ソフトウェアベンダーが考えるセキュアなクライアント環境とは？：次世代企業が目指すべきセキュアなクライアント環境の実現（2/2 ページ）

[下村恭（ハンズシステム），ITmedia]

セキュリティ対策は保険か？

　企業のセキュリティ対策に関するコストを考えると、直接売り上げに結びつかないという面から「保険」のように扱われがちだ。その結果、十分な金額を投入できていないという傾向がある。

　これについて小野寺氏は、「セキュリティにお金を掛けているのではなくて、企業イメージや企業の信用に対してお金を掛けていると考えてほしい」という。セキュリティにかかわるよく分からないコストと見るか、ブランドを守るための先行投資ととらえるのか、考え方の切り替えが重要だろう。

　コストの面からは、別の見方も提案された。「セキュリティに関しては、弊社製品では基本機能だけで多くのことができるようになっている」と永妻氏。

Windows本部 ビジネスWindows製品部 シニアプロダクトマネージャの永妻恭彦氏

　「マイクロソフトのサーバとクライアントなら、ADなど標準の機能だけで管理ができ、追加製品の購入は必要ない。一定基準の機能は標準のものや無償のツールなどで提供している。当然、それ以上のセキュリティを求めるユーザー、あるいはリスクを減らしたいというユーザーのために、さらに上位の製品やテクノロジーという形で用意している」（永妻氏）

　すでに用意されている機能はしっかり利用したい。ADなどのように、セキュリティを向上させるために利用できる機能がまだ現状使われていないのであれば、まず、その機能を活用する。その上で、足りないと判断した部分にコストを掛ける。そういう使い方の提案ということだ。

セキュアなクライアント環境とはどうあるべきか

　では、セキュアなクライアント環境とは具体的にどういう状態を指すのだろうか。小野寺氏は次のように語る。

　「セキュアなクライアントを一言で言えば、管理者がその状況をいつでも見られる状態のクライアントということ。状態がどうであれ、見えていることが大切であり、ネットワークやシステム全体で、理由があってそういう状態にある、リスク管理がなされている状態が、セキュアなクライアント環境だと言っていい」

　「きちんと判断して危険な状態にさらしているのもセキュアであることの1つの形態。どういうリスクが起こり得るかが分かっていてそうしているからだ。対策費用を掛けるよりも、事後処理のほうがトータルコストで安く済む場合もあるだろう。こうした判断がきちんとなされているということが大切で、短く言えば「見えている」ことと「判断されている」こと、この2点に尽きる」（小野寺氏）

　セキュリティ対策全体のうち、インフラやシステムで自動的に守ることができる部分はごくわずかだ。マイクロソフトのセキュリティ対策は、多層防御を基本に考えられている。これからの対策は、防御のレイヤをもっと増やしていく方向にあるようだ。

　「基本は多層防御という考え方だ。多くのレイヤで守られている。Windows XPの次のVistaでは、XPで弱かったレイヤを補完する。XPは技術的な部分で守ってきたが、Vistaは心理の部分、詐欺的手法などの「悪意」からどのように守るか、というところに力を入れている」（永妻氏）

　ますます深刻になりつつあるスパムやフィッシングにも、これからの企業は対応していく必要がありそうだ。

　マイクロソフトから得られたセキュリティ対策の指針は、見て判断するというリスク管理と、多層防御というキーワードで語られていた。これからのセキュリティを考える際に、忘れることのできない重要なキーワードとなるだろう。