セキュリティ・ソリューション・フォーラム2004

DATE 20 APR 2004


 4/20に目黒雅叙園にて開催されたセキュリティ・ソリューション・フォーラム2004を見てきましたのでレポートします。本当は技術企画の山田さんが行く予定だったのですが、忙しくて行けないとのことだったので、私が代理で行ってきました。
 セミナーは12:45〜18:00までで6コマ。3会場に分かれていて好きなものが見れるようになっていました。1コマ目の基調講演は満員で席がとれなかったので、2コマ目から見るつもりで会場に行ったのですが、サテライト会場というのが設置してあり後半、半分ぐらいですが見ることができました。それも含めて私が見たのは以下

情報セキュリティ対策適正化のありかたKPMGビジネスアシュアランス 山本直樹
継続的なセキュリティ対策の実現 パッチ適用ソリューションのご紹介ユニアデックス 金子勲
ASIC対応によるウイルス対策、侵入検知・防止 Firewall、VPN、フィルタリングフォーティネットジャパン 青山裕宣
NTTネオメイトグループがお届けするトータルセキュリティソリューションのご紹介NTTネオメイト 古谷博昭
今すぐできるSecureNetworks構築方法エンテラシス・ネットワークス 森本信一
情報セキュリティ政策を巡る現在の視座と今後の展望経済産業省 山崎琢矢


○情報セキュリティ対策適正化のありかた KPMGビジネスアシュアランス 山本直樹

 KPMGと言えば思い出すのがKPMGの木村剛。一時期、竹中大臣と一緒によくテレビに出ていましたが、竹中大臣ともども最近見ませんね。日本の金融は再生した、ということなんでしょうか(^^;
 KPMGグループというのはちょっと調べてみたら、ヨーロッパとアメリカを中心にワールドワイドに展開するコンサル集団です。いろいろアドバイスしてお金をもらうという職業ですね。ビジネスアシュアランスというのは、ビジネス関連のコンサルということでそこにはセキュリティも入るのでしょう。
 話は、セキュリティ一般についてで特段どうということはない内容。しかし、聞いてる側の人達の意識が今までと変わってきているようです。私の勤めている会社もそうなのですが、企業の側がセキュリティを意識しはじめ、セキュリティポリシーを制定しようという動きにあります。しかし、その方向は後ろ向きで、損害が出ないためにセキュリティ強化。特に内部統制を強くする、という一般社員にとっては好ましくない方向に進みつつあります。
 実際のところ会社の中でセキュリティホールになっているのは、PCのことがよくわかっていない偉いおじさん達と言って良いでしょう。ウイルスをダブルクリックして大騒ぎするのはたいていこの人達です。彼らがそうやってウイルスの脅威にさらされることが多くなってきたため、セキュリティ意識が高まってきたのです。
 セキュリティ意識が高まるのは良いことですが、どこまでやるかという線引きが難しいのがこのセキュリティ。やろうと思えばきりがありません。セキュリティレベルを高めようとすればするほど、お金はかかり、手順は複雑となります。また、これに便乗してやらなくて良いことまでやろうとする会社もあります。例えば、監視カメラとか、メール検閲とかです。さすがに執務室にまでカメラをぶら下げていないでしょうが、出入口に監視カメラをつけている会社もあります。これってセキュリティ(^^;? 仕事に関係ないメールや、会社の重要情報を送らないようにメールを検閲している会社もあります。電話の盗聴や、手紙の開封は法律違反ですが、メールの盗聴禁止は今のところ法律になっていません。だからって、メール盗聴はセキュリティ(^^;?

 ヤフーの顧客情報が盗まれたなどと大騒ぎしていましたが、顧客情報が盗まれるのは別に今はじまったことではありません。
 確かに盗まれやすい環境は整ってきているとも言えるでしょう。どこの会社も社員の士気は落ちています。派遣社員が増え人の出入りが多くなって管理もできなければ、お互いの信頼関係も薄くなっています。こんな職場では誰が何を盗もうがわかりません。非難されるべきは、こういう職場環境をつくってしまった雇う側です。締め付けを厳しくしたところで何の解決にもならないでしょう。

○KPMGビジネスアシュアランス
http://www.kpmg.or.jp/ba/


○継続的なセキュリティ対策の実現 パッチ適用ソリューションのご紹介 ユニアデックス 金子勲

 ユニアデックスというのは日本ユニシスから出た、ネットワークサービス専門の会社だそうです。主にネットワークインフラの面倒みる会社のようです。今回紹介していたのは、linux および Windowsのサーバー用の自動パッチ適用ソリューションでした。確かにパッチあてというのは実に面倒な作業です。サーバーは基本的に動きっぱなしのものですので、そうそう止めてパッチ当てできないものです。それに1台づつパッチを当てるというのもたいへんな作業。それを自動化してくれるのがこのソリューションです。
 今回紹介していたのは、linux用がQloc Engine。Windowsの場合はSUS(Software Update Service)のソフトを提供して、SUSサーバを構築し、SUSクライアントを導入すれば良いのだそうだ。このサーバ構築をユニアデックスがやってくれるということです。各クライントでもちろんWindows Updateでも良いのですが、それだとネットワークが混むし、中にはupdateしない人もいるので、このサービスは有効なのです。けれども、私らのようなSI業種には向いていないソリューションですね。勝手にパッチをあてられても困る場合もありますからね。

