セキュア・コンピューティング産業コンファレンス

　6/9に大手町サンケイプラザにて開催されたセキュア・コンピューティング産業コンファレンスを見てきましたのでレポートします。最近大手町に行ってなかったので、こんなビルができたとは知りませんでしたが、2002年の10月にオープンしたようです。サンケイ新聞がこのビルに入っています。ビルの前はイベント広場のようになっており、この日はコカコーラＣ２を無料で配っていました。私はこういう香料どっぷりジュースみたいなものは極力飲まないようにしていますのでもらいませんでしたが、金かけてますね。ちなみにＣ２というのはカロリー半分ということらしい（ダイエットコークはカロリーゼロ）。カロリー半分でも化学物質はどっさりなんではないすかね(^^;　健康が気になるなら水でも飲んでなさい！
　プログラムは以下。午後いっぱい細かいセミナーが連続し、けっこう疲れました。

○コカコーラＣ２
https://www.cocacola.co.jp/subscribe/c2/program/

○大手町サンケイプラザ
http://www.s-plaza.com/

○セキュア・コンピューティング産業コンファレンス
http://www.idg.co.jp/expo/scc/

ご挨拶	ネクスターム　代表取締役　武田 佳一郎
個人機密情報保護法案を目前に企業のセキュリティ体系をどう整備するか	総務省 CIO 補佐官　大塚 寿昭
マイクロソフトのセキュリティへの取り組みと今後の展望	マイクロソフト ビジネスマーケティング戦略本部セキュリティ戦略グループ マネージャ　吉川 顕太郎
個人情報保護と情報漏洩対策〜企業にとっての安全と安心とは？〜	日立ソフトウェアエンジニアリング 営業統括本部 戦略ソリューション営業推進部 秘文ビジネス推進グループ 部長代理　松江 芳夫
企業におけるクライアント選定基準はどう変わるか？	ガートナー ジャパン　主席アナリスト　志賀 嘉津士
シトリックスのSBCセキュリティー・インフラストラクチャー	シトリックス・システムズ・ジャパン　代表取締役社長　田中 正利
CIOに求められるセキュリティ戦略と対策	アイ・ティ・アール代表取締役　内山 悟志
企業システムの”入口”と”出口”をよりセキュアに防御する情報漏洩防止対策	シーエーシーコンサルティングビジネスユニットアドバンスドソリューション構築センター長　西 衛
社会機構に改革をもたらす電子化政策とそれを支えるセキュリティ基盤PKI	日本ボルチモアテクノロジーズ 公共営業部 部長　斎藤 武雄

○ご挨拶　ネクスターム　武田 佳一郎

　ネクスタームという会社を私は知りませんでした。シンクライアントと言ってPCではないターミナルのような装置を売ってる会社。モニター一体型タイプとBOXタイプがあります。OSはWinCEだそうで、ハードディスクは内蔵していず、スマートカードのリーダーやUSBポートを装備しています。ご挨拶と言いながら武田さんはこの装置の宣伝をしていました。
　一昔前、こういうコンセプトのマシンて各社でわっと出しましたよね。その後消えてしまったようですが。
　確かに、単純なオフィスワークだけならこれで十分かもしれません。最近は何でもブラウザを使いますからそういう環境が整っていればこれで問題なし。けれどPC自体の値段も相当下がっていますから、あえてダム端みたいなものにしないでも良いという考えもありますが。武田さんの説明で強調していたのは、シンクライントはハードディスク装置がないからセキュリティに強い、ということでした。そういうわけで、このセキュリティセミナーの冒頭でこのダム端の宣伝をしていたわけです。最近の傾向として大手企業ほど情報流出を気にしていますから、一般社員は何にもインストールできないようなこういうダム端にそのうちなってしまうのかもしれませんね。私はこんなの嫌ですが(^^;

