N+I 特集

先進事例が証明するセキュリティで変わるビジネス

　セキュリティソリューションの役割は「何らかの事故や事件、障害の発生率を限りなく低くすること」にある。すなわちコストをかけて導入しても、それ自体が財務的なリターンを生み出すわけではない。しかしここ1年でセキュリティへの関心が高まり、ビジネス上でも効果を上げている事例が増えているという。こうした企業を支える「セキュリティインテグレータ」がテクマトリックスだ。

どんな事態が起こっても
ビジネスを続けられるか？

　今日、最も注目を集めているITソリューションといえば、何といってもセキュリティだ。今年4月から施行された個人情報保護法をはじめ、新聞やテレビなどでもセキュリティにまつわる事故や事件が頻繁に報道されている。

　だが一口に「セキュリティ」といっても、その扱う内容は非常に幅が広い。単なる法律の遵守だけでなく、ウイルスやワームによる被害に対処できるのか、ハッカーからの不正なアクセスを遮断できるのか、不正な操作により重要なデータが消えたら対処できるのかなど、すべての可能性についての対策が必要になる。

　つまり「何が起こってもビジネスを滞りなく進めることができ、かつ企業の信頼性を損なう事故や事件を起こさないための取り組み」がセキュリティなのだ。そして、このように幅が広いからこそ、「まずどの分野から着手すべきか分からない」と悩む企業も後を絶たない。

　こうしたユーザー企業の悩みに応えるのが、「セキュリティインテグレータ」を自負するテクマトリックスだ。「はっきりと対象製品が決まっていればいいのですが、セキュリティの場合、『何かしないといけない』という漠然としたニーズを抱えているケースが目立ちます。そこでわれわれが、ユーザー企業のシステム構成などから問題点を洗い出し、まず着手すべき具体的なソリューションにまで落とし込みます」（ネットワークセキュリティ営業部次長矢井隆晴氏）。

　具体的には、「アクセスの入り口から、守るべきサーバ・アプリケーションまで」のプロセスを、リモート接続の経路を守る「Remote Access Security」、端末を保護する「Edge Security」、文字通り企業システムの入り口を守る「Gateway Security」、インフラとして一連のセキュリティを支える「Traffic & Security Management」、および「コンサルティングサービスの5つに分け、それぞれに応じた製品を提供している（図1）。

図1　テクマトリックスが描く企業セキュリティソリューションの全体像。ビジネスの各シーンに応じて、末端からゲートウェイ、サーバまでをさまざまなレベルで保護し、事業の継続を支援する

リモートアクセスで
ビジネスプロセスを変革

　一般にこうしたセキュリティソリューションは、「起こるかもしれない障害や事故、事件を防止すること」が目的だ。将来的なマイナスを『ゼロ』にすることが目的とされる。それ自身が財務的なリターンを生み出すわけではないという宿命のゆえ、なかなか導入に踏み切れないケースもあるだろう。

　しかし最近では、一歩進んで、セキュリティソリューションを活用してビジネススタイルを発展させる事例が多数出てきているという。「特にリモートアクセスの分野は、かなり普及が進んだこともあり、さまざまな活用事例が出てきています」（矢井氏）という。

「一連のセキュリティソリューションを通じて、ただ自社を守るだけに終わるのではなく、新しいビジネスのあり方を提案していきたい」と述べる矢井氏

　従来、リモートアクセスというと、「営業マンなどが外出先からメールやスケジュールをチェックする」というイメージが一般的だった。個人のPCに専用のプラグインやソフトウェアを入れ、本社に大規模なサーバを導入し、利用する形だ。

　しかしテクマトリックスが提供しているSSL-VPNアプライアンス製品「FirePass」は、単なるアクセス制御の域を超え、ビジネスのやり方そのものを改善するソリューションとして採用されているという。

　「たとえば旅行代理店業のように、1つの本社に対して営業所や支店が数百あるような店舗型ビジネスで、SSL-VPNを有効活用したケースがあります。具体的には従業員に本社アプリケーションへのアクセスを提供するのですが、その際、職務に応じてアクセス権限を設定し、それぞれの必要な業務の範囲内でダイレクトに情報を入力してもらうといった形です」（矢井氏）。

　こうした支店や営業所などでは、そもそもPCの数も少ない上、FAXや専用線で情報をやり取りしているケースが多い。集約する本社としてみれば、データのフォーマットが定まっていないため管理工数がかかり、入力ミスやリアルタイムな情報共有ができないという課題があった。これを解決したのがFirePassだ。

安全なリモートアクセスを通じてアプリケーションの利用を可能にしながら、不正な攻撃はブロックする「FirePass」

　FirePassは、外部からのアクセスに対し「ネットワークアクセス」と「アプリケーションアクセス」という2つのアクセスモードを持つ。ネットワークアクセスとは、IPベースのアプリケーションに対して外部アクセスを可能にする機能。さらにクライアント完全性のチェックにより、Windows OSやIE、ウイルス対策ソフトなど基準に満たないアクセスを拒否させる。

　またアプリケーションアクセスとは、特定のユーザーに対し、外部から利用できるアプリケーションを指定する機能。Webベースのアプリケーションだけでなく、クライアント／サーバ型のアプリケーション、またターミナルサーバ、デスクトップ、UNIX、そしてホスト上のアプリケーションまで対象になる。

　矢井氏は「SSL-VPNは、技術的にはSSL暗号化技術を利用してVPNを構築するという単純なものですが、FirePassでは暗号化による通信のセキュリティ向上に加え、社内リソースそのものへのアクセスをきめ細かく設定できるのが特長です」と語る。

