これまで解説してきたように，企業を取り巻く脅威は組織化・悪質化している。これに対抗するためには，漏れのないセキュリティ対策を継続的に行っていく必要がある。そこで総務省 CIO補佐官の大塚 寿昭氏は，「情報セキュリティ・アーキテクチャ」の確立を提言する。セキュリティの大枠を構築しておくことで，セキュリティ戦略の大きな方向性を見極めることができ，未知の脅威にもあわてずに対応することが可能になる。最終回となる今回はその概要と考え方を紹介したい。

[画像のクリックで拡大表示]

図1 情報セキュリティ・アーキテクチャの全体像
アーキテクチャは長期間にわたって使用するものであり，シンプルであることが大切。大塚氏が提唱する情報セキュリティ・アーキテクチャは，3つの要素と4つのキーワードで，セキュリティ対策全体を網羅する。

※コンピュータ・フォレンジック：コンピュータの内部を詳しく調べて，不正アクセスを受けた可能性がある場合に証拠保全と追跡を行うこと

セキュリティ上の脅威はますます多様化し，これまでのカテゴリーでは単純に分類できない手口も登場している。
　米国では，「あなたのアドレスから，ウイルス感染の証拠であるスパムメールが自動発信されています。このウイルスは，1時間に1ファイルずつ，ディスクのファイルを破壊します。大至急，下記の口座へ10ドル振り込んで，ワクチンを適用してください」というメールを送りつける大規模な詐欺も発生。わずかな間に，数万人が10ドルを振り込んだという。
　「まだ公になっていないタイプの犯罪が静かに進行している可能性もあります。例えば，たった一人だけを狙うスピア型のウイルスは，そのパターンの発見が難しく，長い間コンピュータに潜んでいて知らない間に重要な情報が漏れてしまう」と大塚氏は指摘する。
　未知の脅威がいつ出現してもおかしくない時代だからこそ，セキュリティ対策を「アーキテクト＝構造化」しておくことが重要だ。そこで，大塚氏は「情報セキュリティ・アーキテクチャ」を提唱している。これは漏れのないセキュリティ対策を導いていく枠組みであり，「脅威」「行うべき対策」「利用すべき製品や技術」を体系化したものだ（図１）。
　「セキュリティを網羅的なアーキテクチャで体系立てて把握しておけば，新たな脅威が出現したときにも，その脅威がどこに位置付けられるかがすぐにわかります。つまり，その脅威に対してどういう対策を打てば良いかが，セキュリティ戦略の大きな流れの中で判断できるのです」と大塚氏は語る。
　これまでのセキュリティ対策は，“脅威が発生してから対策を講じる”といった作業の積み重ねであり，後追い的，対症療法的になりがちだった。情報セキュリティ・アーキテクチャを確立しておけば，どの部分はすでに手を打ってあるかについて管理・把握することが可能になる。つまり，重複した投資を行うことなく，バランスの取れた投資計画を長期にわたって実践できるのだ。

情報セキュリティ・アーキテクチャは，「セキュリティ・マネジメント」，「ハード・セキュリティ」，「システム・セキュリティ」という3つの要素で構成される。さらに，3つの要素の間を関係づけるのが，「バランス」，「連係」，「等価」，「複合化」という4つのキーワードだ。
　ルール作りや監査にかかわるマネジメント面の整備，ウイルス対策などのシステム面の整備，そして，入退室管理などハードウエア面の整備という3つの要素は，バランスをとりながら3つともに向上させることが大切。また，「等価」というのは，情報はその形状を問わず等しい価値を持っているという意味である。
　「紙もデータも，セキュリティレベルを等しくする必要があります。例えば，システム・セキュリティだけ強化しても，プリントした紙を置きっ放しにしておくような環境では，大事な情報が漏れてしまうからです」と大塚氏は釘を刺す。
　また，ポリシー，監査，各種ソリューションは，互いに連係させ，複合的に組み合わせることが大切だ。
　「1つの脅威に対して複数の対策を講じ，しかも互いに連係している『n 対 n』の関係にしておけば強い。対策が幾重にも重なっていれば，新たな脅威にも，ある程度対抗できます」と大塚氏は話す。
　情報セキュリティ・アーキテクチャは，大きな概念であるだけに，将来出現するかもしれない未知の脅威までもあらかじめ包含している点が大きな特徴だ。
　「これからのセキュリティ対策は，『網羅性』が極めて大切です。一方で，企業の予算には限りがありますから，情報セキュリティ・アーキテクチャをベースに，守るべき情報と予防対策をランク分けして，自社にとって最も効果的なセキュリティ投資を見極めていただきたい」と，最後に大塚氏は語った。

個別ではなく，全体を網羅するポリシー運用へ――。LANDesk Softwareの統合セキュリティソリューションは，多岐にわたる機能をワンストップでカバーして，一貫したポリシー運用を可能にするもの。運用管理のPDCAサイクルの中に，セキュリティのPDCAサイクルを組み込んでいるため，セキュリティ対策全体を網羅できるだけでなく，より高い視野から全体を把握することが可能だ。

