(1/2)セキュリティというと、特定の脅威に対する対策について考えるのが普通だ。その考えにはさらに重要な施策が見落とされている。効率的なのは最初から安全なシステムを構成することなのだ。true;});セキュリティというと、平均的なコンピュータユーザーは事後的施策、つまりウイルス対策プログラムやセキュリティパッチなど、特定の脅威に対する対策について考えるのが普通だ。した施策はワークステーションやネットワークのセキュリティを保つ上で一定の役割を果たしてはいるが、大概は、さらに重要な施策が見落とされている。効率的なのは最初から安全なシステムを構成することなのだ。そのために必要な作業の多くは簡単なことだが、ソフトウェア市場やIT管理の現場では、利用者の利便性が求められることと相まって、構成レベルのセキュリティ確保がないがしろにされがちである。構成中心セキュリティは、セキュリティアーキテクチャー、あるいは、予防的セキュリティとも呼ばれている。名称はともあれ、コンピュータシステムの設計と実装レベルからセキュリティを確保する方法である。Systemsの社長ダン・ラゼル氏は、この方法について次のように説明している。「システムは、ある目的の下で構築されます。仮に、そのシステムの目的を正確に規定できれば、必要な機能をすべて持ち、不要な機能はまったく持たないシステムができるでしょう。不要な機能こそ、脆弱性の巣窟だからです。一般に、不要な物を持たないというだけで、多くのセキュリティ問題が解消します。構成の仕方によって安全性を確実に高めることができるのです」マサチューセッツ工科大学の名誉教授であり、何百人もの学生たちを育てたコンピュータ界の先達ジェリー・サルツァー氏も同じ意見だ。「最良実践はシステム設計段階で適用すべきです。セキュリティレベルは自然に高くなります。原則といったセキュリティの基本原則や、驚き最小の原則といった人間工学の基本原則に基づいてシステムを構成するのです」このほか関連するセキュリティ原則として、セキュリティの大御所ブルース・シュナイアー氏が設立したCounterpaneで製品管理を担当するトビー・ウェアジョーンズ氏は、脆弱点の閉じこめや多重防護などを挙げている。Security)の研究員ケイス・ワトソン氏は、こうした原理を、より具体的に、システムの設計と構成における5原則にまとめている。所与の目的に従って構築し、その実現に必要最小限のものだけを盛り込むこと格納中のデータについて、その可用性と整合性を保つこと移動中のデータについて、その機密と整合性を保つこと不要なリソースは、すべて無効にすること必要なリソースへのアクセスを制限し記録すること管理者は、この原則に基づいてシステムを設計し構成することでセキュリティを改善できるだけでなく、利用者の求めに対応する時間的余裕も得られる。ワトソン氏は「最初から安全で復元力の高いシステムを目指せば、その後に必要となる事後対策は少なくなる」という。セキュリティの事後対策は予定されたものではなく泥縄式の対応であるため、通常、脅威の発生後直ちに実施することはできない。各ソフトウェアにパッチをバランスよく適用するのは難しい。した点を考慮すると、作業時間が少しでも削減できるのは、ほとんどのシステム管理者にとって歓迎すべきことだろう。後手のセキュリティ対策が多い理由セキュリティアーキテクチャーよりも泥縄式の対策に関心が集まるのは何故だろうか。サルツァー氏は、この問いに憮然として答えた。「利用者にとって選択肢はほとんどありません。ベンダーから提供されるシステムは穴だらけで、それも利用者にはどうすることもできないものばかりです」。利用者にできることといえば、脆弱性が発見され、それに応じてベンダーがパッチを発行するのを待つことだけなのだ。ワトソン氏は、自身の経験から、企業の体質にも問題があるという。「多くの企業では、セキュリティはIT部門だけの問題だと考えられています。本当は、上層部の参加と支援が必要なのですが。それに、技術部門以外の利用者にはセキュリティ意識がほとんどありません。彼らは研修を受けておらず、多くの人は技術的に対応できる状態にありません。IT部門も長期的な観点からセキュリティに取り組みまないため、眼前の火事を消火することしかできません」しかし、企業に、もっと長期的な観点から取り組みめというのは無理なようだ。ウェアジョーンズ氏によれば、「構成レベルからセキュリティ対策を施せば、顧客からの信頼、セキュリティ担当者の疲弊、部内者の脅威などの点で改善が見込め」るが、これらは「無形であり、定量的に」述べるのが難しいからだ。ラゼル氏は、さらに、IT市場自体の特性も指摘する。ウイルス対策プログラムなど、事後対策ツールの市場には秩序がなく、顧客に対する啓もうつまり「責任ある営業姿勢」が見られないため、利用者が長期的なセキュリティソリューションを考えさせられることがないのだという。ラゼル氏によれば、最大の問題は、コンピュータがトースターや洗濯機のように便利で使い捨て可能な家庭用品として扱われていることだという。「ボールペンやライターのように3年で使い捨てるつもりでなければ、こうした発想は生まれません。(コンピュータは)自動車や山小屋のようなもの。事務所のように長期的な投資なのです。称して情報を盗む「ご注意!!OFFICEのプロダクトキーが不正コピーされています。「ご注意!!OFFICEのプロダクトキーが不正コピーされています。称して情報を盗む「ご注意!!OFFICEのプロダクトキーが不正コピーされています。Updateで追加されるセキュリティ機能たち「PHPMailer」に重大な脆弱性、直ちにパッチ適用を「ご注意!!OFFICEのプロダクトキーが不正コピーされています。称して情報を盗む「ご注意!!OFFICEのプロダクトキーが不正コピーされています。Japanスマートジャパン3Dモデラボキャリア@IT自分戦略研究所エンジニアライフディルバートアプリITmediaねとらぼねこらぼついトピ!ITmediaはアイティメディア株式会社の登録商標です。