PR
写真1:米EMCの上級副社長で,RSA Securityの社長を兼任するArt Coviello氏
写真1:米EMCの上級副社長で,RSA Securityの社長を兼任するArt Coviello氏
[画像のクリックで拡大表示]
写真2:万里の長城を背景に「完璧なセキュリティは不可能」
写真2:万里の長城を背景に「完璧なセキュリティは不可能」
[画像のクリックで拡大表示]
写真3:EMCの会長兼社長兼CEOであるJoe Tucci氏
写真3:EMCの会長兼社長兼CEOであるJoe Tucci氏
[画像のクリックで拡大表示]

 「The End of the Stand-Alone Security Industry(専業セキュリティ・ベンダーは無くなる)」---。2月6日(米国時間)に開幕した「RSA Conference 2007」の基調講演で,現在は米EMCの一部門であるRSA Security社長のArt Coviello氏はこう語り,これからのセキュリティが,情報保護に主眼を置いた「インフォメーション・セントリック・セキュリティ」になると宣言した。

 EMCがRSA Securityを21億ドルで買収すると発表したのは,2006年6月のこと。今回基調講演を行ったArt Coviello氏(写真1)は,買収前のRSA Securityでも社長兼CEOであり,買収後はEMCのシニア・バイス・プレジデントとRSA部門の社長を兼任している。2006年1月の「RSA Conference 2006」では,専業セキュリティ・ベンダーのトップとして基調講演を行ったCoviello氏が,その1年後には「専業セキュリティ・ベンダーが無くなる」と宣言したのである。

 実際に,既に大手セキュリティ・ベンダーの多くが,専業ではなくなっている。IDS(侵入防御システム)大手のInternet Security Systems(ISS)も,2006年8月に米IBMに買収された。米Symantecは逆に,2004年12月にストレージ・ソフト・ベンダーのVERITASを買収した。米CAは元々,ウイルス対策ソフトなどのセキュリティ製品以外に,システム管理ソフトやバックアップ/ストレージ管理ソフトも手がけている。そして,「米Microsoftや米Oracle,米Cisco Systemsも,統合セキュリティを手がけ始めている」(Coviello氏)。例外は,ネットワーク管理製品を売却した米MacAfee(旧Network Associates)ぐらいだ。

 それでは,Coviello氏が「専業セキュリティ・ベンダーが無くなる」と語る理由は何だろうか。Coviello氏はこう語る。「現在,ありとあらゆるデータがデジタル化されており,インフォメーションのデリバリ(企業内での配布)が,業務の鍵になっている。正しい情報を即座に正しい相手に届ける必要があるのだ。ここで問題になるのが,セキュリティだ。社員が外で仕事をする際に,データも一緒に外に持ち出されるべきだ。しかし現状は,セキュリティが足かせになっている」。

 「その一方で『データが増えすぎて管理できない』,という悲鳴が現場から上がっている。しかし,管理できないものをセキュアにできるはずがない。インフォメーション・マネジメントとインフォメーション・セキュリティが不可分になっているのだ。こういった状況の変化にセキュリティ企業が対応するためには,セキュリティ企業が変身しなければならない」(Coviello氏)。だからこそRSAは,インフォメーション・マネジメントを手かげるEMCと一緒になったのだという。

完璧なセキュリティは時間と金の無駄

 またCoviello氏は,統合型のセキュリティが求められている理由を3つ挙げた。第1点は,脅威が変化していること。「ウイルスなどの開発が,技術力を誇示するだけ(ジャスト・ショウオフ)のものから,完全に利益目的になり,セキュリティのすべてが変化した。フィッシングなどのソーシャル・エンジニアリングが高度化し,ブラック・マーケットは10億ドル規模になった」(Coviello氏)。第2点は,企業活動がオンラインに依存するようになったこと。第3点は,法制度が変化し,法令順守が難しくなりつつあることだ。

 「RSAは,完璧なセキュリティを目指す会社だったが,世界が変わってしまった」とCoviello氏は語る。「今は,ビジネス・リスクという観点で,セキュリティを把握する必要がある。セキュリティはもはや,ファイアウオールや暗号化の話題ではない。現金が絡む問題であり,企業戦略の問題であり,顧客対応の問題であり,ブランド・イメージの問題である」(Coviello氏)。

 その上でCoviello氏は,「専業セキュリティ・ベンダー消滅論」に続く,強烈な発言を行った。「完璧なセキュリティは,時間とコストの無駄」というのだ。Coviello氏は,中国の万里の長城の写真(写真2,日本でも世界でも無駄なものの象徴として認識されている)を掲出しながら,「完璧なセキュリティは不可能」と力説した。

 「今までの検出(デテクション)システムでは,現実世界の70%の脅威しか防御できない。静的(スタティック)な防御では,もはや情報は保護できない。動的(ダイナミック)でかつビルトインの,インフォメーション・セントリック(中心)なセキュリティ・アプローチが必要だ。動的なセキュリティ・アプローチとは,情報の持つ動的な特徴を考慮した保護策を採るということ。情報をどう活用するか,ということにかかわる問題であり,完璧な情報保護を目指して行うものではない」(Coviello氏)。

セキュリティはもはやノイズではない

 「暗号化キーの長さは重要だが,完璧なセキュリティを実現しようとすると,コストがかかりすぎる。インフォメーション・セントリック・アプローチでは完璧を目指さない。また,ウイルスや攻撃がなくなることはない。脅威が存在する,という環境に対応する必要がある。リスクを下げつつも,見通しの良い使い勝手が欠かせない」(Coviello氏)

 「またインフォメーション・セントリック・アプローチを実現するためには,深い部分からの防御が必要になる。情報システムのインフラ設計なども,セキュリティを考慮するべきであり,その際に情報共有を妨げるようなことがあってはならない。つまりセキュリティは,それ単体で考えられる問題ではなくなったのだ」(Coviello氏)

 Coviello氏は,「RSAはEMCの一部門になったので,EMCの製品がRSAのセキュリティ製品と連携できるようになった」と強調する。さらに「これまでは,セキュリティは情報システムにとってノイズに過ぎなかったが,今は,全世界がセキュリティの話を聞こうとしている。インフォメーション・マネジメントの中で最も重要な要素が,セキュリティになったのだ」(Coviello氏)と語った。

 Coviello氏の基調講演の終わりには,EMCの会長兼社長兼CEOであるJoe Tucci氏(写真3)も現れた。Tucci氏は「EMCはストレージ・ハードウエアを販売しているだけではない。ストレージ管理ソフトウエア,バックアップ・ソフトウエア,仮想化ソフトウエア,セキュリティ・ソフトウエアを手がけるのがEMCだ」と強調した。