ICT用語ガイド
GUIDE 008 暴露型ウイルス
～「山田オルタナティブ」から学ぶセキュリティ対策法～

パート2　【インタビュー】プロの視点から見た、企業に求められているセキュリティ対策とは？

今回はNTTコミュニケーションズのネットワークサービスのセキュリティを支える「SOC（Security Operation Center）」の担当である岸川雄輝さんと佐藤晃一さんに話を聞きました。日々ウイルスと戦う現場の生の声から、これからの対策ポイントが見えてきました。

ここ最近暴露型ウイルスの脅威が注目されていますが、ウイルスの攻撃は年々増加しているのでしょうか？

ITマネジメントサービス事業部　NWマネジメントサービス部　セキュリティオペレーション部門　岸川雄輝

そうですね。すべてが暴露型ウイルスではありませんが、新種ウイルスという意味では、亜種まで含めると、一日に多いときは3桁ベースで見つかっています。弊社はトレンドマイクロ株式会社とのチームワークで、ウイルス対策に当たっているのですが、ウイルスパターンファイルの更新頻度は確実に短くなっています。つまり新しいファイルが作られる頻度が上がってきているということです。ウイルスが連続して発生し、日に何度もパターンファイルを公開した時期もありました。
最近のウイルスの傾向としては、不特定多数を攻撃して、世間を騒がすことを目的とした劇場型、愉快犯的なものに加えて、特定の企業やサービスを狙って、ピンポイントで攻撃を仕掛けるものが増えてきているように感じています。それだけウイルスを作成する側の質も変わってきたのではないでしょうか。これまでは個人がウイルスを作成することで腕試しをするような要素があったように思いますが、今は攻撃目標や目的意識がはっきりしてきているようです。ウイルスの侵入経路や攻撃パターンを見ても、巧妙になっていることは明らかです。（佐藤）

ITマネジメントサービス事業部　NWマネジメントサービス部　セキュリティオペレーション部門　佐藤晃一

でも、実際の被害の割合を見ると、外部からの攻撃やウイルス感染などは、2～3割程度でしかないのです。ウイルスに対するセキュリティ対策を採る企業が増えた結果です。ひとたび、ウイルスに感染すると、業務の停止や社会的信用の失墜につながりますから、ウイルス対策こそが、セキュリティ対策だと考えている方も少なくはないのですが、実際はそうではありません。ウイルス対策よりもっと大きな問題があるのです。それが「人的セキュリティ」。つまり内部の人間が原因で起こるインシデントに対する対策です。
我々は企業の情報システムに対して、「3つの脅威」があると考えています。いわゆるウイルス感染や不正ソフトのダウンロード、クラッキングなどの不正侵入といった「技術的脅威」、盗難や災害といった「物理的脅威」そして、人間の操作ミスや内部から情報が漏洩してしまう「人的脅威」です。もちろんウイルスなどの技術的脅威も恐ろしいのですが、実は人的脅威、つまり内部的要因によってデータが流出してしまうケースが、なんと7割以上にも及んでいるのです。（岸川）

情報セキュリティに関する脅威

7割が内部によるものとは驚きです。暴露型ウイルスによる一連の事件でも、個人用のPCから流出しているケースがほとんどでした…。

やはりそこが企業のネットワーク管理における最大の課題であると思います。末端のクライアントPCまで、100％管理することは難しいですし、データを外部に持ち出せる、あるいは逆に個人のPCを会社のネットワークにつなぐことができるといった管理体制にも問題がありますよね。（岸川）

我々もそこは大きな問題だと捉えていまして、情報漏洩の回避はまずPCの管理などを含んだ情報資産の管理のあり方からだと考えています。PCを持ち込まない、持ち出さない。顧客情報などのデータ化した資産を持ち出さない。不適切なソフトウェアはインストールしない、させないといったルールを作って徹底させることが大切だと思っています。例えば、PCデータの外部持ち出しは一切禁止。メールを社外で受けることはさせず、会社から支給されているPCに、USBメモリを差し込んでも作動しないなど、情報資産の管理は年々厳しくなる傾向にあるようです。（佐藤）

セキュリティリスク＝「脅威」×「脆弱性」×「資産」

社内ルールだけでなく、ハード的にもデータの持ち出しを阻止しているわけですね。それがセキュリティ対策のポイントになるのでしょうか？

セキュリティのリスクは、「脅威」と「脆弱性」、そして「資産価値（影響範囲）」の3要素が絡まって生まれるものです。脅威はウイルスなどの不正プログラムやクラッキングなどの不正行為、あるいは内部犯行や人為的ミスですね。脆弱性は、セキュリティホールなどの技術的な問題、そして資産価値というのは、その組織にとっての情報資産であって、これが外部に漏れて問題が起こるわけです。
脅威などまるでない安全な環境で、何ひとつ問題のない完璧なシステムでネットワークを作る。扱うデータは外部に漏れてもちっとも構わないものである。こんな状況ならセキュリティ対策などする必要もなければ、意味もありませんが、実際にはそんなことはありえませんよね。企業のネットワーク内にあるデータはそれぞれ重要なものばかりですし、内外に脅威は存在しますし、技術的な弱点もある…。現実の世界において、リスクがゼロになることはあり得ないのです。だったら私たちができることは、「いかに影響範囲を小さくして、リスクを小さくしていくか」だと思いますね。（佐藤）

