ISS、「事前防御」を目指すセキュリティ管理の新アプローチを発表

[怒賀新也，ITmedia]

　インターネットセキュリティシステムズは3月16日、企業のセキュリティ管理における課題について同社の取り組みを紹介する記者ブリーフィングを行った。セキュリティ被害に対する事前防御をテーマにしたサイトセキュリティ管理の方法論「Proventia ESP（Enteprise Security Platform）」が紹介されている。

　インターネットセキュリティシステムズのCIO、エグゼクティブ・セキュリティアナリストを務める高橋正和氏は、企業の情報システムがオープン化していくにつれてセキュリティそのものへの考え方が、「ITの特殊な分野の用語という位置づけから、経営の基盤の一部へと移ろうとしている」と話す。

　たとえば、ある工場では、ワームが生産施設のネットワークに侵入し、生産ラインが停止したという。「実際には、生産に関わる機材にワームが感染したわけではなかった」と同氏は説明。ワームの被害が企業のコアビジネスを停止させる可能性があることを示し、被害を事前に防御することの必要性を述べた。

　Proventia ESPは、企業がセキュリティを健全に保つための仕組みを定義するもので、一般にいうPDCAサイクルなどと対比することができる。特徴としては、脆弱性の発見からパッチの適用などの対応のすばやさにある。

　プロセスとしては、まず、設定ミスを含めたシステムのセキュリティ上の脆弱性の把握から始まり、それに対応した保護の優先付けを行う。このような分析を基に、攻撃が行われる前に脆弱性を保護するためのバーチャルパッチを用意して対応する。さらに、セキュリティに関する評価や監査結果から、脆弱性マップや脅威状況を示すレポートを生成するというサイクルだ。

　この中でも、脆弱性の発見に対応して、すばやくバーチャルパッチを適用することは、脅威への事前防御として最も注目が集まるっ機能となっている。

アウトソースかインソースか？

　高橋氏は、情報システムの運用をアウトソースするか、自社で対応するかに関する判断基準として、SLA（Service Level Agreement）を絡めて説明している。

　「SLAが高い場合、24時間365日の監視などを自社の人件費で行うよりもアウトソースする方がコストは低く済む。一方で、SLAが低い場合は、特定の作業がない場合もあり、何もしないでいいならば自社で対応した方がコストは低く抑えることができる」（同氏）

　Proventia ESPにより同社は、セキュリティにおける事前防御というアプローチを、企業がアウトソーシングによって実現することを1つの選択肢として市場に提案していく考えだ。