○Qloc Engine
http://www.qloc.net/engine/engine.html
○SUS
http://www.microsoft.com/japan/windowsserversystem/sus/
○ユニアデックス
http://www.uniadex.co.jp/


○ASIC対応によるウイルス対策、侵入検知・防止 フォーティネットジャパン 青山裕宣

 フォーティネットとはFortiGate というファイウォール製品を売っている会社。本セミナーはその宣伝です。
 FortiGateは、ハードソフト一体のオールインパッケージです。買ってきてつなげば動くというもの。ファイアウォール機能とウイルス検知(HTTP、FTP、SMTP、POP、IMAP)機能、そしてVPN機能まで持っているんだそうな。
 ASICとは、特定用途向けのICのことで本機の場合はウイルス検知専用のASICを積んでいるのだそうな。
 フォーティネットのような会社とすれば、すべてブラックスボックス化し”これさえつなげば安心だ!”と皆が思うようになってくれればうれしいのでしょうね。金はあるから、面倒なことはしたくない!という会社はこういう製品買えばいいんではないでしょうか。

○フォーティネット
http://www.fortinet.co.jp/


○NTTネオメイトグループがお届けするトータルセキュリティソリューションのご紹介 NTTネオメイト 古谷博昭

 私はNTTネオメイトという会社があることを認識していなかったのですが、この会社って関西のNTTコムウェアなんですかね?業務内容を見るとそんな感じ。NTTはいろいろ分割されて今やどうなってるのやらよくわかりません(^^; しかし、社名は業種をあらわすものにしてくれないと、何やってる会社かさっぱりわかりまへん。ネオメイトってのはなんですか?ネオさんの友達のことですか(^^;?
 従って本プレゼンもセキュリティ全般の総花的な内容で、聞いてもほとんど意味がありませんでした。ネオメイトという会社が関西にある、ということを認識できただけで良いんでしょうが(^^;

○NTTネオメイト
http://www.ntt-neo.com/


○今すぐできるSecureNetworks構築方法 エンテラシス・ネットワークス 森本信一

 エンテラシスはスイッチングハブやルーターなどの自社製ハードを主に売っている会社です。社名は変わった(前の社名は何か言ってたが失念)そうですが、こんな会社知らないですね。ハブやルーターをつくってる会社なんていくらでもありますが、エンテラシスのものはいろんな機能を持った高級品ということです。お金のある会社はこういうの買えばいいんではないでしょうか。
 プレゼンはそれらの製品についての説明ですので気になるかたはホームページを見てもらえばいいのではないでしょうか。ちなみに、私はこれらに全く興味がありません(^^;

○エンテラシス・ネットワークス
http://www.enterasys.co.jp/


○情報セキュリティ政策を巡る現在の視座と今後の展望 経済産業省 商務情報政策局 情報セキュリティ政策室 課長補佐 山崎琢矢

 官僚様のお話を聞くのは昨年のlinux world 以来。宣伝話ばかり聞かされてやや疲れ気味だったですが、彼が何を言うのか楽しみでした。しかしこの前のお役人も課長補佐という肩書きでしたが、こういう場所で話すのは課長補佐の役回りなんですかね?
 経済産業省は自分たちの省のマークをつくったようで、プレゼンのパワーポイントにはそのマークが入っていました。Sに見えるのですが、何を意味するマークなんでしょう?他の省にはロゴマークはないようです。経産省の抜け駆けですか(^^;?

 「セキュリティ」「安心・安全」は時代のキーワードであるが、現状はまだまだである。政府、自治体のセキュリティ対策も極めてお粗末である。驚いたことに自分達が駄目なことを認めていました。お役人らしくない。まあ、単なる開き直りでしょうが(^^;; しかし、そう開き直られても困るんですよね。お粗末なものは停止するか、すぐに対策をうってもらわねばなりません。具体的に何がお粗末とは言いませんでした。ちなみに住基ネットは総務省が主導しているので、経産省は”あんなものは知らん”というスタンスです(^^; 総務省にも情報通信という部署があって経産省と似たようなことをやっています。切り分けはできていないようで、「総務省さんも同じようなことやってるようですね」と山崎さんはヒトゴトのように言ってました。正にこれが日本のお役所なんですね(^^; これを解消するために内閣官房に”情報セキュリティ補佐官”が4月中に設置される予定で、ここが情報セキュリティ政策を統括すると言ってました。この作文を書いてる現在、5月になっているのですが、まだいないようですね。情報セキュリティ補佐官。

