「IBM iにセキュリティ対策は不要」という考えは見直すべき？ 社内外に存在するセキュリティホールへの対応策とは？

「堅牢性」は、IBM iが誇る優位性のひとつですが、外部とのデータ連携や、モダンな言語への対応など、システムのオープン化が進むにつれ、新たな対応策が必要になってきています。「Enforcive（エンフォーシブ）」をはじめ、優れたセキュリティソリューションを提供する株式会社ソルパックの福嶋浩人氏に、セキュリティ対策が必要とされる背景とその重要性を伺うとともに、今すぐに見直すべきポイントを挙げていただきました。

オープン化の時代を迎え、セキュリティリスクの再考が必要

IBM iの特長として挙がる3点のキーワード「継承性」、「堅牢性」、「可用性」。AS/400の時代からこれらを維持し続けてきたことにより、IBM iはビジネスにおける基幹業務を担うコンピューターとしてその存在を確立させてきました。しかし、コンピューターを巡る状況はこの数十年で大きく刷新し、IBM i自体も活用領域をこれまでのSoR(System of Record)だけでなく、SoE(System of Engagement)にまで広げるなど、オープン化の動きはとどまるところをしりません。 このオープン化の流れは堅牢性が売りであるIBM iにもセキュリティリスクへの再考を求めることになりました。もともと、IBM iではオブジェクト・アーキテクチャーという設計思想のもとマイクロコードレベルで様々なセキュティ機能が実装されてきました。しかし、機能はあってもこれらを正しく設定し高いセキュリティを実現しているケースは少ないのが現状です。正しく設定されていない状態から正しい「あるべき」状態に変更するためには多額のコストと時間がかかります。そのため、対策を先送りにしてしまっている、というようなケースも散見されます。 しかし、昨今セキュリティ対策は待ったなしの状況と言えます。個人情報漏えいの事件で話題になった某教育大手の会社はその事件による直接損害だけで3000億円近く。とある統計調査では「情報漏えいを起こした企業とは付き合いたくない」という回答が７割を占めたと言われており、毀損したブランドイメージや消費者心理が事故以降の売り上げにも大きな影響を及ぼすことは想像に難くありません。 セキュリティ対策は「保険」のようなものとよく言われます。セキュリティ対策への投資にネガティブな企業の場合、「投資対効果」がネックになることが多いようですが、事故が発生してからでは取り返しがつきません。先の事件を契機に、最近はセキュリティ投資への検討を真剣にはじめている企業も増えてきていますが、アメリカの企業などと比較すると日本ではまだまだ取り組みが進んでいないため、今後の国内の動向には注目をしています。

オープン化したIBM i の抱えるセキュリティリスクとは

IBM iのセキュリティリスクを考える場合、外部からの攻撃と内部からの漏えいという二つの観点で考える必要性があります。 まず外部からの攻撃についてですが、もともとIBM iの前身であるAS/400はTCP/IPとは独立した存在として登場し、外部連携せず自社内でのみの「閉じたシステム」として利用されることがほとんどだったため、古くからのユーザーの中にはリスク自体を認識していないケースも多くあります。しかし、世の中全体で進むオープン化の流れに合わせ、IBM iでも従来の独自環境に加え、IFSとPASE環境といったオープンな稼働環境を装備し、JavaやPHPといった新しい機能を実装してきました。JavaのJVMを例に挙げると、現在のiのJVMはAIXやIAサーバー向けと全く同様のものがPASE環境上で稼働しているのですが、結果としてこういったオープン環境で稼働するJVMと同じ脆弱性をIBM i 環境上に持ち込む危険性が出てきてしまいました。もちろん、IBM iの独自環境で稼働しているプログラムやデータファイルはその影響を受けることはありませんが、連携している他社システムへの攻撃の踏み台となったり、ネットワークダウンといった被害が発生したり、という影響を受けるリスクがあります。 今後、IBM iの活用がSoRの領域だけでなく、SoE領域でも模索されていく中、外部とのデータ連携やモダンな言語で構築されたシステムとの連携がますます進んでいくのは間違いありません。IBM i自体は堅牢でありながらもこうした外部からの攻撃の可能性が誰にでもあることは認識しておいて頂きたい点です。

見逃されがちだが、実は多い内部の漏えい対策

次に、内部からの漏えいについてですが、先述した2014年発生の大規模な個人情報流出事件がそうであったように、実は大半の情報漏えい事件は、内部の社員、関係者によるものがほとんどと言えます。現代のビジネスにおいて情報管理の重要性は認識されつつありますが、実際のデータへのアクセス制限の設定などはまだまだ不十分であるのが現状です。 IBM iはTIMIを有するなど、他のOS群とは異なる独自のアーキテクチャとなっていることもあり、例えばユーザー毎に個々のオブジェクトの操作権限を設定できたりといった高いセキュリティ性を誇ります。また、監査ジャーナルの機能による不正アクセスや改ざんなどのログを取得でき、不正の未然防止につながっています。しかし、IBM iだから大丈夫、ということにはなりません。IBM iは「堅牢に作れるシステム」ではあるものの、監査ジャーナルなどの機能も実際にしっかり活用されているとは言えないのが現状です。その背景には、セキュリティ設定をおこなう際には複雑なシステム設定、場合によってはアプリケーションのソースコードまで変更する必要があり、開発コストがかさむためです。その設定の煩雑さから、最初に設定をしたまではいいものの、そこから変更せず現在に至る、といったケースも散見されます。 IBM iは「堅牢なシステム」ではなく、「堅牢につくれるシステム」であり、堅牢につくるためには開発のコストを計上する必要がある、という点は注意が必要でしょう。

