企業セキュリティで注目すべきSNSの利用と対策

SNSを業務で利用する機会が広がり、セキュリティの観点からはウイルス感染や情報漏えいなどのリスクが高まりつつある。安全な使い方を早期に確立することが求められている。

[ITmedia]

　セキュリティ企業の米WatchGuard Technologiesでネットワークセキュリティ上級アナリストを務めるコーリー・ナクライナー氏は、企業が注目すべきセキュリティの脅威にWeb――とりわけSNSを挙げる。企業でSNSを利用する機会が増える一方、安全に利用するための環境整備が追いついていないのが理由だ。

　「Webが攻防の舞台になっている」とナクライナー氏。企業ではWebブラウザで業務アプリケーションやオンラインサービスを利用する機会が広がりつつある。サードパーティのプラグインなどを活用するユーザーも多い。その一方で、Webサイトを改ざんするなどの手法でマルウェアをダウンロードさせる攻撃や、プラグインなどに存在する脆弱性を悪用してマルウェアを実行させるといった攻撃が増えている。その状況が最も顕在化しているのがSNSであるという。

　例えば、Facebookでは「友達」との間でメッセージや写真、ビデオ、または外部サイトへのリンクを交えながらコミュニケーションを取ることができる。SNSと言えば、プライベートでつながりのある相手とのやりとりが多いように思われるが、「米国ではビジネスシーンでもSNSのつながりを活用する人が多く、日常的にアクセスしている」（ナクライナー氏）といい、日本でもこうした利用をするユーザーが少なくない。

　しかし、仮にやり取りする相手が「友達」になりすましたサイバー攻撃者だったとすれば、ユーザーがだまされてしまい、上述のような脅威に晒されてしまう。ナクライナー氏は、SNSがセキュリティの脅威になる理由に（1）「信頼」ベースの人間関係で成立している、（2）利用形態がダイナミックに変化する、（3）人気が高い――の3つの特徴を挙げる。

　企業としてSNSにおけるセキュリティ対策に、積極的に取り組んでいるところは、まだ少ないという。ある調査によれば、ポリシーやルールがないという企業は3分の1を占め、あってもIT部門が設定や管理をしている。だがSNSは、IT部門というよりもセールスやマーケティング、サポートなどでの利用が多く、「IT部門が彼らの使い方を完全に理解することは難しく、IT部門の感覚でルールを決めてしまう場合もある」とナクライナー氏。「『危険そうだ』とか『帯域を独占しそうだ』といった理由でSNSを遮断してしまう」（同氏）

　しかし、このような対応ではSNSを業務に貢献する使い方をしているユーザーの意欲も奪いかねない。ポリシーやルールがない企業が多い実態も考慮すると、SNSを安全で適切に利用できるようにするには、実際にどれだけ必要とされ、どの部分は必要ないのかを把握し、利用実態に即した対策を講じることが重要とナクライナー氏はアドバイスする。その方法の1つが「アプリケーションコントロール」という方法だ。

　アプリケーションコントロールは、米Palo Alto Networksが「次世代ファイアウォール」という概念で開発したセキュリティ技術。従来のファイアウォールでの対策は、「不正プログラムは何番ポートを使うから遮断する」とポート単位で行う。だがSNSを含めたWeb経由の攻撃はインターネットのポートを使用するので遮断することが難しい。

　アプリケーションコントロールではその通信をどのユーザーが行っているか、どのような内容（コンテンツ）を送受信しているのか、どんな操作をしているかといった観点で解析し、その結果に応じた制御を実施する。アプリケーションコントロールを利用すれば、ポートを遮断しなくても、誰がどんなSNSをどのように利用しているかが分かり、それに応じた対策が講じられる。

　「当社の場合は、まずシグネチャでアプリケーションがFacebookなのか、Twitterなのか、Skypeなのかといった点を特定する。さらに挙動解析で具体的な利用内容が分かるようにしている」（ナクライナー氏）。これにより、セールスやマーケティング担当者にFacebookの全ての機能の利用を許可しても、それ以外の従業員は昼休みに閲覧だけを許可するといったルールを設定できる。

　アプリケーションコントロールは、こうした柔軟性の高いセキュリティ対策を可能にするものの、多忙を極めるIT管理者が細かいルールを作る作業を手間に感じてしまうという課題も伴う。この点で同社は、アプリケーションコントロールを用いたルールのテンプレートを用意しており、IT管理者がこれを活用して自社に適したルールを容易に作成できるようにしているという。

　「将来的には、システム側で『こうしてはいかが？』とIT管理者にアドバイスしてくれるような機能も搭載したいと考えている」とナクライナー氏。また、マーケティング担当ヴァイスプレジデントのエリック・アレスタッド氏は、「アプリケーションコントロールは昨年に実装したばかりだが、日本のユーザーやパートナーからは日本固有のアプリケーションに対応してほしいという声が非常に多く寄せられ、可能なものは1〜2週間で対応している。分析の精度も高まりつつあり、日本のユーザーにより使いやすい製品にしたい」と語っている。

エリック・アレスタッド氏（左）とコーリー・ナクライナー氏