○ネクスターム
http://www.nexterm.co.jp/


○個人機密情報保護法案を目前に企業のセキュリティ体系をどう整備するか　大塚 寿昭

　まず最初に登壇したのは総務省の補佐官をしているという大塚さん。彼はもとIBMの人だそうで、一応専門家ということらしい。2001年３月にコーポレートセキュリティという本を書いています。この時期にセキュリティを語ってるというのは確かにコーポレートセキュリティのさきがけなのかもしれないけど、講演の内容は別段取り上げるようなこともなし。ネクスタームに気をつかってか”シンクライアント”はセキュリティ的によい、とも言ってました。
　総務省の補佐官ということで、住基ネットの弁護もしていました。”住基ネットはテクニカル的にはかなり強固である”と意味不明なことを。テクニカル的ってのは何なのでしょうね(^^;? 専用線（VPNかもしれないが）使って、端末も担当者しか使えないようにしていることを言ってるのかもしれませんが、セキュリティパッチをきちんと当てていないとか、システムがよく落ちるとか、端末から日本中の人をあいまい検索できてしまうとか、担当者が意味わかってないとか、民間の外部業者に任せっぱなしとか、そういうのはテクニカル的には問題ないのかな(^^;?　日本全国の市町村に住基端末はあってセキュリティの意味さえわかんない人もたくさんいることでしょうから、セキュリティレベルを保つのはほぼ不可能と私は思います(^^; まあ、住基ネットはほとんど使われていないので今やきっとそんなのどうでもいいんでしょうが、日本人全員の個人情報は丸裸と言ってもいい状態ですから困ったものです。既に日本人の名簿はハッカーの手にわたっているかもしれません(^^;
　国勢調査も大丈夫です！と何が大丈夫なのか知りませんでしたが弁護していました。まあ、こっちは限られた人しかアクセスできないシステムなんでしょうから、簡単には情報流出などできないのでしょうが、こっちも住基同様のカジュアル?なシステムに改築したら、日本人の個人情報は裸同然となることでしょう(^^:　先日の総務省のお役人は国勢調査を新システムに移行したいみたいでしたが、今のままで問題ないなら、こういうものは変にいじらんでいいのですよ。

　ところで、このお題目にも”個人機密情報保護法”という文字が躍っていますが、この法案来年の4月から本格施行されるそうです。この法案の問題点については、成立前に私が分析したものがここにあります。
　施行後に起こりうる状況として。情報が流出した場合に逮捕されます(^^; 流出しないまでも名簿に記載されている人に利用目的を伝えずに名簿化していることがばれると逮捕されます(^^;　一応しきい値は5000人ということのようですが....。
　結局この法律はほとんど修正されずにこのまま通ってしまっています。
　しかし、日本人というのは法律として成立してしまえば問題のある法律でも、考えもせずにおとな〜しく従ってしまうんですね。こういう傾向は本当に怖い、君が代国旗法もそう。だから問題ある法律は成立させてはならないのに....。

○コーポレートセキュリティ
http://www.amazon.co.jp/exec/obidos/ASIN/4478373434/


○マイクロソフトのセキュリティへの取り組みと今後の展望　吉川 顕太郎

　お次は天下のマイクロソフト。しかし、演題が日本のお役人みたいですね。我々はこういう方針でやりますから、ついてきなさい！みたいな(^^;　実際講演内容もそんな感じ。
　そもそもはセキュリティホールだらけの製品をつくるメーカーに問題があると思うのですが、それを申し訳ないとはこれっぽっちも思っていないようです。今やセキュリティホールが無くなってしまったら困ってしまう業界もたくさんできてしまいました。なんかテロとの戦いと似た構造になりつつある感じもしますね(^^;テロリストの脅威がないとアメリカの軍事産業は困ってしまう、みたいな(^^;
　とにかくマイクロソフト殿がこれからやろうとしていることを紹介します。
　１）WinXP SP2のリリース→この夏にリリースする予定ですが、セキュリティ機能を重点にバージョンアップするそうだ。このバージョンではセキュリティ的に問題がありそうなサービスはデフォルトで止めておくのだとか。つまり、今まで使えていた機能が初期状態では止まってるかもしれないということです。
　２）パッチの定期リリース化→これは既に行われていますが、毎週第二水曜に定期的にセキュリティパッチをリリースしてメンテナンスしやすいようにするそうだ。まあ、いいんだけど毎月毎月そんなにパッチが出るようでは本当は困るんですがね(^^; もちろん緊急パッチの場合は第二水曜にはこだわらないそうです。
　３）SMS(SoftwareManagementServer)というサーバーを立ててパッチあての自動化や、検疫LANをつくれるようにする。
　４）現在もやっているが無料のセキュリティセミナーを全国で開催する。

　しかし、どうしてパソコンはこう使いにくいものになってしまったんでしょうか。今やアンチウイルスソフトは必須になってしまいました。常識的に考えればアンチウイルスソフトはマイクロソフトが無料で配らなければいけないもののはず。OSの欠陥が原因なのですから。とにかく、こういう企業体質のメーカーですからできるだけマイクロソフト製品は使わないようにしたいのですが、なかなかそうもいかない。

○マイクロソフト セキュリティ ポータル
http://www.microsoft.com/japan/security/


○個人情報保護と情報漏洩対策〜企業にとっての安全と安心とは？〜　松江 芳夫

　次は日立ソフトの”秘文”というプロダクトの宣伝。これはベリサインのセミナーのときに出てきたイージーファイルセキュリティと同類のソフト。ファイルやメールにアクセス制御をかけて、自由に閲覧やコピーをできなくするものです。構成もイージーファイルセキュリティと同じ。値段はどっちが安いのかわかりませんが、名前が日立はダサイですね(^^; どうやら自社製ソフトのようではあるけど。

