セキュリティ研究機関で働く筆者の仕事は，セキュリティに関する難問についての解決策や答えを見つけ出すことがかなりの部分を占めている。そのため，現在監視している脅威について話すのは簡単だし，これらの脅威が今後数年間でどのように発展していくのか推考したり，現在の保護技術がどのように機能しているか，あるいは進化した脅威に対応するためにはどのような種類の研究や投資が必要か議論したりするのは，私にとっていずれも難しいことではない。
ただ，未来のセキュリティ技術が「戦術的」なものから「戦略的」なものへと移行することについて，長期的な見解を出せと言われるとそう簡単には答えを出せない。
最近，筆者に寄せられる難問は，セキュリティ業界の展望について，特に「セキュリティ技術は今後どのように運用されていくのか」というものだ。
この難問の回答には複数の要素が絡んでくるが，ここでは「セキュリティ技術は今後，我々が購入する様々な製品やサービスへの搭載が進む」という一つの側面に絞って，筆者の長期的な見解を説明しようと思う（ほかの側面については，今後の投稿記事でカバーしていきたい）。
セキュリティの未来
まず，ソフトウエア業界はエンドユーザーの自己防衛を強調し過ぎる。一方，エンドユーザーは使用する製品にセキュリティ上の欠陥がないようにと，ベンダーに多くを求め過ぎていると思う。両者の間には歩み寄りの余地があり，そこにセキュリティ技術の搭載が重要な役割を果たす。
セキュリティの「搭載」は，人によって意味するところが異なる。筆者は，我々が日常的に仕事で利用するアプリケーション，物理的デバイス，あるいはサービスの中に，特定（「専門」と称するものが多い）の保護技術を埋め込むこととして心に描いている。また，セキュリティ技術の埋め込みを効果的なものにするには，エンドユーザーとユーザー・サポートの両方にその存在を意識させないようにする必要があると思う。
暗号化やイベント・ロギングなどは，埋め込み型セキュリティ技術として実際に使われている。これに対して，ウイルス対策（AV）製品や侵入防止システム（IPS）などで提供されるインタラクティブな保護技術は苦戦している。考えられる理由は，ほぼすべてのメーカーが，暗号化やイベント・ロギングにはコードを作成したり，既存ライブラリを活用したりすることで対応できるが，より高度かつ動的な保護となると，同じ方法は滅多に通用しないと感じていることだろう。
セキュリティを専門としない人達は，ソフトウエア業界の例え話に自動車業界を持ち出すのが好きだ（個人的には成熟度や失敗から学ぶ時間の長さにおいて，この比較はフェアではないと考えている）。それでは，今後，ソフトウエア業界が変化し，セキュリティ技術を搭載して行くのか，筆者がどのように見ているか，この例え話を使って説明しよう。
- 安全性とセキュリティは埋め込み型技術：自動車の購入を決定する際，誰が作ったかではなく，搭載されている内容（機能）をある程度基準にする
- 自動車メーカーはすべてを自社で製造するわけではない：最適な調達先から入手した部品を使用して自動車を組み立てる
- 自動車への安全/セキュリティの搭載がうまくできていると考えられる点は，ドライバーの介入を不要としたこと：いずれの技術も，ドライバーの安全を自動的に確保するようになっている
自動車を購入する場合，衝突テストの結果だけでなく，搭載された安全機能やセキュリティ機能の一覧も確認する。潜在的購入者はこの情報を調べることで，提示されたセキュリティ/安全機能が自分の「リスク受容レベル」を満たすかどうか自問自答し，そこにエンジン性能，車の色，お年寄りが後部座席に乗り込めるかどうかなど，より重要な決定要素を加える。潜在的購入者は，安全部品に関して「どこかほかの場所で入手してください」と言われることもなければ，安全装置を誰が製造したのかという事実に直面することもない。そのようなことは，自動車を組み立て，安全装置を適切に取り付けた会社（メーカー）を信頼している限り，あずかり知るところではない。
さらに，新しい自動車を買う際，「側面衝突時の衝撃を和らげるためドアに組み込むサイド・インパクト・バーのサイズは，4インチにしますか，それとも5インチにしますか」といった質問をされることはないし，すべてのエアバッグがきちんと袋に入れられたまま後部座席に積み上げられ，家に帰って自分で取り付ける羽目に陥ることもない。最も重要な安全技術は，自動車と一体化している。
