2008年はセキュリティの3つの分野が緊密に絡み合い、SMBのITセキュリティ担当者にとって厳しい1年になりそうだ。だが、このチャレンジは克服不可能ではない。
中堅・中小企業（SMB）にとって、2008年にITセキュリティをめぐって苦労しそうな分野が3つある――コンプライアンス、アプリケーション／Webサイトのセキュリティ、そしてエンドポイントセキュリティだ。これら3つの分野は2007年よりも一層緊密に絡み合うだろう。
SMB、特に株式未公開企業では、政府の法規制が株式公開企業（主として大企業）だけを対象にしていると考えているかもしれない。しかしそれは必ずしも真実ではない。公開企業と取引のあるSMBであれば、下請け工程に目を向ける規制当局や監査人の立ち入り検査を受ける可能性があるのだ。公開企業を対象としたSOX法（サーベンス・オクスリー法）、ヘルスケアプロバイダーを対象としたHIPAA（医療保険の相互運用性と説明責任に関する法律）、クレジットカードでの支払いを受け付ける企業を対象としPCI DSS（Payment Card Industryデータセキュリティ標準）へのコンプライアンス義務は、今後も大企業だけでなくSMBにとっても頭痛の種になりそうだ。
コンプライアンスを構成する主な要素としては、アクセス管理やアプリケーション／ネットワークシステムのセキュリティなどがある。これらは互いに切り離された個別の要素として扱うことはできない。SMBがコンプライアンスを実現するには、これらすべての要件を満たす必要があるのだ。
各法令にはそれぞれ独自性がある。SOX法およびHIPAAへのコンプライアンスは今後も重要な課題だが、2008年にSMBにとって警戒を要するのはPCI DSSだ。政府法令のSOX法やHIPAAとは異なり、PCIは業界標準だ。PCIを管理しているのは、5社の大手クレジットカード会社（Visa International、MasterCard International、American Express、Discover Financial Services、JCB）で構成されるコンソーシアムだ。PCIに準拠していない企業は罰金を科せられるか、コンソーシアムのメンバーによるカードの処理を拒否される可能性がある。
PCI DSSにはSMBに直接影響する部分が多いが、2008年に特に苦労の種になりそうなのが、アプリケーションのセキュリティを規定した第6.6節だ。現時点では同節の規定は推奨要件にすぎないが、2008年6月には必須要件に格上げされる。
PCI DSSの第6.6節は、Web上で運用されているすべてのアプリケーションを2つの方法のいずれかによって攻撃から防御することを義務付けている。だが、どちらの方法もSMBにとって大きなコスト負担になる可能性がある。1番目の方法は、アプリケーションのセキュリティを専門とする組織が、すべてのカスタムアプリケーションのコードについて一般的な脆弱性の有無を検査するというもの。もう1つの方法は、単にWebアプリケーションの周囲にアプリケーションレベルのファイアウォールをインストールするというものだ。最初の方法はスタッフの労力という点でコストが掛かり、2番目の方法は金銭的なコストが掛かる。
しかしPCI委員会が、Webアプリケーションコードのすべての行に対する全面的な検査を義務付けない可能性もある。その場合は、SMBにも手が届くポピュラーなWebスキャニングツール（SPI Dynamicsの「WebInspect」やWatchfireの「AppScan」など）でも間に合うかもしれない。これらのツールはアプリケーションのコードの検査は行わないが、アプリケーション／Webサイトの一般的な脆弱性を検出できる。これらのツールで検出された脆弱性を修正できることをSMBが示せれば、高い費用を払ってコンサルタントに何十万行ものコードをチェックさせなくても検査に合格できるかもしれない。
アクセス管理もコンプライアンス要件の1つだ。PCI DSSだけでなく、SOX法およびHIPAAでも同じことだ。これらの法規制はいずれも、誰がシステムにアクセスするかに関する完全な記録（使用されなくなったアカウントの定期的な削除の証明を含む）を義務付けている。このため、定期的にリポートを作成し、要求に応じて監査人や規制当局に提出できるようにする必要がある。資金的にゆとりのないSMBの場合は、ポピュラーなディレクトリ管理システムであるMicrosoftのActive Directoryに組み込まれたリポーティングツールでもコンプライアンスに十分対応できる。
在宅ワーカー、ノートPCを持ち歩く外勤スタッフ、BlackBerryを活用するマネジャーが増えるのに伴い、SMBにとってエンドポイントセキュリティが極めて重要になってきた。また、社外で仕事を行うために、プレゼンテーションなどのデータを入れて持ち歩けるUSBメモリなどのコンパクトなポータブルストレージデバイスの利用も広がっている。こういったデバイスは、SMBにとって大きなコスト削減につながる。従業員が社外で働けるようにすることで、高価なオフィススペースを確保する必要性が少なくなるからだ。