低コスト・簡単操作で、情報漏えい対策を実現するEnforcive

「堅牢につくれるシステム」であるIBM iをプログラムの開発なしで、セキュアな状態を維持する方法のひとつが、当社の提供しているソリューション「Enforcive（エンフォーシブ）」を利用することです。 もちろん、他にもIBM i向けのセキュリティソリューションはありますが、Enforciveは「使いやすさ」に特長があります。セキュリティに関する設定は、毎日は変更せずとも、定期的な見直しと変更を伴います。また、万が一の際のログ出力などは迅速な対応も求められます。Enforciveは、専用のGUIによる、誰でも簡単に使いこなせるインターフェースとなっており、直感的な操作を実現しているため、利用時の負担が高くありません。せっかくセキュリティ対応のためのツールを入れても、特殊な画面での操作が必要となると、まずはそれを覚えるだけでも多くの時間を費やさざるを得ません。EnforciveのGUIインターフェースならセキュリティ担当の社員がツールを使うための教育コスト、工数もほとんど必要とせず、低コストでのセキュリティ機能設定・運用が可能になるのです。 もう一つの特長は、自社の業務に合わせて「詳細に・容易にカスタマイズできる」ことです。アプリケーションのソースコードを変更することなく、データのアクセス制限やダウンロード・出力制限ができます。たとえば、*ALLOBJの特殊権限を持っているユーザーは通常いかなるシステムコマンドも利用可能ですが、Enforciveならその特殊権限を上書きしてコマンドの利用制限をかけることができます。これによりQueryやSQLによる安易なデータダウンロードができないように制御をかけることができ、データの内部漏洩防止に役立ちます。またIBM i v7から注目を集めるファイル内の特定フィールドに対する暗号化設定も、通常は高度なプログラミングや、SQL知識が必要になりますが、EnforciveではGUI画面から簡単に設定でき、アプリケーションの変更やコーディング作業を必要としません。設定の難易度が高い監査ジャーナルもGUIベースでさまざまな設定・管理を行うことができます。レポーティングもGUIで出力できるため、いざという時の素早い対応を可能とします。こういった機能により、自社のビジネスや組織体制を考慮した効果的な内部対策が実現できるようになるのです。

セキュリティ対策は堅実な運用がいざという時の「保険」となる

セキュリティ対策は、何か特定のソリューションやシステムを導入して終わりというものではありません。自社の状況に合わせてシステムの設定を見直すなど、日々堅実に運用していくことで「保険」としての効果を持つものです。そのため、自社の現状を把握し、適切なカスタマイズと対策を行っていくことが必要となります。ですが、「情報保護のために何をしていいのかわからない」という方が多いのが実際のところではないでしょうか。 当社では、そうしたユーザー企業の担当者のお悩みに応えるべく、Enforciveの活用ノウハウを共有する「ユーザー会」を開催しました。多様な業種のユーザー企業の担当者の方々が集い、「情報保護のための自社の取り組み」が共有されましたが、参加した企業に共通するのは「ファイルのダウンロード・出力」に関しては、比較的みなさんしっかりと制限をかけていることでした。 しかしEnforcive自体、J-SOX法スタートのタイミングで導入企業が増加していった背景もあり、監査向けのレポートに使用するだけというお客様が非常に多いという状況であるということもわかりました。 まだまだEnforciveの持つポテンシャルを十分に活用して頂けていない、と感じています。たとえば、製造業のお客様なら、製造原価などの重要なデータに制限をかける。資産などのデリケートな顧客データ扱う金融・不動産のお客様なら、データのダウンロード・出力の際にクレジットカード番号などが自動的にマスキングされるといったかたちでの運用が簡単に実現可能なのです。 今後もユーザー会のようなセキュリティ対策の重要性を周知していくことで、監査だけでなく、日々の情報保護における取り組みの重要性をもっと訴えていかなければならない、と考えています。

IBM iが直面しているオープン化をセキュリティ面からサポートしていく

SoEの分野が今後のビジネスにおいてより一層重要度を増すことが見込まれる中、IBM iがオープンな方向に進んでいくことは間違いないでしょう。そして、基幹システムだけで利用されるのではなく、IBM iがウェブアプリケーションの基盤として利用される、といったことも考えられます。実際、アメリカでは「セキュリティも考慮し、IBM iでECサイトを構築し運用する」といったケースも発生しています。 当社では、Enforciveのほかにも、セキュアな環境を実現するためのソリューションを総合的に提供しています。企業内におけるFTPなど社内外のファイル授受へのセキュリティ対応を効率的に実現するGoAnywhereや、IFS領域から侵入するウイルスを検知・除去するStandGuard Anti-Virusといった製品はその代表的なもの。さらに、Enforciveもウェブ対応としてファイアウォール機能の実装などが検討されています。 これからも進化を重ねていくだろうIBM iのメリットを最大限に享受していただく。それが、IBM iのセキュリティソリューションを提供する私たちの大きな使命です。これまでのビジネス活動で築き上げてきたデータ資産をベースに、ビッグデータやIoTなどの施策展開が期待されている今、IBM iはこれから新しいステージに突入していきます。このような大きな潮流の中、私たちもセキュリティ周辺でのサポートを通じて、IBM iユーザー企業の皆さまのビジネスの発展に貢献していけたらと考えています。