○秘文
http://www.hitachi-sk.co.jp/Security/index.html

○企業におけるクライアント選定基準はどう変わるか？　志賀 嘉津士

　今回のセミナー一つの目当てが、ガートナーの人が何を語るのかということでした。ガートナー調査というグラフや表はよく見るのですが、こうやってガートナーの人が講演するというのを私はあまり見たことなかったのです。
　ガートナーらしくデータを元に分析していてなかなか面白かったです。まずセキュリティに関して。1999年当時は日本において”セキュリティ”という概念はほとんどありませんでした。”会社の情報システムを構築する上でどんな要素が重要か”という設問に対し、1位はコストでした。これが劇的に変化を遂げたきっかけは、やはり2001年911のアメリカへの攻撃でした。この攻撃は日本人のセキュリティ意識というか恐怖心をあおった事件でした。この時期ごろから日本でもADSLによるインターネットへの常時接続環境が普通になっていきます。ちなみに我が家がADSL常時接続となったのは2002年の1月のことです。今まで電話でピーゴロつないでいたのが常時接続となり、つないでいる時間が気にならなくなりました。これこそ、日本のインターネットにとっての革命だったのです。おかげでパソコンをインターネットにつなぎっぱなしにする人が増えました。メールにくっついてきたウイルスを一般家庭でもばらまける環境が整ってしまったとも言えます。企業では既にメールをつかうのはこの時期普通になっていましたが、今までメールに及び腰だったいわゆる”おじさんたち”もメールをチャットでもするかのように使いはじめたのもこの時期。つまりコンピュータウイルスの脅威を”おじさんたち”も感じるようになったのです。そして2004年の調査ではついに”セキュリティ”がコストをおさえてトップにたったのだそうです。
　しかし、セキュリティをとりまく環境は日々複雑化拡散化しています。仕事のメールというのはその昔会社でしか見ないものだったのが、ガートナー調べによると80%の人が帰宅後に家で会社のメールを見たことがあり、70%が休日に自宅から会社のメールを見たことがあるのだそうな。これは常時見ているという設問ではないので、毎日見ているということではないのでしょうが、少なくとも8割の人がメールを見れる環境を自宅に持っているということに他なりません。滅多に家では会社のメールを見ないようにしていますが、私もこの80%に入っていますね(^^;
　インターネットから会社のメールが見えるということは、いつでもどこでも会社のメールにアクセスできるということです。見えるようにした時点で社員を信じるしかないでしょうね。これを、ワンタイムパスワードシステム導入したり、コピーや転送ができないメールシステムするという向きもあります。業務で使っていくなら、お金をかけてこういうシステムはやはり入れなければいけないでしょう。
　しかし、最近の企業はセキュリティを気にするあまり、こういうものにばかりお金をかけようとします。セキュリティにお金がかかるため、社員の満足度を向上させるものにはお金がまわらなくなります。つまり、いつでもどこでも仕事をさせるけど、給料は上がらないのです。
　セキュリティレベルを上げるということは壁をつくって相手を信用しないことに他なりませんから同僚同士、上司と部下の関係にも自然と見えない壁ができていきます。壁ができるのでますます相手が信用できなくなるという悪循環。これは会社にとってハッピーなんでしょうかね？せめて社内の人間ぐらい信用しようよ！
　ちょっと話が脱線しましたが、志賀さんはもう一つ面白い話をしていました。その昔、コンピューターはホストとクライアントという形の中央集権型でした。クライアントは見るだけで処理はホストがします。その次の時代はサーバーとクライアントという関係。サーバーは資源を提供するが、処理はクライアントが行うという、今の時代のかたちです。これが次の時代はまた、ホストとクライントの関係に戻ると志賀さんは予想していました。つまり、今回のセミナーの大きなテーマとなっている、シンクライントです。クライントは見るだけで、処理は中央でする。クライアントではデータの保存もできないので、セキュリティ的にも強いということなんだそうな。つまり物理的に情報漏洩が不可能な状態に縛ってしまうということです。確かに作今の異常にセキュリティを気にする会社の偉い人達はこういうクライアントにしないと社員を信用できないのかもしれませんね。こんなに社員を信用しない会社はやめた方がいいと思いますが、世の中全体がこうなってしまう勢いが作今ありますね(^^;
　では、最後に志賀さんも本を出してるそうなので、そのURLを記してこのセッションの報告を終わります。

