こうしたセキュリティアプライアンスは、さまざまな種類のセキュリティ情報を1台で管理しようとする。そのためか、企業にある数千台のフロントエンドサーバのうち、1台のサーバからのトラフィックしか処理できなくなることもあるという。

　スタモス氏が具体例として挙げたのは、米Palo Alto Networksの「PA-7050」である。Palo Altoの次世代ファイアウォールシリーズの中で最も高額な製品だ。PA-7050自体は「いい製品だと個人的には思う」とスタモス氏は言う。だがセキュリティ機能を全て有効にした場合のスループットは、最大で100Gbps。Yahoo!の場合、わずかスイッチ1台からのトラフィック用に導入するだけでも、数百台を要することになる。Yahoo!のようにトラフィックの多いWebサイトにとって、これは極めて非現実的だ。「街角のあらゆる所に警察官を配置するようなものだ」と同氏は言い添えた。

　Yahoo!のセキュリティチームは常に、同社のさまざまなサービスに登録している何百万ものユーザーのうち、誰が正規のユーザーで、誰が詐欺行為を目的とするユーザーかを見極めようとしている。これは「地球滅亡を生き延びた人たちがゾンビ集団と対峙するような状況だ」とスタモス氏は話す。「月間8億5000万人が当社のメールを使っている。われわれは誰がゾンビで、誰がわれわれの社会に加わってほしい人間かを見極めなければならない。これは解決が非常に難しい問題だ」（同）

「エンタープライズセキュリティ製品」は価値か、無駄か

　高い投資対効果（ROI）が見込めるエンタープライズセキュリティ製品は「なかなか見つからない」とスタモス氏は言う。某エンタープライズソフトウェアセキュリティ企業がYahoo!に売り込もうとしたセキュリティ製品は、Windowsの根幹部分であるカーネルを操作して、この企業の言う“先端のAPT（Advanced Persistent Threat）攻撃者”がWindowsマシンに侵入したかどうかを判断できる、という触れ込みだった。

　スタモス氏によれば、このセキュリティ製品はYahoo!のアーキテクチャをプラットフォームの安定性が許容できないレベルにまで低下させるだけでなく、同環境で運用している「Mac」と「Linux」ベースのシステムも完全に無視していたという。

　「内在するシステムの多様性に目を向けていないエンタープライズセキュリティ企業があまりに多い」とスタモス氏は嘆く。Windowsの代替システムだけでなく、孤立していながら業務には不可欠でセキュリティ対策を必要とするレガシーシステムが存在する環境を持つ企業は少なくない。

　スタモス氏はセキュリティ企業に求めないものをはっきりさせる一方で、何を求めているかについても明言した。データを人間に送り返して、異常がないかどうかを人間が検証し、必要に応じて状況をさらに詳しく調査できるようにするための「ダム（dumb）」センサーがそれだ。ダムセンサーは、データの送受信および表示の機能のみを持ち、演算などの処理能力は持たない。例えば金融業界では、不審な取引を洗い出して行員がチェックし、口座の持ち主に連絡が取れるまでその口座を凍結する、といったことが実現できる。

　スタモス氏がエンタープライズセキュリティ企業に対して近い将来の実現を望むセキュリティ技術は、基本機能は無料で拡張機能には課金する「フリーミアム」の鍵管理、軽量リモート認証機能を備えたARMサーバなど多岐にわたる。

　スタモス氏はまた、Yahoo!自身がバグ懸賞金プログラムを運営するHackerOneと契約していることを明らかにした上で、情報提供を受けた脆弱性を各企業が自力で検証せずに済むよう、脆弱性情報に対して懸賞金を払うプログラムで何らかの形の自動検証機能を付加することも望ましいと述べた。これは大規模なセキュリティ専門チームを持たず、バグ懸賞金プログラムをアウトソーシングする組織にとって、大きな魅力になる。

　最も重要なのは、セキュリティ業界の意識改革だ。米国家安全保障局（NSA）や中国の人民解放軍などの政府機関が仕掛けるような高度な攻撃に破られるかもしれないという不安を口実に、セキュリティ業界は新しい種類の保護機能を模索できずにいる。こうした現状からセキュリティ業界が踏み出すことが重要になる。圧倒的多数のユーザーは、こうした高度な攻撃ではなく、Yahoo!のメールサービスのユーザーが見舞われているような一種の原始的なフィッシング攻撃の標的にされている。セキュリティ業界の現在の姿勢は、こうした現実を無視している。

　スタモス氏は、2015年からYahoo!のメールに送受信者だけが復号できるエンドツーエンドのPGP（Pretty Good Privacy）暗号化機能を導入することも発表。セキュリティ業界に対して、「単純にありとあらゆるセキュリティ対策を展開する姿勢を最初から取るのではなく、『普通の』ユーザーに目を向けてほしい」と要望した。

　「最も憎むべきは、『ユーザーが愚かだ』という理由で安全を守れないことだ。ユーザーの25％が使えないシステムを構築すれば、われわれの負けである」とスタモス氏は考えている。「何にでもパスワードを入力してしまうユーザーは少なくない。それはつまり、パスワードは何とかしないといけない、ということだ」（同）

　「スノーデン後のわれわれは現実に目を向けられずにいる。だが自分たちのユーザーが直面している現実の脅威を理解することこそ必要だ。われわれは業界として、ある程度制約を緩めなければならない」。スタモス氏はこう締めくくった。