 IT(イット)の森総理のときにe-Japan戦略というのが発表されたのを覚えていますでしょうか。ほとんどの国民がこんなもの忘れていると思いますが、この政策は現在”e-Japan戦略II加速化パッケージ”という名前で続行中です。なんという頭の悪そうな名前なんでしょう(^^; スカイラインDOHCターボ2GTX とかいう品のない名前(正確にはこの名前ではないかもしれないがこんなニュアンス)の車が昔ありましたがそれに勝るとも劣らない名前です。書いてある内容も非常に頭が悪そうなので、暇があったら読んでみてください(^^; しかし、この作文の中に住基ネットの話が一言も書いてありませんが、もうあれはつくっちゃったからどうでもいいのでしょうかね(^^; 国民総背番号制だと大騒ぎになりましたが、結局はお役所の無駄が1つ増えただけだったのでしょうか。
 e-Japan戦略は内閣が出したものですが、経産省でも”情報セキュリティ総合戦略”というのを発表しています。同じような作文を各省庁でつくることないのにね。
 講演者の山崎さんは情報セキュリティ政策室に配属されて3年目だそうです。慣例で言うと3年で異動することが多いのでそろそろ異動かも、なんて話もしていました。山崎さん的には、道筋はつくったので役割は果たしたみたいな言いっぷりでしたが、このような官僚システムが責任不在の施策を生み出して行くのでしょうね。引き継いだ人は自分のつくった政策ではないから愛着もないでしょうし、志もないでしょう。引き継いだ彼も3年後には異動するのだからとりあえず施策を進め次に送る。これの繰り返しが日本を動かしている。同じポストに何年もいると確かに権限が発生するという問題もありますが、こんな短期にひょいひょい異動していたのでは成果などあがりませんね...。
 ここまでのプレゼンはどうでもいい、というかお役所の間抜けぶりをさらしていただけでしたが、今回の話で一番企業に関係あるのが、これから書く経産省のつくろうとしているセキュリティ監査制度です。
 セキュリティ監査制度は2003年4月からはじまっていることにはなっていますが、現状は情報セキュリティ監査を実施する際の標準的な基準(「情報セキュリティ管理基準」、「情報セキュリティ監査基準」)の策定と、情報セキュリティ監査サービスを行う企業・組織を登録する「情報セキュリティ監査企業台帳」というのをつくっている状況のようです。これを統括するのが”日本セキュリティ監査協会(JASA)”で詳しくはここのホームページに書いてあります。
 従って現段階では実効性のあるものではないのですが、3〜5年後ぐらいに一部の企業に監査を義務付けたり、監査を受けるとお役所のお墨付きをもらえたり、格付けしたり点数をつけたりするつもりのようです。つまり、経産省の権限が振るえるフィールドが増えるということなのです(省益拡大)。
 監査制度をつくるにあたり、経産省は企業を4つにカテゴライズしています。第一群は政府・自治体。第二群は重要インフラ。これはつまり電気やガスなどのエネルギー産業を指しています。インフラと言ってもNTTは経産省傘下ではないのでここには入らないようです(^^; 第三群は大企業。そしてしまいの第四群が中小企業と個人だそうです。士農工商ではありませんが、経産省のヒエラルキーはこうだったんです。私ら一般人はもちろん最下層ですね(^^;
 最近コンピュータウイルスが発生するたびに経産省、総務省、警視庁、内閣官房などが連名で企業あてにFAXを送ってきたり、NHKや新聞などにウイルス情報を送っています。今までこれらの情報はアンチウイルスメーカー、そしてJPCERTやIPAが発信していましたが、お役所はそれらを利用しつつ自分たちがウイルス情報を統括しようとしているように見えます。もともとはマイクロソフトの欠陥が悪いのであるし、コンピュータウイルスに感染したからと言って人が死ぬわけでもありません。お役所が大騒ぎするほどの脅威とは私には思えないのですがね。これこそ、自己責任で各自が対処すればいいと私は思うのですが。

 そのうちに鳥インフルエンザじゃありませんが、コンピュータウイルスの対処をしていない企業が処罰されるなんてことにもなりかねません。 そして社長が首をつったり、飛び降りたり。これは冗談ではないですよ....。

 しかし、電子政府で政府は効率が良くなるどころかお役所はますます肥大しているように見えます。電子化によって電子化のための仕事が増えている。これではいつまでたっても構造改革なんてできやしませんね。

 とにかく久しぶりにお役人の考えが生で聞けて楽しい1日でした。


○経済産業省 情報政策室
http://www.meti.go.jp/policy/it_policy/index.html

○総務省 情報通信
http://www.soumu.go.jp/joho_tsusin/joho_tsusin.html

○e-Japan戦略II加速化パッケージ
http://www.kantei.go.jp/jp/singi/it2/kettei/040206honbun.html

○経済産業 情報セキュリティ総合戦略
http://www.meti.go.jp/policy/netsecurity/strategy.htm

○日本セキュリティ監査協会
http://www.jasa.jp/

6 MAY 2004 wrote


|TOP|戻る|