法人向けのさまざまなセキュリティ対策サービスを展開~標的型メール攻撃対策や安全な文書管理を実現~NTTソフトウェアwww.ntts.co.jpNTTソフトウェアは、あらゆる産業・企業に対して、優れたICT(情報通信技術)を応用し、独自に開発したソリューションサービスを提供し、お客様のビジネスに貢献することを目指している。最近では、社内からの情報漏洩に加えて、社内の情報管理や外部からの攻撃といったさまざまなリスクに対する危機意識が高まっている。同社では、それらのリスクを小さくしたいというニーズに応えるために、メールの送受信や文書の管理、クラウドやスマートフォンを利用する際のセキュリティ対策など、セキュリティに関するさまざまな製品やサービスの開発や提供に力を入れ、ビジネス展開を行っている。最近では、国内でトップシェアを誇るメール誤送信防止ソリューション「CipherCraft/Mail」における標的型攻撃対策や、セキュアなファイル共有システム「WatchDox」などの新製品を次々に市場に投入し、ユーザーのセキュリティレベルの向上に貢献している。関わらず多くの企業が狙われているのが現状である。巧妙に仕掛けられたメールでは、1つの対策では十分ではなく、複数の対策で多層的防御を行ったうえで、最終的にはメールを受け取る社員の意識を高めることが重要になっている。NTTソフトウェアは、メール誤送信防止市場6年連続No.1(ミック経済研究所調べ)の「CipherCraft/Mail」を販売している(図1)。そのシリーズ製品として、誤送信防止ソフトウェアの開発・導入で培ったノウハウを活用した「CipherCraft/Mail標的型メール対策」を2012年12月にリリースした。同ソフトは、普段使っているメールソフトでメールを受信する前に不審なメールを隔離する。送信元のドメイン認証結果や経由国など、不審な要素を警告画面に表示するのだ。社員がその情報を元に脅威の可能性を認識した上でメールの受信や削除を選択できる仕組みである。2014年に追加された簡易訓練機能では、標的型攻撃メールに見せかけた通知を送ることができ、不審なメールを受信した場合の適切な判断方法を社員に教育・啓発し、意識向上させる効果が期待できる。同社では、誤送信防止や標的型メール対策に限らず、メールシステム全体を高セキュリティに運用する「トータルメールセキュリティ」の実現を目指している。同社では、今後も企業活動には欠かすことができない電子メールに関するお客様の課題すべてにわたって、安心・安全な解決方法をサポートしていく予定だ。企業において業務のペーパーレス化が進み、ファイルのやりとりが増えた結果、簡単に複製・コピーできる電子ファイルから企業の重要情報が漏えいする事件が多発している。ファイルの受け渡しから発生する事件はもとより、近年ではITの進化により企業が認めていない私物端末や外部オンラインストレージにデータを持ち出す“シャドーIT”による情報漏えいが企業の脅威となっている。セキュリティ対策として社内のセキュリティを万全にしても社外に渡したファイルには無力であり、それを守ろうとして逆に厳しいセキュリティルールを科すことは、従業員の生産性を損ないかねない。そこでファイルそのものを保護し、コントロールするソリューションとしてNTTソフトウェアは「WatchDox(ウォッチドックス)」を提供している(図2)。権限を人やグループごとに設定し、重要情報の漏えいを防ぐセキュアなファイル共有ができるサービス。閲覧権限が与えられていない第三者は、暗号化されているためファイルを閲覧できない。本サービスにより管理されたファイルの操作はすべてログで確認でき、送信後でも権限の変更や無効化ができるので、安心してファイル共有ができる。送信時・閲覧時には一般的なブラウザが使えるため、特別なソフトウェアは不要。メールソフトと連携し、通常のファイル添付時に暗号化して送信できるほか、スマートデバイスにも対応しており、BYODを活用しつつセキュリティを確保することができる。DSS対応などで「特権ID」の管理に注目が集まっている。ルート権限やアドミニストレータ権限など特別な権限を持つ「特権ID」は、社内の情報管理を厳密に行う上で、厳格な管理と万全の対策をとらねばならない。「特権ID」は、管理者権限のIDのため強い権限が与えられており、そのため、監査でも厳格な管理が求められる。特権IDを複数人で共有している場合の利用者特定、不正アクセス防止、特権ID・パスワードの厳格な管理、アクセスログの取得などは管理において重要となる観点だ。iDoperation」の提供を行っている。「iDoperation」は、特に管理上課題となる、共有IDの利用状況を個人単位で特定し、統一的な管理画面からすべてのサーバのID情報を一元管理するソリューションだ。