情報セキュリティ：標準化議論＆対策範囲＆大いなる勘違い
今日の CNET Japan 斜め読み＋おまけ。
この記事によると、NAP (Network Access Protection) の発表後、18 社が対応を表明しており、Check Point (Firewall-1 のベンダー)、Nortel Networks、F5 Networks (SLB 機器ベンダー)、Aventail (SSL-VPN ゲートウェイベンダー) 等が含まれる様子。
と言われたって Microsoft の NAP にしても、Cisco の NAC (Network Admission Control) にしても interoperable じゃないと意味ないんじゃない？と思うわけです。Microsoft 以外のノードはたくさんあるし、Cisco 以外のネットワークインフラもたくさんあるわけですから。
しばらく前にあるところで聞いたのですが、エンドポイント・セキュリティの標準化については Trusted Computing Group ( https://www.trustedcomputinggroup.org/ ) という団体で議論されているんだそうです。確かにプロトコルではないので IETF や IEEE では議論しにくいし、他の適切な団体もないし、ということなのでしょう。
広い意味で見た場合の「セキュリティ」には、バックアップやストレージ管理等のデータ保護に関する機能も含まれて考えなければならないということの象徴なのでしょうか。
次のようなストーリーで、シスコシステムズが自己防衛型ネットワークを、わざわざテレビで宣伝しているのはご存知の方も多いかと。
シスコ自己防衛型ネットワークの最新TV-CMに登場する、ひとりの少女「サラ」。お父さんに連れられてオフィスにやってきた彼女は、時間をもてあましてPCにゲームをダウンロードしました。すると突然、画面に“ウイルスを検出”の警告が・・・。しかし、ネットワークが自ら危険を認識し、ウイルスが蔓延する前に“ウイルスを駆除”しました。悪意のない行為が招くセキュリティの危機も、自動的に察知して未然に防ぐ。シスコの自己防衛型ネットワークで、サラはウイルス感染の犯人にならずに済んだのです。
情報セキュリティの観点からいうと、自分の子供だとはいえ、社内のＩＴインフラ（＝ＰＣ）に触れさせてはいけません。それから、認証することなく、子供（≠正規ユーザ）がＰＣを操作できるのもどうでしょうかね。父親は情報セキュリティの基礎教育を再度受けたほうがいいでしょう。また、ＰＣにゲームを簡単にダウンロードできる企業ネットワークのあり方もいかがなものかと。ちゃんと web コンテンツのフィルタリングやクライアントのインストールソフトウェアのライセンス管理などの対策を検討したほうが良いですね。
というわけで、このコマーシャルに登場する企業に必要なのは、自己防衛型ネットワークというテクノロジーではなくて、情報セキュリティに関する社員教育のような気がしますが、シスコシステムズは、そういうことをわかっていて、あえてテレビで宣伝しているのでしょうか？
