「専業ではできないことができる」――IBMのセキュリティとは？：IBM Security Summit 2008

広範な製品ポートフォリオを持つIBMだが、無名に近いセキュリティ分野ではどのような展開を狙うのか？　IBM ISS部門のエヴァンスディレクターは、「従来ではできない取り組みが実現する」と話す。

[國谷武史，ITmedia]

　米IBMは、メインフレームやサーバなどのハードウェアからWebSphere、Lotusといったソフトウェアまで幅広い領域を抱えている。しかし、セキュリティの分野では2006年にInternet Security Systems（ISS）買収などを行ったものの、同分野におけるIBMの立場は無名に近い。IBMはセキュリティ分野で、どのようなカラーを打ち出すのだろうか。IBM ISS部門でセキュリティ戦略と技術統合を担当するピーター・エヴァンスディレクターに聞いた。

―　IBMはISSの統合において、どのような取り組みを行ってきたのでしょうか？

エヴァンス氏　IBMとISSとの間では、具体的に2社の資源でどのような相乗効果を生み出すことができるのかについて、3つのポイントを重点的に進めてきました。

エヴァンス氏

　一つは、1社ですべてのセキュリティ領域をカバーするようにするという点です。現在のセキュリティ市場には多数のベンダーおよび製品が存在しますが、この環境が企業のセキュリティ投資を圧迫しているという事実があります。IBMとISSが一緒になれば、（監視カメラなどの）物理セキュリティの分野含めた広範なセキュリティ領域に1つの企業で提供することができるのです。もう一つは、2社が一緒になることでそれぞれが持っている製品やサービスの市場優位性を維持しながら、製品ポートフォリオをさらに広げるようにするという点です。

　3つめのポイントは、顧客企業に提供する製品やサービスにおいて後からセキュリティ対策を用意するのではなく、最初からセキュリティ対策を組み込むことができるようにするという点です。環境に配慮したグリーンデータセンター、もしくはVoIPシステムといった新たなシステムに対して、顧客企業がセキュリティ対策を後から講じるのでは、セキュリティがすでに確保された状態で運用に着手できるようにするといったことを重視してきました。

―　IBMの1つの部門となったISSではどのようなサービスを提供するのですか？

エヴァンス氏　サービス領域では「プロフェッショナルサービス」と「マネージドサービス」の2つのサービスを展開しています。プロフェッショナルサービスは、システム構築からコンサルティングまでの幅広い部分をカバーしており、パートナー各社と協力しながら顧客企業にサービスを提供しています。最近のケースでは、「PCI DSS」（クレジットカード取り扱い企業におけるセキュリティ基準）に対処しなければならない企業が増えています。IBMは、PCI DSSに準拠するためのノウハウやシステムを広範に提供できる数少ない企業の中の1つです。

　また、マネージドサービスは従来からISSが得意としてきたサービスです。セキュリティ専任者の設置といった人材や予算、ノウハウに制限のある中堅、中小企業からネットワーク監視業務のアウトソーシングを受け、「SOC」（セキュリティ監視センター）で集中監視するというものです。

―　新たに「Secure Store」ソリューションを発表しましたが、なぜ小売業界にフォーカスするのですか？

エヴァンス氏　小売業界の企業は、クレジットカード情報など重要性の高いさまざまな顧客情報を日常的に取り扱っています。しかし、小売業界は価格競争が厳しく利益にも十分な余裕がないことから、セキュリティ対策への投資は後回しにされてきました。多く企業が導入しているのは、アンチウイルスやファイアウォールなどの伝統的なセキュリティ対策がほとんどです。

　最近はマルウェアやボットネット、ルートキットのような新たな脅威が広まっています。しかし、伝統的なセキュリティ対策ではこうした新たな脅威を防ぎきれません。さらには、重要な情報が企業の外部に漏えいしてしまうことで、顧客への賠償対策など多額のコストが発生し、顧客の信頼も失います。こうした影響は甚大なだけに、小売業界ではコストをかけて新しいセキュリティ対策を導入しなければならないという機運が高まりました。

　セキュリティ対策には、データ保護のような「論理セキュリティ」と監視カメラやセンサを利用するような「物理セキュリティ」があります。特に小売業界はこの2つのセキュリティ対策を強く必要としている世界です。顧客情報を守るだけでなく、来店客の万引きや店員による商品の横流しといった不正行為にも対処しなくてはなりません。

　セキュリティ専業では、こうした個別のニーズに対処するのが難しいのですが、IBMの持つ業界別のソリューションとISSのセキュリティノウハウを統合することで、例えば映像解析とネットワーク技術を利用して、犯罪や不正行為を遠隔からシステムとして監視できるようになります。このような、論理セキュリティと物理セキュリティを1社で提供できるのはわれわれだけでしょう。

―　Secure Storeはどのように提供していくのですか？

エヴァンス氏　顧客企業がどのようにセキュリティ対策を導入したいのかという目的に従って最適な方法を用意します。IBMとISSのセキュリティ技術やノウハウをプロフェッショナルサービスに集約しており、どのような形でも提供できるでしょう。段階的にセキュリティ対策を強化したいといったニーズにも対処できます。

―　セキュリティ専業のISSから見た巨大なIBMのセキュリティレベルはいかがでしたか？

エヴァンス氏　わたし自身、統合の際にIBMネットワークへの不正侵入テストなどを担当したが、予想以上に対策が行き届いていました。IBMのような大企業にはセキュリティの盲点が潜在的に存在しているケースがほとんどですのでIBMも満点ということはないのですが、大企業の平均値を大きく上回っていました（笑）。

過去のセキュリティニュース一覧はこちら