「iDoperation」は、TeraTermやリモートデスクトップといったアプリケーションへのログイン代行や、利用者単位の細かなアクセス制御を行うことができる。特権IDの利用者に実際のサーバのパスワードを隠ぺいしたまま作業をさせることができるため、規定時間や規定サーバ以外への不正なログインの防止が可能だ。セキュリティを高く保ちつつ利用者には利便性を損なわせない仕組みで活用できる。複数サーバの特権ID情報を一元管理できることもポイントだ。サーバ管理者が負担に感じている、定期的なパスワードの変更作業もスケジュール化し自動実行できるため、特権IDの管理漏れ防止と運用負担の軽減にも貢献している。近年は監査の観点から、サーバ側に登録されている実際のID情報と、「iDoperation」に登録されているID情報の差分(不正ID・不要ID)をチェックする機能がお客様から評価されている。ID情報の差分結果レポートを定期的に自動で作成し、監査用のレポートとして活用もされている。対象サーバへの認証アクセスログを一元取得するとともに、管理者のID管理操作ログも取得するため、内部統制や各種監査への対応作業のコスト削減にも貢献している。その他、IDの利用申請、監査の証跡管理の製品もラインナップとして用意しており、連携して活用ができる。NTTソフトウェアでは、監査対応ニーズの高い、製造業・流通業をはじめ、金融機関など、数多くの企業にシステム導入を行ってきた。豊富な導入実績を活かし、監査対応に悩む企業をバックアップし続けている。Gateway」Salesforceに代表されるパブリッククラウドは導入の容易性、運用の容易性、グローバル対応、トータルコスト低減などの優れた点が評価され、その導入は基幹業務も含め急速に拡大している。企業がクラウドサービスを利用する場合の懸念事項として「セキュリティに対する不安」は高く、また、自社のセキュリティポリシーをどのようにクラウドに適用するかが最大の考慮点となっている。通常の企業においてはセキュリティポリシー上、外部に機微情報を保管することを認めている企業はほとんどなく、企業がクラウドサービスを導入するうえでの大きな課題となっている。Gateway」(図3)は、クラウドサービス利用時に、個人情報や営業秘密などのデータ、電子ファイルを暗号化してクラウド上に保存することで、万が一の情報漏えいに備え、クラウドサービスを安心して利用可能とするソリューションである。Gateway従来のIDCなどが提供していた暗号化機能と異なり、本製品では企業自身が管理する鍵で暗号化/復号を行えるため、自社セキュリティポリシーに合わせた運用が可能である。本製品によるデータの暗号化では、日本語の部分検索やソートなどのクラウドサービスの便利な機能をそのまま利用できるのが特長である。本製品を導入している企業のユーザがクラウドサービスを利用する際のログを記録し、監査に必要とされる詳細な利用履歴情報の記録が可能であり、クラウドサービス利用企業主導でのセキュリティ対策を可能としている。NTTソフトウェアでは、対応クラウドサービスの拡大ならびに、システムのログやユーザの操作履歴などからセキュリティの脅威を可視化するセキュリティインテリジェンス機能の提供など、クラウド環境利用時の総合的なセキュリティ強化に力を入れていく。「ProgOffice」(図4)は、通話に関するほとんどの処理をサーバ側に集中させるシンクライアント化を実現したセキュリティ対策ソリューションだ。ProgOfficeは米グーグルの基本ソフト(OS)「アンドロイド」や米アップル社のOS「iOS」搭載のスマートフォンに対応したサービスを提供している。「電話の発着信履歴」と「電話帳データ」をスマートフォンに残さない機能「ネットワーク電話帳」のアプリケーションを起動すれば、外に個人情報が漏れること無く安心して電話を使える。ProgOfficeの利用者が通話する際に、社内のProgOfficeサーバを経由して通話を行うV字発信を行うことで、「電話の発着信履歴」や「電話帳データ」が個人のスマートフォン上に残ることはない。したがって、個人所有の端末を業務用電話機としても利用することが可能となる。ProgOfficeまた、NTTソフトウェアは、スマートフォンを活用し、セキュアに社内ネットワークに接続でき、会社のメール閲覧や操作ができる機能を2012年春から提供している。業務用メールの送受信や添付ファイルを端末に残さず、シンクライアントの形で利用可能となっている。多要素認証、不正インストール対策、アプリ改ざん検出機能/検出時のロック機能、リバースエンジニアリング対策など4つの仕組みをアプリケーションに実装しており、より一層安全に利用できる。電話アプリケーションとメールアプリケーションを統合したワンパッケージの利用も可能だ。今後は「ProgOffice」と社内用業務システムやクラウドサービスと連携した基盤開発も行い、さらに利便性の向上を目指す。