中堅・中小企業がいま取組むべきセキュリティ対策（富士キメラ総研）

外部アクセスをセキュアにする取り組みは不可避

　手間をかけずによりセキュアなネットワーク環境を実現したいユーザーに対しては、UTMの監視を主体に、不正アクセスやウイルス対策などを複合的に提供する統合セキュリティ監視サービスが、セキュリティサービス専業のラックのほか、通信事業者やOA機器ディーラーなどから提供されている。多くのサービスは、SMBのニーズに合うよう、初期費用が低く抑えられていることが特徴であり、2009年の国内市場は、中堅企業が52.7%、中小企業が30.0%を占めている。

　インターネットなど外部ネットワークへのアクセスを許可するシステムでは、社内外の境界をセキュアに保つ取組みは避けて通ることができないうえ、今後スマートフォンの普及によって従業員による社外からのモバイルアクセスが増えると考えられることから、その重要性は一層高まってくる。製品・技術について継続的に情報収集を行い、セキュリティレベルを高めていく取組みが求められる。

キーポイント2　的を絞った統合ログ管理による内部統制の強化

　企業システムでは、サーバー、ネットワーク機器、OS、アプリケーションなどが日々大量のログを記録し続けている。統合ログ管理とは、これら複数のログを統合的に管理することであり、それを支援する製品やサービスが提供されている。

　システムの動作記録であるログは、システム障害やセキュリティ事故が発生した際、原因を究明するための重要な手がかりとなる。ログ管理に対する意識は、2005年に全面施行された個人情報保護法やその後の日本版SOX法など、企業に対して情報管理の強化・徹底を促す法律の施行を直接の契機として、主に大手企業を中心として高まった。
複数のログを統合管理する統合ログ管理ツールの2009年の国内市場規模は27億5,000万円で、そのうち83.6%が大手企業からの需要で占められている。大手通信事業者など日々テラバイトクラスの膨大なログが蓄積され続ける企業では、高性能なログ管理専用製品の利用が必要不可欠という背景もある。

　一方SMBでは、大手企業に比べ統合ログ管理への取組みが遅れているのが実情である。これは、未上場企業では日本版SOX法と直接の関係を持たないことや、情報漏えいなどによる経営へのインパクトが大手企業ほど高くはないことなどによるものと考えられる。
しかし、内部統制に対する社会的な要請が高まりつつある中、大手企業では関連会社はもとより、SMBを含む取引先に対しても内部統制の厳格化を求める傾向が強まっていることから、SMBが統合ログ管理製品やサービスの情報を収集・分析した、導入プロジェクトの検討を始めることは有益と思われる。

　統合ログ管理ツール製品には、大規模システムへの適用に耐えうる高性能製品が提供される一方で、導入が容易で比較的安価な製品もリリースされている。後者の代表的なメーカーとして、2008年から2009年にかけて低価格製品を求めるニーズの受け皿として販売実績を伸ばしたインフォサイエンスがある。また三菱電機インフォメーションテクノロジーでも、新たにエントリーモデルを市場投入して、需要の裾野拡大を狙っている。

　統合ログ管理の実践では、ツールの購入費用にも増して、周辺コストがかさむことが妨げとなる。収集すべきログの精査とその後のシステム構築などのイニシャルコストと、運用業務などのランニングコストがあり、その負担は大規模システムを多数抱える大手企業においてとりわけ大きくなっている。
SMBは、システム規模やシステム数の面で大手企業よりも有利であるといえるが、費用対効果を高めるためには、管理対象を欲張らず、重要性が特に高いシステムに絞って実践することがポイントである。