○〈入門〉ユビキタス・コンピューティング
http://www.amazon.co.jp/exec/obidos/ASIN/4140880945/


○シトリックスのSBCセキュリティー・インフラストラクチャー　田中 正利

　聞いてるときも疲れましたが、書いていても随分長くなってきて疲れてきましたね。読んでる方も疲れたでしょ(^^; というわけで以下は軽く流すことにします。どっちみち商品宣伝ですしね。
　まずはシトリックスのMetaFrame。MetaFrameというソリューションは名前だけは聞いたことあったのですが、何やら私は知りませんでした。簡単に説明すると、クライアントでサーバーにあるリソースを使っていろいろ業務をするためのもので、クライアントにアプリケーションをインストールしないでよい。クライアントにデーター保存できない。ということができて、それらの制御も中央でできる。つまり、今回のセミナーのテーマである、中央集権型システムのインフラソリューションになるものです。こういうシステムに対しての考察は先にも書いたのでここでは省略。
　この会社も本社はアメリカ。この業界には珍しくフロリダにあるようです。

○citrix
http://www.citrix.co.jp/


○CIOに求められるセキュリティ戦略と対策　内山 悟志

　ITRというのは情報系のコンサル会社です。ホームページ見たところ、あまり規模は大きくないが、ガートナーと関係があるようです。
　講演の内容は、こういったセキュリティ系の講演では誰でも言うようなことで、特筆することもなし。
　セキュリティポリシーを設置している会社は17%だそうです。これは少ないのか多いのか!?これから増えていくのは間違いないでしょうが。とにかく今の企業は情報漏洩を極端に恐れています。来年4月施行の個人情報保護法も相当に恐れています。今のセキュリティ熱は”この法律で自分たちが捕まってはたまらん”と恐れている偉い人達の自己防衛でしかないような気が、セキュリティ系の講演をいくつか聞いているうちにしてきました(^^; 社員のためでも会社のためでもありません。自分が責任とりたくないのです！セキュリティ系の会社はそりゃ、恐怖をあおって自分たちの製品を買ってもらおうとしますよね。そのセールストークにあなたの会社の偉いさんはのってしまいますか？何か問題が起こったら偉い人がきちんと責任とればいいんです。そのための責任者がCIOなんですから。そうすれば、過剰なセキュリティ投資はいらないのです。

○アイ・ティ・アール
http://www.itr.co.jp/


○企業システムの”入口”と”出口”をよりセキュアに防御する情報漏洩防止対策　西 衛

　次のセッションはCACという会社で、Mideye と 4thEye というソリューションを紹介していました。後者の4thEyeは以前verisignのセミナーのときに紹介していたものと同じで、CACは代理店販売をしています。というわけでここでは略。
　Mideye というのもなかなか興味深いソリューションです。ワンタイムパスワードを発行するとき、現状はトークンやポケベルを使うのが普通です。しかし、これは無くしたりするしコストもかかる。電池もきれる、となかなか管理が面倒なものです。このトークンを携帯電話に置き換えてしまうのがこのMideyeです。登録された携帯電話に、ワンタイムパスワードをショートメッセージで送付。だからメール代はかからずワンタイムパスワードが送れます。電話を無くした場合は普通に電話の契約をストップしてもらい新たな電話を登録します。
　これを使うと社員に携帯を持たせなければいけないということになりますが、既に持っているなら追加コストにはなりません。これはなかなか良いのではないですかね。
　このソリューションはスウェーデンのMideye社が開発したもので、日本ではまだ売り始めたばかりだそうです。現状はボーダフォンとAUにしか対応していないそうですが、近くドコモも対応予定。課金は認証ユーザー数単位。
　本当にセキュリティのことを考えるなら社外からのアクセスはやはりワンタイムパスワードかバイオメトリクスなどを使うべきと私は思います。バイオメトリクスは抵抗のある人も多いでしょうから、Mideyeのようなワンタイムパスワード発行ソリューションは伸びていくのでしょうね。

○CAC
http://www.cac.co.jp/

○Mideye社
http://www.mideye.com/

　最後のセッションはボルチモアテクノロジーズのPKIソリューションの話だったようですが、ちょっとこの日は私用があったので聞かずに中座しました。
　ボルチモアテクノロジーズという会社も知りませんでしたが、ホームページを見たところ本社はアメリカのボルチモアではなくロンドンにあるようで。詳しい会社沿革みたいなものは載っていないので、どうしてこうなってるのかはわかりませんが。一応ホームページアドレスも載せておきます。

○日本ボルチモアテクノロジーズ
http://www.baltimore.co.jp/

　長かったですが本セミナーの報告は以上とします。

29 JUN 2004 wrote