今、中小企業に求められるセキュリティツールを考える

インターネット上に存在する脅威は、年とともに変化しつつある。数年前であれば、もっとも警戒すべきだったのはメールなどに添付されてくる「コンピューターウイルス」であった。そのため、ウイルス対策をしっかり取っていれば、さほど大きな問題はなかったかもしれない。しかし、今ではそのウイルスの感染経路も高度に複雑化しているし、それ以外のさまざまな脅威による被害も多くなってきている。ウイルス対策だけではもちろん不十分だ。

コンピューターウイルス以外に、企業のセキュリティについて近年もっとも脅威になっているのが「スパイウェア」や「ルートキット」による情報漏洩だ。スパイウェアとは、なんらかの方法でパソコンの中に潜り込んで活動を続けるプログラムのことで、通常は表に症状が出ないため、感染しているかどうかがわかりづらい。しかし、何かの暗証番号などを入力した際に、そのキー入力情報を記憶し、外部へと自動的に送信したりする。これによって、ネットバンキングやクレジットカードなどの暗証番号が知られてしまい、多額の損失を被ったというケースは後を絶たない。

また新たな脅威として、OSの根幹部分をのっとってしまう「ルートキット」による被害が増えてきている。ルートキットは、スパイウェアと同様に何らかの手段でパソコン内部に潜り込み、OSの設定などを自由に変更できる管理者権限（ルート権限）をのっとってしまうという非常に危険な存在だ。このルートキットに対しては、一般のウイルス対策ソフトでは対応できないため、知らないうちにパソコンがのっとられていても気付かないということもあり得る。

このほか、最近話題になっている「フィッシングサイト」なども新たな脅威であろう。銀行やクレジットカード会社などのサイトになりすました偽サイトへとユーザーを誘導し、そこで暗証番号などを抜き取ってしまうという悪質な手法である。サイト自体が巧妙に偽装されているので、フィッシングサイトの存在は知りつつ、うっかり騙されてしまうケースもよくあるという。

また、日本国内で多いのは、会社のパソコンや個人のパソコンに「ファイル共有ソフト」をインストールしていた場合に、そこからパソコン内部の重要なファイル（たとえば顧客データなど）が外部に漏洩してしまうという事件だ。ファイル共有ソフトは、外部からのファイルアクセスを可能にするツールであるため、設定を間違ったり、共有ソフトのセキュリティホールを突くハッカーなどに侵入されると、あっという間にパソコン内部のデータを抜き取られてしまう。きわめて危険性が高いツールであるのに、同様の情報漏洩事件が後を絶たないのは、企業側のセキュリティ管理の甘さ、社員教育の甘さが原因といえるだろう。

このような新種の脅威によって、顧客データなどの個人情報が外部に漏洩する事件がたびたび報道されているが、このようなことが起こった場合、企業の管理責任が大きく問われることになる。一度このような情報漏洩を招くと、その企業の信用は失墜し、信頼性の回復には相当な時間とコストが必要となる。また、重大なデータ漏洩の場合は、顧客などへの賠償責任を負うケースも考えられる。そうなってくると、大企業でもかなりの痛手。中小企業にとっては存続の危機にもなりかねない。中小企業といえども、セキュリティ管理は、今や企業の大きな責務の1つとなっているのである。

上記のようなさまざまなインターネット上の脅威に対して、専任のネットワーク管理者がいる大企業では、外部からの不正アクセスを物理的に防ぐ「ファイヤーウォール」の構築をはじめ、セキュリティツールに関しても二重三重のかなり高度なセキュリティ対策を施している。企業によっては、有害サイトの可能性があるサイトへのアクセスを禁じる「フィルタリングソフト」の導入まで行っているところもあるほどだ。むろん個人的なノートPCなどは持ち込み禁止で、出社の際に厳しく持ち物チェックを行うような企業も存在する。ここまで徹底したセキュリティ対策は、体力のある大企業ならではのものだが、現実的にそこまでできない中小企業（およそ従業員100名以下）においては、どのような対策を講じるべきなのだろうか。

中小企業でありがちなセキュリティ対策のパターンとしてよく見られるのは、社内で使用しているパソコン1台1台個別に、「個人向けのセキュリティソフト」（主にウイルス対策ソフト）をインストールしている例だ。中小企業の場合、社内のパソコンの導入時期もまちまちで、1つ1つ徐々にネットワークを広げてきたようなパターンが多い。そのため、パソコンを購入したときにプリインストールされている個人向けセキュリティソフトをそのまま使い続けるか、あるいは社内で決めている特定の個人向けセキュリティソフトを個別にインストールすることになりがちだ。