運用管理業務にセキュリティ管理業務を組み込む

「セキュリティ対策は個別ソリューションの寄せ集めではなく，大きな枠組みに沿って長期的に取り組むべき」。実は，この考え方はLANDesk Softwareの長年にわたる主張と同じだ。LANDesk Softwareは，20年以上前にシステム管理ツールとして出発したソフトウエアであるため，設計思想そのものに「個別ソリューション」や「対症療法」の発想がない。

このように，LANDesk Softwareが他のセキュリティソリューションと大きく異なる点は，「セキュリティを目的として捉えていない」点だ。考えて見ればわかることだが，そもそもセキュリティは目的ではない。IT環境をビジネスのために安全かつ快適に使えるようにするために，必ず満たさなければならない要件の１つである。つまり，セキュリティ管理は，システムの運用管理の一部なのだ。

しかし，両者が不可分な関係であることがわかっていても，実際に両方のソリューションを連携させるのは難しい。そこでLANDesk Softwareは，セキュリティ管理のPDCAサイクルを，運用管理のPDCAサイクルにはじめから組み込んでいる。例えば，セキュリティ管理の過程で検出された各種インベントリは，運用管理の統合コンソールで集中的に管理できるし，セキュリティパッチなどの配布は，運用管理業務と密接に連携しながら確実に実施することが可能だ。

幅広い領域でポリシー運用とPDCAサイクルを徹底

[画像のクリックで拡大表示]

図2 運用管理とセキュリティのPDCAサイクルを一貫して展開
LANDesk Softwareは，運用管理のPDCAサイクルの中に，セキュリティのPDCAサイクルを組み込むことができる。個々のセキュリティ対策がうまく回っているかどうか，より高い視野から全体把握することが可能だ。

LANDesk SoftwareのLANDesk Management Suite，LANDesk Security Suite，LANDesk Server Managerといった多彩な製品群は，このように一貫した設計思想を貫いて連携ができるため，全体としてシームレスなソリューションを実現する。「LANDesk Management Solutions」というワンストップのソリューションとして，運用管理，IT資産管理，セキュリティ管理，高可用性サーバ管理など，多岐にわたる機能を提供しているのである（図2）。

したがって，これらを組み合わせて利用すれば，運用管理とセキュリティ管理でポリシーがずれるといった問題が発生しにくい。セキュリティを含むシステム全体のポリシー運用を徹底できるのである。

情報セキュリティ・アーキテクチャという視点から見直してみると，システム・セキュリティの多彩な機能を網羅していることはもちろんだが，マネジメント・セキュリティのいくつかの要件もカバーしていることが特筆される。

その一例が，「セキュリティ コンプライアンス診断」である。これは，脆弱性検査をもとにしてセキュリティポリシーを見直したり，コンプライアンスを定義し直す作業を支援する機能。ネットワークに接続されたノートPCなどのエンドポイント・デバイスへの脅威を簡単に検出し，管理コンソール上で一覧表示したうえで，対策を講じたりレポートを出力することができる。

加えて，インテルやレノボなど，他社の基盤技術ともテクノロジー連携していることも大きなポイントだ。これにより，社内ネットワーク外でのアクシデント対応まで含めて，企業のIT資産を漏れなくカバー。疑わしい動作をするPCの接続を禁止するといったプロアクティブな管理も徹底することが可能になっている。具体的には，社内ネットワークに接続されたIT資産はもちろん，社外からインターネット接続してくるPC，さらには，オフライン状態のPCまでも幅広い管理が可能だ。

このようにLANDesk Softwareの統合セキュリティソリューションは，幅広い領域においても一貫したPDCAサイクルを維持して，強力なセキュリティ環境を実現するのである。

LANDesk® Security Suite 8.7製品カタログ 総合ソリューション「LANDesk® Security Suite 8.7」に搭載された機能群や効果について概説した製品カタログ。１つの統合管理コンソールから「システム」と「セキュリティ」の両方を一元管理することが可能な同製品の優位性を紹介する。 エンドポイントセキュリティに関するホワイトペーパー 安全性が確保されていないエンドポイントは脆弱性の巣窟。本ホワイトペーパーでは，「企業ネットワークの保護」という観点からエンドポイントのセキュリティ管理がいかに重要かを紹介。そのうえで，LANDesk® Security Suiteの様々なアプローチを解説している。 セキュリティソリューションフライヤー 「ファイル交換ソフト」「リムーバブルデバイス」「持ち込みPC対策」など，セキュリティに関する様々な問題について，テーマごとにその概要や対策をまとめたリーフレット。何が問題でどんな対策が必要なのかが，1枚ずつにコンパクトに解説されているので，わかりやすい。