しかし、この自由にはネットワークセキュリティに対する深刻なリスクも伴う。これらのデバイスが適切に設定されていなければ、ネットワークに直接接続し、従来型のファイアウォールを迂回できてしまうからだ。その結果、ネットワークにマルウェアが持ち込まれたり、機密情報や顧客データがネットワークの外に流出する恐れがある。
リモートデバイスを適切に設定し、ファイアウォールあるいは専用のゲートウェイ経由でしかネットワークにアクセスできないようにしておくだけでなく、デバイスに十分なセキュリティ対策を施し、マルウェアが入っていないことを確認する必要がある。言い換えれば、パッチおよびウイルス対策ソフトウェアが最新状態になっているデバイス以外にはネットワークへの接続を許可すべきでないということだ。USBメモリなどの外部ストレージデバイスに関しては、業務目的で必要なユーザーだけにその使用を限定するか、社内ネットワークから完全に遮断する必要がある。
エンドポイントセキュリティ分野のSMB向け製品としては、Safendの「Safend Protector」やCentennial Softwareの「DeviceWall」などがある。両製品ともインストールが簡単で、ネットワーク上でエンドポイントやデバイスを監視・管理するための使いやすいWebベースのインタフェースを備えている。
2008年もWebとアプリケーションのセキュリティは、SMBにとって重要な関心事になるだろう。2007年と同様、ハッカーは今後も「スケールダウン」を進め、より小規模な企業をターゲットにするだろう。スタッフが充実したセキュリティ部門がある大手企業よりも防御が甘いと考えられているのだ。SMBのWebサイトは大企業のWebサイトと同様、クロスサイトスクリプティング（XSS）、SQLインジェクション、セッション乗っ取りなどによる攻撃にさらされる恐れがある。
Web攻撃に対する最善の防御は、Open Web Application Security Project（OWASP）が紹介している安全なコーディング手法に従うことだ。Webセキュリティの業界標準であるOWASPへの準拠は、PCI DSSのコンプライアンス要件にもなっている。OWASPでは安全なコーディング手法に加え、セキュアなWebデザインのベストプラクティス（Webサーバ構成など）も紹介している。
2008年はSMBのITセキュリティ担当者にとって厳しい1年になりそうだが、このチャレンジは克服不可能ではない。
本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。
Copyright © ITmedia, Inc. All Rights Reserved.
サイバー攻撃から自社を守るだけでなく、取引を拡大するためにもセキュリティ対策の強化は必須の取り組みだ。その理由を確認しながら、セキュリティ対策の強化で特に重要とされる従業員教育について、必要性や実践法を解説する。
ある調査によるとDXに取り組んでいる中小企業は、2割にも満たないという。中小企業がDXを実現できない理由となっているのが、人材不足だ。しかし、人材不足の中でもDXを目指して取り組めることはある。それがペーパーレス化だ。
IoTカメラは工場や倉庫における保安・監視用途などで活用されることが多かったが、現在の活用領域は大きく広がっている。観光地における課題解決と体験価値の向上を目指し、IoTカメラを観光コンテンツに応用した事例から、その実態を探る。
中小企業は、モバイルアプリケーションを活用することで顧客と密接な関係を構築したり、パートナー企業との関係を維持したりできる。モバイルアプリケーションが役立つ理由を7つ紹介する。
コロナ禍を経て、業務に必要な「ノートPC」の条件は変わった。どのような条件で選ぶことが望ましいのか。選定のポイントを解説する。
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「マーケティングオートメーション」 国内売れ筋TOP10（2025年5月）
今週は、マーケティングオートメーション（MA）ツールの売れ筋TOP10を紹介します。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年4月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年4月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
ITmediaはアイティメディア株式会社の登録商標です。
