セキュリティ・ホールに関する情報を有償で提供するサービスが相次いで登場している。新着情報をメールで配信してくれるほか，過去の情報をWebから検索できるので，情報収集の作業負荷を軽減できる。ただし，あくまでも情報を提供してくれるだけなので，活用するための体制作りが欠かせない。
セキュリティ・ホールに関する情報をメールやWWWサイトで提供する有償サービスが相次いで登場してきた（表1）。
2002年1月にアイ・ディフェンス・ジャパンがサービスを開始しており，5月にはネットワーク セキュリティ テクノロジー ジャパンが，10月には三井物産が提供開始する予定である。 既にサービスを提供しているベンダーも内容の拡充を図る。これまでWWWサイトでのみ情報提供していたラックは，5月からメール配信サービスを追加。同時に，WWWサイトにパーソナライズ機能を付加する。ソフテックは，ユーザーからの質問に答える「ヘルプデスク・サービス」を4月から開始しており，7月からは自社のパッチ適用状況をWeb上で管理できる「管理台帳のASPサービス」も始める予定である。
いずれのサービスも，オリジナルの情報はほとんどインターネット上で入手可能だが，多数の情報源から収集し，日本語化した上で，自社に関係あるものだけを提供してくれることが付加価値である＊1。
ただし，サービスはあくまでも情報を提供してくれるだけ。パッチを適用するかといった判断をユーザー自身が行う必要があることは，自社で情報収集している場合と変わりない。
各社のサービス内容は多様であり，コストも数万～数百万円と幅広い。各社のサービスはどこが違うのか，また，どう使えばサービスを生かせるのか，を探った。
|
|||||||||||||||||||||||||||||||||||||||||||||||||
| 表1●主な有償のセキュリティ情報提供サービス ＊1 セキュリティ・ホールを悪用するウイルス（ワーム）情報は，Webで提供する ＊2 SID Proは日/週/月ごと。それぞれのメール内容はユーザーがカスタマイズできる |
情報収集する管理者の負荷を軽減
 |
| 写真1●情報の提供形態とその例 （1）が「iALERT」でメール配信される情報，（2）が「SNSDB」のWebで提供される情報の例。Web上では新規のセキュリティ情報を閲覧できるとともに，過去の情報も検索できる。（3）はソフテックが提供予定の管理台帳のASPサービス。画面には，あらかじめ登録したサーバー（ホスト）のOSやアプリケーションに対応したセキュリティ・ホール情報が動的に表示される。管理者は，パッチを適用済みなどの対応状況を書き込む。これにより，サーバーごとの対応状況がひと目で分かる（画面は開発中のもの） |
有償サービスは，（1）多数のWWWサイトやメーリング・リストからセキュリティ・ホール情報を収集，（2）日本語で内容を解説するとともに重要度を明記，（3）情報をメールで配信，（4）自社環境に合わせて情報を絞り込み，（5）過去の情報を検索できるデータベースを用意――してくれることが利用上のメリットである。
管理者にとっては，サイトを見て回って新着情報の有無をチェックするだけでも一苦労だ。さらに，「内容を理解したり，重要度を判断したりすることの負荷も大きい」（ある有償サービスを利用する，日本テレコム 情報システム本部IT推進部 仲田豊彦氏）。（1）～（3）は，これらの作業負荷を軽減してくれるものである。仲田氏によれば，「サービスを利用するようになってからは，特に重要なWWWサイトを毎朝チェックするだけで済んでいる。重要な情報がなければ，15分程度で作業は終了する」という。
（4）の情報の絞り込みは，自社システムで使用しているOSやアプリケーションをあらかじめ登録しておけば，それらに関係する情報だけがメール配信される（写真1の1[拡大表示]）＊2。これにより，受け取った膨大な情報の中から，必要なものを探す手間が省ける。登録内容は，WWWサイトから随時変更できる。
（5）のWWWサイトでの情報検索機能は，過去の情報にさかのぼって調べる際などに有用だ（写真1の2[拡大表示]）。WWWサイトに用意されたデータベースを利用して，OSやアプリケーションの種類，重要度などで検索することが可能。メールで情報を受け取ったものの，すぐには対応できなかったセキュリティ・ホール情報を調べる場合や，新たにシステムを構築する際の調査などに役立つ。
情報や機能に差，まずは試用を
情報を集めて配信するという基本的なサービスに加え，さらに高度な情報，機能を提供する動きも出てきた。例えば，「SNSDB」と「SID/SID Pro」は，日本語環境への影響を検証した情報も提供する。海外のベンダーや組織から公表された情報には，日本語環境での再現性はほとんど記載されていない。そこで，深刻なセキュリティ・ホールに限り，日本語環境での再現性を検証しているのである＊3。
機能面では，Webページのパーソナライズ化，ヘルプ・デスクやWeb上で管理台帳を提供といった，ユーザーの個別ニーズにこたえるための機能が充実してきた。
「SID/SID Pro」では，ユーザーがWebからセキュリティ・ホールについて質問できる「ヘルプデスク・サービス」を4月から試験的に開始している。6月からはオプション・サービスとして正式に提供する予定だ。例えば，「先日ベンダーから公開されたパッチは，このセキュリティ・ホールに対応しているのか」といった質問が可能である。回答はメールで送られてくる。
管理台帳のASPサービスは，「SID Pro」が7月から開始する（写真1の3[拡大表示]）。「iALERT」も同様のサービスを年内に開始する予定である。
Webページのパーソナライズ機能は，「SNSDB」が5月から対応する予定である。メール同様，ユーザーに関係がある情報の一覧だけを絞り込んでページに表示できる。
そのほか，提供する情報の範囲を広げる動きもある。「iALERT」と「SIA」では，セキュリティ・ホールに限らず，ウイルス情報も提供する。さらに「iALERT」では，海外で発生したクラッキングなどの事件情報も提供する。加えて，海外のセキュリティ動向などを解説した「戦略レポート」を週に1回配信する。また，「SID」では，ニュース・サイトなどが公開しているセキュリティ関連ニュースへのリンク情報も提供する。
サービスの機能強化，情報充実が進むなか，どのサービスが適しているかを判断するには，自社の要求を明確化することが必須となる。日々送られてくる情報の中身やWWWサイトの使い勝手などを調べるには，実際に試用してみるのが一番。どのベンダーも2週間の試用サービスを用意しているので利用したい＊4。実際にサービスを利用しているNECも「十分試用して，有用なことが分かってから導入に踏み切った」（IT戦略部エキスパートの田村卓氏）
次回（下）へ続く
