セキュリティというと、特定の脅威に対する対策について考えるのが普通だ。しかし、その考えにはさらに重要な施策が見落とされている。より効率的なのは最初から安全なシステムを構成することなのだ。
セキュリティというと、平均的なコンピュータユーザーは事後的施策、つまりウイルス対策プログラムやセキュリティパッチなど、特定の脅威に対する対策について考えるのが普通だ。こうした施策はワークステーションやネットワークのセキュリティを保つ上で一定の役割を果たしてはいるが、大概は、さらに重要な施策が見落とされている。より効率的なのは最初から安全なシステムを構成することなのだ。そのために必要な作業の多くは簡単なことだが、ソフトウェア市場やIT管理の現場では、利用者の利便性が求められることと相まって、構成レベルのセキュリティ確保がないがしろにされがちである。
構成中心セキュリティは、セキュリティアーキテクチャー、あるいは、予防的セキュリティとも呼ばれている。名称はともあれ、コンピュータシステムの設計と実装レベルからセキュリティを確保する方法である。カナダのコンサルティング会社Starfish Systemsの社長ダン・ラゼル氏は、この方法について次のように説明している。「システムは、ある目的の下で構築されます。仮に、そのシステムの目的を正確に規定できれば、必要な機能をすべて持ち、不要な機能はまったく持たないシステムができるでしょう。不要な機能こそ、脆弱性の巣窟だからです。一般に、不要な物を持たないというだけで、多くのセキュリティ問題が解消します。構成の仕方によって安全性を確実に高めることができるのです」
マサチューセッツ工科大学の名誉教授であり、何百人もの学生たちを育てたコンピュータ界の先達ジェリー・サルツァー氏も同じ意見だ。「最良実践はシステム設計段階で適用すべきです。これにより、一般に、実装・構成・運用段階でのセキュリティレベルは自然に高くなります。その次は、実装担当者。最小特権の原則といったセキュリティの基本原則や、驚き最小の原則といった人間工学の基本原則に基づいてシステムを構成するのです」
このほか関連するセキュリティ原則として、セキュリティの大御所ブルース・シュナイアー氏が設立したCounterpaneで製品管理を担当するトビー・ウェアジョーンズ氏は、脆弱点の閉じこめや多重防護などを挙げている。
パデュー大学CERIAS(Center of Education and Research in Information Assurance and Security)の研究員ケイス・ワトソン氏は、こうした原理を、より具体的に、システムの設計と構成における5原則にまとめている。
管理者は、この原則に基づいてシステムを設計し構成することでセキュリティを改善できるだけでなく、利用者の求めに対応する時間的余裕も得られる。その上、セキュリティアーキテクチャーを考慮しておけば、セキュリティ破たん後に行う多大なコストと労力を要するシステム再構築を避けられることが多いと ラゼル氏は指摘する。
さらに、ワトソン氏は「最初から安全で復元力の高いシステムを目指せば、その後に必要となる事後対策は少なくなる」という。セキュリティの事後対策は予定されたものではなく泥縄式の対応であるため、通常、脅威の発生後直ちに実施することはできない。また、各ソフトウェアにパッチをバランスよく適用するのは難しい。こうした点を考慮すると、作業時間が少しでも削減できるのは、ほとんどのシステム管理者にとって歓迎すべきことだろう。
セキュリティアーキテクチャーよりも泥縄式の対策に関心が集まるのは何故だろうか。サルツァー氏は、この問いに憮然として答えた。「利用者にとって選択肢はほとんどありません。ベンダーから提供されるシステムは穴だらけで、それも利用者にはどうすることもできないものばかりです」。利用者にできることといえば、脆弱性が発見され、それに応じてベンダーがパッチを発行するのを待つことだけなのだ。
ワトソン氏は、自身の経験から、企業の体質にも問題があるという。「多くの企業では、セキュリティはIT部門だけの問題だと考えられています。本当は、上層部の参加と支援が必要なのですが。それに、技術部門以外の利用者にはセキュリティ意識がほとんどありません。彼らは研修を受けておらず、多くの人は技術的に対応できる状態にありません。一方、IT部門も長期的な観点からセキュリティに取り組みまないため、眼前の火事を消火することしかできません」
しかし、企業に、もっと長期的な観点から取り組みめというのは無理なようだ。ウェアジョーンズ氏によれば、「構成レベルからセキュリティ対策を施せば、顧客からの信頼、セキュリティ担当者の疲弊、部内者の脅威などの点で改善が見込め」るが、これらは「無形であり、定量的に」述べるのが難しいからだ。
ラゼル氏は、さらに、IT市場自体の特性も指摘する。ウイルス対策プログラムなど、事後対策ツールの市場には秩序がなく、顧客に対する啓もうつまり「責任ある営業姿勢」が見られないため、利用者が長期的なセキュリティソリューションを考えさせられることがないのだという。
しかし、ラゼル氏によれば、最大の問題は、コンピュータがトースターや洗濯機のように便利で使い捨て可能な家庭用品として扱われていることだという。「家電のように(コンピュータを)自宅に持ち帰り設置して終わりという考え方が生まれたのは、何故なのでしょうか」
「ボールペンやライターのように3年で使い捨てるつもりでなければ、こうした発想は生まれません。しかし、(コンピュータは)自動車や山小屋のようなもの。事務所のように長期的な投資なのです。3年ごとにオフィスを使い捨てたくはないでしょう」
Copyright © ITmedia, Inc. All Rights Reserved.