不正なソフトウェアによる情報漏洩リスクへの対処方法の概要

社員の方、ひとりひとりにセキュリティ意識を高めてもらう、さきほど佐藤が話しましたがPCやデータを「持ち出さない、持ち込まない」といった企業内ルールをつくることも一例です。セキュリティに対する企業ポリシーを明確にし、社員に刷り込んでいく啓蒙活動が重要だと思います。（岸川）

情報資産の管理など、組織内でできることは各企業で管理体制を作っていく。それ以外の、例えばウイルス対策やネットワーク管理における技術的なことや、外部の脅威に対する対策などは、我々のようなプロ集団にアウトソースするのも、ひとつの手ではないでしょうか。実際にお問い合わせも増えてきています。何しろこの業界は動きが速いですし、最初に申しましたようにウイルス自体の数も増えています。社内体制も強化する、ウイルス対策も行うというように、セキュリティに関するすべてのことを一企業内だけで何もかもやろうとするのは、コスト面や手間のことを考えると実際問題として、もう難しいのではないでしょうか。（佐藤）

脅威にさらされていることがわかったら、いかに短時間で対策を打つかが被害を最小限にとどめる鍵となります。被害の拡大と共に、信用も失うことになりますし、回復するための時間もコストも膨大なものになってしまいます。しかし、通常企業内のネットワーク管理部門は、ウイルスの専門家ではない方が大半なので、もしものことが起きても、「何かがおかしい」ということはわかっても、それが何なのか、原因を突き止めるのは困難だと思います。できたとしても、かなりの時間がかかり、その間にどんどん被害は大きくなっていくわけですから…。その点、我々SOCは24時間、365日体制でお客さまのネットワークのセキュリティを守りますから、何かあっても早急に対応しますので、安心して使っていただけると思います。（岸川）

実際にウイルス感染から駆除まで、どんな対策が取られるのでしょう？　何か事例はありますか？

マスメーリング型ワームの対策事例についてお話します。あるお客さまのネットワークにおいて、不審な添付ファイルを開いたことにより爆発的に感染が広まったことがありました。新種のワームだったため既存のウイルス対策ソフトでは対応できなかったのです。一人が添付ファイル（ワームの実行ファイル）を開いてからわずか30分で通常のメール流量が約8倍にも膨れあがってしまったのです。業務に必要なメールの送受信ができなくなり、お客さま社内は騒然となりました。すぐさま感染したPCを特定しLANからの切り離しを依頼するとともに、我々SOCをご利用のお客さまへ警報を発信しました。同時にウイルス対策ソフトのメーカと密に連絡を取りながら不審なファイルを解析し、「新種のワーム」だとわかったのが、感染から約40分後です。その後すぐにコンテンツフィルタリングを行い、これ以上被害が大きくならないよう緊急処置を行いました。その間に、ウイルス対策ソフトのメーカよりウイルスのパターンファイルが公開され、すぐさま強制的に配信、駆除に成功しました。ここまでで約2時間です。たぶん、自社内でサーバ管理をしていたら、これほど早急な対策は打てなかったと思います。（岸川）

我々は対策の遅れによる1分の差が結果的に大きな違いを生むことを、経験によってもよくわかっています。ウイルスなどに感染しない環境を作り上げることも大切ですが、もし感染した場合、どこまで早急に手を打てるか、その準備をしておくことも、同様に企業にとって大切なことではないでしょうか。専門的な分野は、我々のような専門家にお任せいただいて、お客さまには、ご自身のコア事業に注力していただけるよう、お手伝いできればと考えています。
さらに、最近のウイルスは、従来のウイルスのようにトラフィックが急激に増えたりというように、わかりやすい反応を示さなくなっているので、見極めがますます難しくなっています。我々にとってもどのように対策をしていくかは、常に現在進行形の課題であり、企業の担当者、ウイルス対策ベンダーと密な関係を保ちながら、大切なネットワークを守っていきたいと思っています。

セキュリティ対策とは、ウイルス対策をはじめとする技術的な問題が大きいのかと思われがちですが、現実はそうではなく、人為的ミスによる事故件の方が圧倒的に多いことがわかりました。技術の力で外部の敵から身を守ることももちろん大切ですが、社内のモラルアップを徹底し、知識の向上をはかって、内部からのガードを固めていくことがいかに重要か、ということです。
「人」というリソースの管理はそれぞれの企業にしかできません。しかし、技術的な防御はアウトソースが可能です。これからの時代、専門分野はプロに任せて企業は内部からのガード作りに専念する。そんなふたつの角度から、セキュリティを考えていくことが肝要です。

●NTTコミュニケーションズの関連サイト