ここ数年，IT業界の最大の課題はセキュリティである。2008年もその傾向は変わらないだろう。2008年は，TPM（Trusted Platform Module）や検疫ネットワークの普及が進むと思われる。一方，これらの技術の導入に伴い，個人所有PCを社内ネットワークに接続することに対する制限を緩和する企業が出てくると予想する。

　TPM（Trusted Platform Module）は，PCに組み込まれたハードウエア・モジュールで，乱数生成，公開鍵暗号の処理，ハッシュ値の計算，秘密鍵の保護など，暗号モジュールとしての基本機能を持つ。TPMが組み込まれたPCは，BIOS上にTPMの設定を制御する項目が追加される。

　Windows VistaではTPMの応用として「BitLockerドライブ暗号化（BDE）」という機能が搭載されている（設定によってはTPMを使わないBDEも可能）。BDEは，Windowsが含まれるパーティション（ブート・パーティション）全体を暗号化するとともに，起動システムの整合性を保障する。整合性が崩れた，つまり改ざんが検出された場合は，起動を停止する。Windows Server 2008ではシステム・パーティション以外の全パーティションが暗号化できる予定である。

　BDEで暗号化されたドライブを取り外して他のシステムに接続しても，データを読み出すことはできない。そのため，ノートPCの紛失や盗難に対して効果があるとされる。しかし，正当にログオンしたユーザーはBDEの有無にかかわらずすべてのデータを読み出せる。多くのクライアントPCでは，管理者アカウントに簡単なパスワードしか設定していない。そのため，パスワードの総当り攻撃によってログオンに成功する可能性は高い。

　BDEが真価を発揮するのは，実はサーバーの方ではないだろうか。例えば，支店や営業所では，サーバーの設置に専用のマシン・ルームを用意できないことが多い。結果として盗難リスクが高まる。しかし，バックアップ・データを格納したパーティションを暗号化しておけば，データは保護できる。サーバー管理者のパスワードは複雑なものが設定されている可能性が高いので，不正なログオンが成功する可能性も低い。

　TPMを利用しているのはWindowsだけではない。起動システムの改ざん検出はLinuxにも実装されている。最近発売されたPCの多くがTPMを実装しており，2008年にはすべてのPCに搭載されるだろう。Windows VistaでBDEを有効にするのは少々面倒だが，それでも確実に普及が進むはずである。

　セキュリティの2つ目の話題は検疫ネットワークである。検疫ネットワークはネットワークに接続されるコンピュータの状態を検査し，一定の条件を満たさないものを隔離（検疫）する機能である。

　検疫ネットワークには複数の実装がある。例えば，Cisco SystemsはNAC（Network Admission Control）として自社製品に搭載している。このNACは，TCG（Trusted Computing Group）のワーキンググループによって，「TNC（Trusted Network Connect）」として標準化作業中である。前述のTPMも，TCGのワーキング・グループで仕様が策定されている。

　一方のマイクロソフトは，Windows Server 2008でNAP（ネットワークアクセス保護）を搭載する（クライアント・モジュールはWindows Vistaで搭載済み）。もっともマイクロソフトとCisco Systemsは2006年9月に，NACとNAPの相互運用に向けた取り組みを進めることを発表しており，TCGのTNCとNAPの相互運用の実現も進められている。さらに，IETFでも3方式の相互運用のためのインターフェースが定義されるという。2008年には，実際にこれらの方式を簡単に相互運用できるようになることを期待したい。

　検疫ネットワークが適切に機能すれば，個人PCの持ち込み規制が緩和されることが予想される。実際には，十分な検疫条件を網羅するのはそれほど簡単ではないので，一斉に緩和が進むことはあまり期待できない。しかし，PCの効果的な活用を考えればぜひ導入したい技術である。

　本来，PCというのは，一定の制限があるにしても自由に使えるべきものである。これまで，｢一定の制限｣を効果的に設定する方法はなかったが，検疫ネットワークの普及により状況が変わる。PCが再び自由に使える環境に戻ることを期待したい。

参考文献
『情報処理』2007年11月号「Trusted Network Connect - TPMの利用管理技術の動向」