ISO/IEC15408認証取得製品を活用してよりセキュアな情報システムを：情報セキュリティを支える日立オープンミドルウェア（2/2 ページ）

[ITmedia]

企業の情報資産を強固に守るJP1のセキュリティ機能

日立製作所 ソフトウェア事業部 新分野事業推進室 主任技師 高橋亨

　一方、企業の情報資産を守るための具体的なセキュリティ対策については、どのような取り組みが進められているのだろうか。

　オフィスには、財務や人事など会社経営の根幹にかかわる企業情報、設計書などの技術情報、従業員や顧客の個人情報など、守るべき「情報資産」があふれている。それらは書類や電子媒体、PCやサーバ内の電子データという形で保管されているが、業務ネットワークに抜け穴があったり、容易に情報を持ち出せる環境であったりすると、いつ不正アクセスや情報漏えいが起きても不思議ではない。個人情報の場合、氏名などに加えてクレジットカード番号や口座番号、ID、パスワードといった重大な被害につながる情報が万一流出すれば、多額の賠償責任はもちろん、企業イメージや信頼の失墜により、経営自体が存続の危機に陥る可能性もある。

　「企業活動のグローバル化により、文化や慣習が異なる海外拠点でのセキュリティ確保が新たな課題となっています。また、専任のシステム管理者が置けない中小企業では個人任せの管理になりがちで、リスク対策の推進が困難です」と指摘するのは、日立製作所 ソフトウェア事業部 新分野事業推進室 主任技師の高橋亨である。

　日本ではすでにほとんどの企業がネットワーク境界部をファイアウォールで囲み、またWebアクセスやメール宛先の制限、マルウェア対策などを実施している。だが、そうした一般的な対策だけではカバーしきれない抜け穴が「数多く存在している」と高橋は言う。

　「例えば、外部から持ち込んだ個人用のPCやUSBメモリを社内ネットワークにつないでしまうケース。そこにウイルスやスパイウェアが潜んでいると、いくら外部の守りを固めても内部から一気に感染が広がっていきます。USBメモリ経由で持ち出された社内情報が、自宅のPCにインストールされていたWinnyなどのファイル共有ソフトで流出してしまう事故も後を絶ちません」（高橋）

　また、セキュリティパッチの適用忘れによる不正アクセスの発生も依然として減っていない。パッチ適用を個人任せにしていては、従業員の数が多いほどリスクが高まることになる。さらに日本では、電子データだけでなく紙媒体での情報流出が多いことにも注意が必要だ。こうしたセキュリティインシデントの発生は、故意による内部犯行や単純な操作・設定ミスだけでなく、「組織としてのセキュリティポリシーが確立されていないことや、従業員のセキュリティ意識の不足にも起因している」と高橋は言う。

　それでは、一般的なセキュリティ対策ではカバーしきれない数々の脅威に対抗するには、どのような対策を行えばよいのだろうか。

　「全方位的な情報セキュリティを確立するには、社内に散在する“抜け穴”対策に加え、従業員の努力に依存しないで済む、対策適用の自動化が重要なポイントとなります。そのためにはスピーディーかつ容易に導入できるソリューションを採用し、その成果を確認しながら、着実なPDS（Plan-Do-See）サイクルを回していくことが必要です」（高橋）

ポリシーに基づいたPCの検疫

　統合運用管理ソフトのデファクトとして評価の高いJP1 は、こうした情報セキュリティ対策を支援する強力な機能を備えているという。以下、JP1が提供する情報セキュリティ対策支援の具体的な機能内容を見ていこう。

セキュリティパッチの自動適用

　セキュリティの確保には必須となるパッチ適用だが、その更新は頻繁で不定期なため、クライアントPCへの適用を徹底するには大変な手間がかかる。そこでJP1では一定時間ごとに最新のWindowsパッチやウイルス定義ファイルを自動的にダウンロードし、エンドユーザーの操作なしでインストールできる機能を提供する。「業務アプリケーションへの影響が懸念される場合には、任意のグループのみに一斉適用したり、時間を指定して適用するなどのきめ細かな設定も可能です」と高橋は説明する。

　ユーザーはパッチのインストールを意識しなくてよいため、業務に負担がかからないほか、パッチ適用の徹底が図れ、セキュリティの「抜け穴」の極小化に貢献する。

脆弱なPCをつながせない「検疫ネットワーク」

　JP1なら、セキュリティポリシーに違反したクライアントPCの接続を防止する検疫ネットワークを容易に構築できる。同機能はネットワークに接続されているすべてのクライアントPCを監視し、セキュリティポリシーに違反しているPCを業務ネットワークから即座に排除できるほか、あらかじめ隔離・治療を行ったうえで接続させることも可能だ。許可なく情報を持ち出させない

「印刷禁止・外部メディア制御」

　JP1は、クライアントPCからの印刷実行を抑止できるほか、外部メディア（USBメモリ、外付けHDD、CD/DVDなど）に対する読み書き操作も制限できる。外部メディアのドライブ自体を使用不可にしたり、USBメモリなら、読み取りは可能で書き込みだけを禁止する、などの設定も柔軟に行える。

　このほかにもJP1は、クライアントPCの操作履歴を収集し、不正操作などが行われていないかを監視する「操作ログ取得・監査」や、危険なソフトを使わせない「不正ソフト起動抑止」、情報セキュリティ対策の見える化を推進し、全体または部署ごとの対策状況をリポートする「対策レベル評価」など、多彩な機能を提供している。

　「JP1は、製品セキュリティ・ライフサイクルを適用した要件定義の段階から、お客さまの情報セキュリティ対策に漏れが発生しないよう、必要とされる機能をきちんと考慮した開発が行われています」と胸を張る高橋。そして、「これからも私たちはお客さまに安心してご利用いただけるソフトウェアを世に送り出すため、継続的な体制強化に取り組んでいきます」と力強く語る栗田。Cosminexus、HiRDB、JP1、EURといった日立のミドルウェア製品群は、セキュアな情報システム確立の中核として、安心・安全な社会を支えるための重要な礎となっているのである。

日立ミドルウェア製品へのISO/IEC15408認証取得状況