るべき対応はまず、Windows XPおよびWindows Server 2003に影響を及ぼす新しいエクスプロイトのデータを用いて、最新のリスク分析を実施することだ。これにより、Windows XPおよびWindows Server 2003のリプレース計画が自社のリスク許容度を十分に満たしているかを判断し、使用中のソフトウェアのサポート状況を確認することができる。自社のリスク許容度を超えていることが判明した場合は、Windows XPおよびWindows Server 2003システムのリプレースに充てるリソースを増やすのが賢明であろう。

　次にすべきは、今もネットワークに接続されている全てのWindows XPおよびWindows Server 2003システムに修正プログラムを配信することだ。一連の脆弱性発覚で攻撃リスクが一気に増大したことを踏まえると、この対応はリスク分析と同時進行で実施すべきかもしれない。社内のネットワークでWindows XPおよびWindows Server 2003システムを使わざるを得ない企業は、一連のリスクに対処するためのセキュリティ対策を他にも追加した方がいい。ただし、それによってシステム保守費用は増加する。

　新たな修正プログラムを例外的に提供したからといって、ユーザー企業がWindows XPおよびWindows Server 2003の使用を引き延ばすことには恐らくならない。攻撃リスクは大幅に増大し、修正プログラムを適用しただけでは完全には解消できないレベルに達しているからだ。修正プログラムを受け取らずに、保護されていない状態が続くシステムも必ず出てくる。

　サポート切れのOSを使い続けざるを得ない場合は、当該システムをネットワークから除外するか、少なくとも隔離ネットワークに移設し、外部へのアクセスを必要最小限に制限すべきだ。その結果、サポートコストは増加し、システムの機能性は低下することになるが、一方では、システムのリプレースを後押しする効果も期待できる。

　Windows XPやWindows Server 2003を実行するコンピュータでデバイスやシステムを制御しなければならない状況にあるユーザー企業は、ベンダーに最新OSをサポートするよう要求すべきだ。そうした要求をしない限り、この先も身動きを取れない状態が続くことになりかねない。

結論

　ソフトウェア開発者が、サポート対象となるソフトウェアのバージョン数を制限し、サポートコストなどを削減したがるのは、リソースを新版開発に集中させたいからだ。Microsoftも例外ではない。同社は選択肢を慎重に検討した上で、Windows XP向けにセキュリティ更新プログラムを公開するとの決断に至った。

　一方では、ユーザー企業もコストを最小限に抑えたい。そのため新規システムの導入を遅らせ、コストを効率化しようとする。だがその結果、運用コストが大幅に増大し、攻撃のリスクが高まれば、結局、新規システムの導入ペースは速まる可能性もある。いずれにせよユーザー企業はMicrosoftの寛大さを頼りに、自社システムにしっかりとセキュリティ対策をしておくべきであろう。