　上記の事例では、それまでFAXや専用線、ダイヤルアップなどでやり取りしていた情報を、直接本社側の基幹システムに送信することが可能になった。こうしてビジネスプロセスの迅速化を図ったゆえ、財務的なメリットを享受することができたという。

　なぜコストを削減できたのか。矢井氏は「FirePassだとクライアント側に専用ソフトを導入する必要がなく、本社側にFirePassを設置するだけで済むからです」と説明する。

　実際にこのユーザー企業では、いままでの入力担当者の人件費やダイヤルアップ接続費と、FirePass導入のコストを比較、試算した結果、9カ月で損益分岐点に達するという結論を得たそうだ。加えてセキュリティが向上されるという二重の付加価値により、導入を決めたという。

　矢井氏によると、こうした事例は数多く出ているという。後述する同社主催のセミナーでは、単なる「セキュリティの向上」からさらに進んで「ビジネスの改善」に結び付けたケーススタディが多数紹介される予定だ。

注目が高まる不正侵入防御を
高いパフォーマンスを実現

　さらに「もう1つの注目分野として、ゲートウェイ・セキュリティにおけるIPSがあります」（矢井氏）という。

　ゲートウェイ・セキュリティといえば、一般的なのはファイアウォールやウイルス対策など。矢井氏によると、この2つの製品群に関してはほぼ「常識」のレベルに達しており、ほとんどの企業で導入されている。その次のステップとして、ネットワーク状態を監視して不正侵入を検知するIDSが、一時期多くの注目を集めたが、実運用してみるといろいろな課題が見つかったという。

　「一般のIDS製品は、不正侵入を検知する機能が主なので、その後の防御策は別に工夫する必要があります。また、メールサーバやWebアプリケーションサーバなど、防御法が異なるネットワークやサーバに対して、一律に不正侵入のログを通知するので、管理者の手に負えなかったり、不要なログや誤検知が多いという問題もあります」（矢井氏）。

　そうした問題を解決した製品としてテクマトリックスが提供するIPS製品が「McAfee IntruShield」（IntruShield）だ。

　IntruShieldは、まず、開発元がウイルス対策ソフトベンダーということもあり、さまざまな侵入検知やワームを迅速にシグネチャに反映できるという強みがある。さらに、技術的な特長が2つある。1つは、専用ASICを搭載することで高パフォーマンスを可能にしたこと。IPSの場合、不正な侵入を検知し、それを阻止するためにはネットワークパケットの内部まで検査する必要がある。その処理に時間がかかるようでは、ネットワーク全体のパフォーマンスが低下し、ビジネスの効率まで落ちてしまう。IntruShieldでは、こうした懸念は払拭される。

ASICを採用し、高速に不正侵入をはじめとするさまざまな脅威を検出、ブロックするIPSアプライアンス「IntruShield」。それぞれの環境に合った形で運用が可能だ

　さらにネットワークセグメントやアドレスごとに異なる防御ポリシーを設定し、不正侵入を検知することが挙げられる。たとえばメールサーバやWebサーバなど公開しているサーバそれぞれに対する各種のアタックやワームなどに対する防御が可能になる。

　「これまでだと、すべてのネットワークをフォローする最大公約数的なポリシーを設定していたため、いたずらに検知数が増えてしまうという傾向がありました。IntruShieldならネットワークの特性に応じたセキュリティポリシーの設定が可能であり、さらに1台ですべてのネットワークを管理できるので、投資コストも大幅に削減されます」（矢井氏）

　先進的な企業は実際にIPSの導入、検討を始めている。「IPSは、幅広いセキュリティを構成する分野の1つですが、その重要性はますます高まるでしょう」（矢井氏）というように、IPSへの期待は熱い。

セキュリティがもたらす
コストメリットの事例を紹介

　ウイルス攻撃や不正侵入は、企業の信頼性を落とすだけでなく、復旧までの間、業務が停止してしまうことを意味する。かつて登場したSQL Slammerや年々巧妙化しているウイルスの被害を考えてみれば、その脅威は容易に想像できるはずだ。また、基幹システムに不正侵入を受ければ、重要な情報の漏えい、改ざんなど、どんな被害が発生するか分からない。

　こうした懸念は、業種、業態、規模の違いに関わらず、すべての企業に共通している。さまざまな脅威から自社を守ることは、いまや企業の常識。現に欧米では、セキュリティへの取り組み如何で取引先が決定されるケースもある。グローバル展開を目指している企業ならば、さまざまな法規制への準拠という意味合いからも、セキュリティへの取り組みが必須になるだろう。その上で、セキュリティへの投資をただの「出費」と位置づけるのではなく、事業に積極的に活用していく姿勢が必要になる。

　7月8日にテクマトリックスが開催するIntruShieldのセミナーでは、インターネット関連企業やSI企業、セキュリティ専門企業のCSOがそれぞれ、セキュリティ対策の導入例を語る。SI企業のCSOの場合、自社をモデルケースとすることで、顧客に高品質のソリューションを提供していくという取り組みを紹介する予定だ。

　またその前日の7月7日には、前述したFirePassによるビジネス変革事例紹介セミナーが開催される。この2つのセミナーを通じて、「セキュリティは『起こるかもしれないマイナス』をゼロにするのではなく、ビジネスの価値そのものを向上させるソリューション」であることが理解できるだろう。

　セミナーの申し込みについては下記のほか、6月に開催される「NetWorld＋Interop Tokyo」の同社ブースでも受け付ける予定だ。このブースでセミナーに申し込み、実際に参加すると、抽選で約半数の参加者にネットワークウォークマンがプレゼントされる。抽選に外れても、参加者全員にオリジナルノベルティグッズが配布される予定だ。まさに「セキュリティでビジネス上のリターンを得られる」ということを実感してほしい。