[Security Days 2013 インタビュー] 急拡大するシャドーITのリスク、無断BYOD端末の安全管理（ソリトンシステムズ）

株式会社ソリトンシステムズは、セキュリティ分野に強みをもつベンダーである。スマートフォンを確実に認証することで、その利活用を推進する「NetAttest EPS」シリーズは、2011年以降急速に実績を伸ばしており、2月28日と3月1日に渋谷ヒカリエで開催されるセキュリティ専門セミナーSecurityDaysで、製品概要に関する詳しい講演が行われる。スマートフォンの業務利用やBYODなど、変化する企業情報システム環境に関して、同社プロダクトマーケティング部の宮崎洋二氏に話を聞いた。

――ソリトンシステムズの事業ドメインを教えて下さい

ソリトンシステムズは1979年に設立し、セキュリティ製品の開発・販売を行なう「ITセキュリティ」事業、企業向けITシステムを構築・運用する「ITインテグレーション」のほか、映像伝送システムを開発販売する「映像コミュニケーション」、半導体や組込みシステムの開発販売する「エコ・デバイス」事業などを展開しています。近年では「ITセキュリティ」事業の割合が高まっており、セキュリティベンダーとしての立場がより明確になってきました。提供する製品は、いずれも、お客様に対して信頼・安心できるセキュリティと利便性を提供するものです。

――代表的なITセキュリティ製品は何ですか

セキュリティへの関心が高まっていることから全体的に伸びていますが、特にネットワークのセキュリティを強化する「NetAttest」シリーズが好調です。シリーズの中心的な製品である「NetAttest EPS」のほか、DNS/DHCPサーバを構築する「NetAttest D3」、不正な端末をブロックする「NetAttest LAP」、利用者毎の通信制御や検疫ネットワークを実現する「NetAttest SecurityFilter」などの関連製品がこれに含まれます。

――企業のセキュリティ需要はどのように変化しているでしょう

昨今のキーワードとしては、「スマートデバイス」「標的型攻撃」「メールセキュリティ」「クラウドサービス」などが挙げられると思いますが、その中でも、スマートデバイスの安全な利活用に対しての関心が特に高いように感じています。一昨年頃からスマートデバイスによる業務効率化を象徴する「BYOD」という言葉を頻繁に耳にしてきましたが、最近では、これに合せて「シャドーIT」という言葉も聞かれるようになってきました。

シャドーITとは、企業内に存在するIT機器・システムのうち情報システム部門が管理できていないものを指す言葉です。単語としてはそれほど浸透していないかもしれませんが、個人が持ち込むノートPCやUSBメモリ等も含まれています。多くの企業では、これらを「望ましくないもの」として排除する対策をとられているのではないでしょうか。近年では、スマートフォンやタブレット端末の普及によって、シャドーITがもたらすリスクに注目が集まりつつあるようです。

その理由のひとつに対策のとりづらさがあります。スマートフォンを「個人の携帯電話」として考えると、オフィス内への持込みを禁止することは現実的に難しく、また、今までの仕組では企業ネットワークへの接続するのを防ぐことは容易ではありません。なぜなら、企業内システムへのアクセス手段を知っている身内のスタッフが相手だからです。悪意ある攻撃者(クラッカー)に対しては有効であったID・パスワード認証も、残念ながらシャドーITの排除には効果がありません。デジタル証明書による認証を行う「NetAttest EPS」は、こうした課題に対して最適な製品といえます。

標準的な技術であるデジタル証明書は、iPhoneやAndroid端末、PCなどに広く導入でき、マルチデバイス環境に対して有効です。以前から同じ用途で採用されてきたMACアドレス認証と比べると、利便性の面では遜色なく、セキュリティ強度の面では圧倒的に優位です。

デジタル証明書による認証環境は、ネットワーク機器と、それに対応する認証システムとしてRADIUSとCA（認証局）、LDAP（データベース）を組合せれば実現できます。
これらは「難しい技術」として敬遠される場面もありましたが、「NetAttest EPS」アプライアンスであれば、専門的な知識や経験を必要とせず、最適な設計による安定稼働や長期的運用が可能です。

――MDM製品とは競合しないのですか

「NetAttest EPS」が担当するのは「認証」です。不適切なデバイスを企業ネットワークから排除します。MDMは（適切な）デバイスを安全・快適に使用するためのものですから、むしろあわせて導入すべき製品だといえます。これはBYODにおいても同様です。特定デバイスを管理する仕組みを導入しても、管理外のデバイスが侵入してしまっては意味がありません。まずは「NetAttest EPS」で不正なデバイスを排除することから始まります。

――持ち込み機器のセキュリティ管理は古くて新しいテーマですね

その通りです。PCもスマートデバイスも、無許可の持ち込み端末は、昔も今も禁止すべきということに変わりはありません。しかしスマートフォンの登場によって、無視できない数になったことで優先順位が上がったようです。個人端末をシャドーITとみなして排除するにしても、逆に適切に管理しBYODとして積極活用するとしても、デバイス認証の必要性から証明書に行き着くのではないでしょうか。そのとき、ソリトンシステムズは「NetAttest EPS」でお客様の課題解決をお手伝いしていきたいと思います。

――ありがとうございました