「IT Initiative Day 2010 セキュリティサミット」に行ってきた

「IT Initiative Day 2010 セキュリティサミット〜マネジメントから考える企業セキュリティ〜」に行ってきた。

日時：2010年7月27日(火) 13：00〜18：00
主催：株式会社翔泳社
会場：ベルサール飯田橋
協賛：日本オラクル株式会社、日本ベリサイン株式会社、ノベル株式会社

「クラウド＋セキュリティ」のセミナーにはいくつか出席しているがあまり代わり映えはないような気がする。特に企業協賛では自社製品の宣伝なのであまり面白くない。ただ今回は、山口先生の基調講演とパネルディスカッションはなかなか面白かった。

複雑化する情報インフラ管理の課題と挑戦

仮想化は諸刃の刃である。良い面は、ハードウェアリソースの利用率アップ、資源追加の円滑な実施、コストダウン、運用方法によっては可能性や耐障害性が向上する。悪い面は、権限管理の集中と分離、情報処理エレメントの集積度アップによるリスク集中する。

新たなセキュリティ機能の実装。クラウドコンピューティングは、相互接続とユーティリティ化の進化形である。相互接続とユーティリティ化は、既存の境界防衛モデルを崩壊させる。ユーティリティ化の中でTrustの概念再構築が必要だ。基盤化のなかでrobust&resilient systemが求められる。従来、情報セキュリティではあまり考えられてこなかったall hands solutionを考える必要がある。resilient systemは、トラブルがあっても止めない。

クラウド事業と自分自身の責任分担。「あっちの人は大丈夫か？」サービス品質、障害対策、障害補償範囲、リスク管理、危機管理、運用品質、契約免責条項、資源管理方針、信頼性を確認する。障害発生時に、自分たちはBCPを持っているか。自分の耐障害性を向上しなければならない。

まずは自分自身の管理状況を再点検する。事業継続管理は考えられているか。クラウドサービスが使えない状況を考えよ。合理的な判断基準を持っているのか？どの情報処理を、クラウド事業者に依存して大丈夫なのか。依存度は合理的に判断できるか。

ユーザ側はリスクアセスメントを考えてやる。そこがちゃんとできていない。事業継続管理との整合性確保が必須である。技術進展により急激な変化も期待でき、より発達したクラウド技術の展開、新たな常識の登場となる。

「クラウド時代のセキュリティ」〜クラウド環境への展開時に潜む課題とは〜

ノベル株式会社営業本部 SEグループマネージャー佐藤紀之氏

ID管理機能のアウトソーシング、ID管理をクラウド化する、IDaaS(Identity as a Service)というらしい。

アイデンティティ管理(Novell Identity Manager)、アクセス管理(Novell Access Manager)、ログ管理(Sentinel)、特権ユーザ管理(Novell Privileged User Manager)という製品の説明だった。パブリッククラウド事業者(ACS社、ベライゾン社、Elisa社)への導入実績があるらしい。

情報漏洩を防ぐ、積極的なセキュリティ対策とは

日本ベリサイン株式会社 SSL製品本部ダイレクトマーケティング部
マネージャ大塚雅弘氏

ベリサインセキュアメールID(顧客向け送信メール署名用の電子証明書)、ベリサイン SSL サーバ証明書(EV SSL証明書)の話。

最近、HTTPSでサイトにアクセスすると、ブラウザのアドレスバーが緑色になったり、鍵アイコンの表示場所、ウェブの組織名やEV証明書の認証局が表示されるようになっていたのを不思議に思っていたが、「EV SSL証明書対応ブラウザによるセキュリティの可視化」によるものだったことをここで初めて知った。

今取り組むべきセキュリティ対策の勘所〜事例からみる導入の成功要因と効果〜

日本オラクル株式会社 Fusion Middleware事業統括本部
ビジネス推進本部マネージャー大澤清吾氏

「OracleのID アクセス管理ソション製品を採用しセキリティフレムワクを構築例」の話が前半ほとんどだったので、ちょっと飽きてしまった。

オラクルとサンの合併により、似たような製品も統合されたらしい。ID管理、統合ディレクトリ、シングルサインオン、アクセス制御、権限/ロール管理、Oracle Platform Security Services、運用管理ツールなど。サンの製品はあまり生き残れなかったようだ。

オラクルと言えばDBMSしか知らなかったが、セキュリティ関係やその他の製品もあることを知れてよかった。

『責任はどこにある？?クラウド時代の情報セキュリティ』

モデレータ：S&Jコンサルティング株式会社三輪信雄氏
パネリスト：株式会社フォティーンフォティ技術研究所奥天陽司氏
株式会社ラック新井悠氏
デロイトトーマツリスクサービス株式会社丸山満彦氏

パネルディスカッションは話が分散しやすいのと、明確な答え・結論が出にくいのでちょっとまとめづらい。以下に箇条書きにする。ちょっと意味不明な部分もあるがご容赦。

仮装システムの脆弱性
- ゲストOSからホストOSに侵入する脆弱性があった。デバイスドライバをねらった攻撃がある。ソフトウェアである以上脆弱性がある。

日本にサーバがディスクを置いたからOKか裁判の問題とか。
- 必ずしも国内だからOKということはない。電気代が高いとかコスト面の問題もある。

プライベートクラウドのセキュリティについて
- パッチがないシステムの脆弱性。Windows 2000をどう対応するかが問題。

クラウド業者が困るような要望とは
- 侵入テストする場合IPアドレスがラウンドロビン等で変わり、別のホストをテストしてしまうことがある。
- 体制面・運用面では？起きてもいないことを起きないといっても安心できない。起きたときにどう対処すればいいかがわかる資料を作る・提案する。起きたときでも安心を提案する。
- 組織としてのありよう？金融機関では検査がはいる。ルールがある。そのルールに沿ったシステムでない場合は変更を要望されるが、クラウドの場合対応ができない。エンタープライズ向けにクラウドを作っていかなければ、使われなくなる。

リアルにあるものがクラウドにはあるのか。侵入検知システムとか……
- リアルでできる構成がバーチャルではできない。業者が設定した構成から選択しなければならないので、難しい。共用F/Wとかを選択できる業者もある。

クラウドを使う場合気をつけること。アドバイス
- 神頼み。IT神社？
- 事故が発生した場合にどれくらい速く対応してくれるか。←アドバイスではない。
- どれくらいやってくれるか、切り分けをどこまでやってくれるかを明確にしてくれる業者を選ぶ。分厚い契約書、英語の契約書でもちゃんと読む。
- 基準がないので、これだけやればOKというのがない。だからアドバイスは難しい。国内の業者としっかり話し合う。そして契約の中に盛り込んでいく。