では，なぜ我々は依然として，ソフトウエアを買おうとしている人々に安全（セキュリティ）に関する決定を委ね続けているのか。購入者がセキュリティを必要としていることは分かっているのに，ソフトウエア業界は購入者にセキュリティ機構のほとんどを理解するよう求めている。消費者がWebサーバー製品を購入する際，複数のベンダーからセキュリティ製品を調達するのか，あるいはこれらの製品すべての保護技術が取り込まれたセキュアなWebサーバーを購入するのか。どちらのパターンに向かうのか，考えてみてもらいたい。
同じだけど違う「プリエンプティブな保護技術」～事前防御の考え方
埋め込み型のセキュリティ技術が停滞している要因は何だろうか。現在乗り越えなければならないハードルの一つは，商品化された多くの保護技術を，多種多様な製品へ容易に展開/搭載可能なソフトウエア・エンジンに押し込まなければならないことだ。現在，セキュリティ・ベンダーの一部が実際にOEM用セキュリティ・モジュールを販売しているが，これらは別のセキュリティ・ベンダーが出している多機能セキュリティ・アプライアンスなどの製品に取り入れられているに過ぎない。
この問題が生じている理由には，セキュリティ技術が受け身的なものである，頻繁な更新/監視が必要であるといったことも挙げられる。シグニチャ・ベースのウイルス対策製品を自動車のエアバッグに例えてみると，数日おきにエアバッグ用のガスを再充填（じゅうてん）し，毎月縫い直し，その果てにダッシュボードの大きな赤いボタンを押して，事故の際に正常に展開するかどうか確認しなければならないのだ（操作を「意識させないこと」がなぜ重要なのか想像してみてほしい）。
このため筆者は，今後数年間は「事前防御」の普及が進むと予測している。これら技術のエンジン部は通常，頻繁なアップデートが不要で，代わりにヒューリスティック技術，振る舞い分析技術，アダプティブ技術などが用いられる。既に一部は実現しているが，商用化されて幅広く普及するまで，一部のセキュリティ・ベンダーは，これらを組み込みコンポーネントとしてではなく，単独のセキュリティ製品として売り出す方がカネになると考えるかもしれない。
「事前防御」の開発研究は，間違いなく，当研究所（IBMの研究開発チーム）の重要なテーマである。
現在見られるスタンドアロンのセキュリティ製品（とりわけアプリケーション向け製品）の多くは，消費者が何よりも望んでいる「安全な」バージョンと置き換えられていく。このため，将来的に不要となるのは避けられないだろう。消費者にとって重要なのは，「安全」を誰が追加してくれるかではなく，単に製品が安全だと確信できることである。
もちろん，一つのものがすべてに当てはまることはあり得ないので，上記のような交代そのものがセキュリティ業界を脅かす可能性はない。自動車の世界のキット・カー製作者，F1レーシング・カー，自動車愛好者たちが，自らの「愛車」をカスタマイズするのと同様，高速なセキュリティ・ソリューションや，専門店であらゆるブランドの製品を提供することへの要望は今後もあるだろう。しかし事実として，セキュリティは現在のソフトウエア製品の中核を担うものであり，それなりの扱いをする必要がある。組み込みセキュリティ技術が普及すればするほど，統合は進み，エンドユーザーが存在を意識しないものになるだろう。それこそ我々が求めるものだ。
Copyrights (C) 2008 IBM, Corp. All rights reserved.
本記事の内容は執筆時点のものであり，含まれている情報やリンクの正確性，完全性，妥当性について保証するものではありません。
◆この記事は，日本IBMの許可を得て，米国のセキュリティ・ラボであるIBM Internet Security Systems X-Forceの研究員が執筆するブログIBM Internet Security Systems Frequency-X Blogの記事を抜粋して日本語化したものです。
オリジナルの記事は，Strategic Security -- Embedding itでお読みいただけます。