もちろんこれでも、個々のパソコンのセキュリティをある程度守ることはできる。ただし、それはあくまでも「きちんと運用できていれば」の話だ。セキュリティソフトは、日々進化し続けるウイルスやスパイウェアの最新情報をキャッチして、日々アップデートし続けている。最新のパターンファイルをインストールしていないと、最新の脅威には対応できない。社内のパソコンにセキュリティソフトが個別にインストールされている場合、それを使っているユーザーが個別にアップデートを実行する必要があるが、社員の全員がこのアップデートをきちんと行っているかどうかは把握しづらい。たった1人の社員がアップデートを放置していたために、そのパソコンからセキュリティが破られ、外部からの不正侵入や、ウイルスの感染を招いてしまった、というケースも少なくない。

また、ある程度知識を持った社員が、セキュリティソフトは重いからと個別に設定を変えてしまい、結果として定期的なウイルススキャンがずっと行われていなかったという場合もある。ひどい場合には、個別のユーザーによってセキュリティソフトが勝手にアンインストールされ、そのことに誰も気づいていなかったというケースもあったほどだ。最近では個人向けセキュリティソフトもかなり高機能になっているが、逆に、きちんとした知識がないとソフトを使いこなすことができず、せっかくの機能をオフにしたまま運用しているというケースも多い。問題なのは、こうした状況に管理者がまったく気がつかないという点にある。

さらに、ネットワーク上のあるパソコンでウイルスが検知されるなど、何か問題が起こった場合の対応も心配だ。一般的には、ウイルス対策プログラムが自動的にウイルスに感染したファイルを隔離しウイルスを除去してくれるが、これらの問題がきちんと処理できたかどうか、システム管理者は知ることができない。逆に、こうした問題に不慣れな従業員のパソコンがウイルスを検知した場合には、自分でどうしていいのかわからないため、システム担当者が来るまで、そのパソコンを一切使うことができずに業務が進まない、というようなケースもある。こうした問題に逐一対応しなくてはいけないため、システム担当者の負担は実に重い。

このように、主に中小企業では、個人向けのセキュリティソフトをそのまま使用した社内セキュリティ対策を講じている場合が少なくない。しかし、上記のようなさまざまなリスクと管理の面倒さを考えると、この方法はまったくナンセンスだ。こうした場合に検討していただきたいのが、以下に説明する「企業向けセキュリティソフト」の導入である。

では、「個人向けセキュリティソフト」と「企業向けセキュリティソフト」とは、いったい何が違うのであろうか。簡単にいえば、「企業向け」は始めから複数台のパソコンを「管理する」ことを目的にして作られているのに対し、「個人向け」は、個別のパソコンのセキュリティを守ることを目的にしており、「複数台を管理する」という機能がないということになる。つまり「企業向けセキュリティソフト」は、複数台のパソコンを管理する「一元管理機能」が特徴ということだ。

この「一元管理機能」には、以下のようなメリットがある。

これを簡単に図式化すると、以下のような形となる。

このように、企業向けセキュリティソフトでは、システム管理者が社内のセキュリティ状況をすべて把握できるのが特徴。個別のパソコンの設定変更も、管理者側のパソコンからリモートで行えるので、従業員は何もソフトの設定を行う必要がない。なお、面倒なパターンファイルのアップデートや、ソフト自体のアップデートなども全自動で行われるので、実際には「管理する」というイメージもないほど。何か問題があった場合のみアラートが出るので、管理者はそれが適切に処置されているかどうかを確認すればいいのである。

企業向けセキュリティソフトを導入することで、基本的に従業員はセキュリティに対して何の作業も行わなくてすむため、その分の面倒が一切なくなる。すべては管理者からの一括管理で行われるので、セキュリティに関しては気にする必要がない。また、設定などを一切行わずにすむということは、個々のITリテラシーに左右されずにセキュリティ管理が行えるというメリットもある。もちろん、管理者側の導入/管理の負担も大きく減る。負担は減るが、社内のセキュリティ状況はすべてひと目でわかるようになるので、セキュリティに対する不安も同時に大きく減ることになるだろう。

最近では、昨今騒がれている企業のコンプライアンス（法令遵守）の重要性から、大企業などにおいては、すでに企業内ネットワークセキュリティに対する外部監査なども行われるようになってきている。こうした場合に、現状がどうなっているかをすぐに報告できるレポート作成機能は非常にありがたい。中小企業においても、いつ何時、こうしたレポートの提出を求められるかわからない。レポートを求められた場合に、あわてて調べ始めて苦労するよりは、こうした製品のレポート出力機能を使うほうがはるかに便利だろう。

さて、これだけ高機能なソフトとなると、導入費用のほうが気になるところだろうが、個人向けのセキュリティソフトに比べてそれほど高額でないものも出ている。

PART2では、こうした企業向けセキュリティソフトの代表例として、トレンドマイクロの「ウイルスバスター ビジネスセキュリティ」の各機能やライセンス体系などについて説明しているので、ぜひご一読されたい。

PART2
トレンドマイクロ「ウイルスバスター ビジネスセキュリティ」を例に、企業向けセキュリティソフトの機能を詳しく解説！