ネットワーク機器、守れていますか？

　多くの方は「もちろん、うちは保守契約を結んでおる！」と思うかもしれません。しかし、以前大きく報道された病院におけるランサムインシデントでは、同じくVPN機器からの侵入を許してしまった理由として、病院側は「機器の保守契約は存在していた」という認識だったものの、実際にベンダーと結ばれていた契約は「機器の故障対応のみ」だった……ことが大きく取り上げられました。通常、脆弱性対応は機器の故障とは見なされないため、ベンダーは「病院がやるべし」、病院は「ベンダーがやるべし」と理解し、結果として大規模な被害を受けることになりました。皆さんのネットワーク機器は“保守対応”以上の契約が結ばれていますでしょうか？

　徳島県のつるぎ町立半田病院のインシデント（2022年10月発生）は、詳細なレポートが公開されているだけでなく、ソフトウェア協会 Software ISACによる「情報システムにおけるセキュリティコントロールガイドライン」や技術資料内で、詳細な情報が記されており、どの業界でも参考になる内容かと思います。

　加えて、新型コロナウイルス感染症（COVID-19）の感染拡大に伴い、急きょリモートワークが必要になったことで、VPNがセキュリティ対策なく利用されている可能性も考えられるでしょう。ネットワーク機器といえば、これまでは一度動けば設定を見直すこともない、放置していても動くものの代表格でした。おそらく、皆さんの家庭にある「ブロードバンドルーター」も同様でしょう。

　一時期、大きな注目を集め、特に中小企業で導入が進んだ「UTM（Unified Threat Management：統合脅威管理）」は、設定が複雑で、機能も多岐にわたっており、その中にはVPN機能もありました。ブームが来ていた当時は、UTMも「セキュリティ機能をオンにすると遅くなるので、全部設定でオフにする」という運用が増えていたことも記憶に新しいところです。もしかしたら、コロナ禍のタイミングで、今まで使っていなかった機能を「オン」にした組織もあるかもしれません。ここに、問題があると考えています。

　おそらく、UTMの機能をオンにしなかった理由があったはずです。それは、パフォーマンスの問題だったり、機能がポリシーとは合わずに充足しなかったりといったことかもしれません。一度オフと決めた理由があるのであれば、何らかのタイミングでオンにする場合、担当者の熟慮が必要になるはずです。例えば、それをオンにするのであれば、もはやサーバやエンドポイントと同様、しっかりとしたアップデートと監視が必要になるはずです。

機能が多い＝優秀ではない？

　この点にはいろいろな示唆が含まれていると思います。例えば、製品選定において、カタログ記載の機能に「○がたくさん並んでいる」、つまり機能が多いことを良しとする選定は、特にセキュリティの観点では危険かもしれません。何でも機能が付いているUTMがもてはやされたのは、そういった便利な点が望まれたからなのかもしれませんが、今の時代、機能がたくさんあるということは、プログラムのコード量が多いことを意味し、それはつまり「脆弱性が含まれている可能性が高い」と見なしてよいでしょう。

　本来ルーターとして機能すればよい機器に、余計な機能があれば、そこが狙われる時代です。今後は、もしかすると“余計なセキュリティ機能がないこと”が選ばれる理由になるかもしれません。特に、ネットワーク機器のようなものは、自分たちが把握できる機能しかないことの方が望ましく、より安全な運用につなげられるはずです。

　ただ、そのようなものは、ベンダーとしてなかなか売りにくい……というのが現状です。筆者もシンプルな家庭用ルーターが出ることを期待していますが、おそらくそういうものが登場したとしても地味で、売れることはないでしょう。それでも、できる限りシンプルで、プログラムのコード量が少なく、脆弱性が生まれにくい製品こそが、中小企業にピッタリであることはアピールし続けたいと思っています。

　折しも、2024年7月9日に「豪州主導のAPT40グループに関する国際アドバイザリーへの共同署名について」という文書が警察庁から公開されています。「もしかしたら、自分の組織も既に侵入されているかもしれない」と考えてみることから、セキュリティ対策は始まるはずです。ぜひ、用心に用心を重ね、今できることをしっかりと対処していきましょう。

図4　豪州主導のAPT40グループに関する国際アドバイザリーへの共同署名について［クリックで拡大］ 出所：警察庁（https://www.npa.go.jp/bureau/cyber/koho/caution/caution20240709.html）

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！