危険な“隠れSQL Server 2005”は最新ソリューションで早期移行を

他人事では済まされない、放置すれば自社／他社に損害も：

要確認！ “隠れSQL Server”のリスクに注意――サポート終了のSQL Server 2005にはどう対応すべきか

2016年4月12日、「SQL Server 2005」のサポートが終了する。サポート終了後は、更新プログラムなどが提供されないため、リスクを抱えた危険な状態となる。SQL Server 2005は中堅・中小企業向け業務パッケージのDBとしても利用されているので、自社システムの裏側で“隠れSQL”として動いていることもある。ぜひ、早急にシステムを確認してほしい。では、リスクを抱えたままSQL Serverを動かしていればどういった危険があるのか、サポート終了にはどう対応すればよいのか――ここではそのポイントをまとめて紹介する。

「重要な情報がないから大丈夫」では済まされない理由

　Windows XP（2014年4月サポート終了）やWindows Server 2003／2003 R2（2015年7月サポート終了）でも経験したように、企業がサポートの終了した製品を使い続けることは、大きなセキュリティリスクを抱えることになる。特に最近は、修正されない脆弱（ぜいじゃく）性を悪用して重要情報を盗み取ろうとするサイバー攻撃が日常化しており、対応の遅れが企業に致命的なダメージを与えかねない状況でもある。

　そうした状況の中、マイクロソフトのデータベースサーバ製品「SQL Server 2005」は、2016年4月12日（日本時間）にサポート終了（End of Support：EoS）を迎える。2005年に提供が開始されたSQL Server 2005は、マイクロソフトのサポートポリシーに従って、5年間のメインストリームサポートフェーズと5年間の延長サポートフェーズの合計最短10年間のサポートが提供されてきた。

　そして、トータルで10年が経過する2016年4月、全てのサポートが終了となる。2016年4月12日以降は、セキュリティ更新プログラムの提供、問題発生時のマイクロソフトによる電話やメールでのサポート、他メーカーによる製品サポートなども終了することになる。

SQL Server 2005 移行ポータル（Microsoft Business Connection）

　SQL Server 2005に限らず、OSやアプリケーションのサポート終了でよく聞かれる意見としては、「盗まれて困るような重要情報は持っていないので大丈夫」「個人情報は社内に保存していないから侵入されても被害はない」といったものがある。特に、中堅・中小規模の企業から、こうした意見が聞かれることが多いという。だが、これは大きな誤解だ（図1）。

図1　OSやアプリケーションのサポート終了でよくある誤解

　近年のサイバー攻撃は、標的とする企業の情報を盗み出すために、その企業に関連するさまざまな情報を収集し、攻撃の糸口にしているのだ。関連企業の取引先に所属する特定の社員のPCが最初の標的になることも少なくない。特に狙われるのは、セキュリティに予算を割けない、セキュリティに甘いと思われている中堅・中小規模の企業だ。企業が狙われた社員の名前と行動を把握し、その社員をかたってフィッシングメールを送ることで、攻撃の成功率を上げるといった手口だ。

　また、最近のマルウェアはより巧妙になっており、脆弱性を悪用したフィッシングメールをうっかり開封してしまうと、何事もなかったようにPCがマルウェアに感染してしまう。しかも、ユーザーは感染に気が付かないのだ。その後、攻撃者は社内ネットワークを経由して、脆弱性を抱えた他のPCやサーバを探し出し、感染を広げていくことになる。サポートが終了したOSやアプリケーションを使用していると、社内に感染を広げる踏み台にされ、迅速な発見はますます困難になるだろう。さらに、外部ネットワークを経由して悪意のあるモジュールが拡散することもある。

　セキュリティリスクを放置することでもたらされる最悪のケースは、このようにして自社だけではなく、取引先へも深刻な損害を与えることだ（図2）。取引先との信頼関係が失墜し、売り上げや利益への多大なネガティブインパクトが発生する可能性もある。企業規模の大小に関係なく、「重要な情報がないから大丈夫」では済まないことがお分かりいただけるだろう。

図2　セキュリティリスクを放置したままにすることによる最悪のケース

　この他にもよくある誤解としては、「データベースを暗号化しているから問題ない」「ファイアウォールがしっかりしているから大丈夫」「延命措置のソリューションを導入すれば何とかなる」といったものがある。だが、いずれも対処療法であり、根本的な解決策とはならないことを理解しなければならない。最終的に自分だけではなく、取引先などの周囲に大きな迷惑が掛かるということをあらためて自覚する必要がある。

ポイント2：「SQL Serverは使っていない」という思い込みが危険を招く

　もっとも、本当に恐ろしいのは、自覚症状がないケースだ。自覚していれば対策を怠らないよう注意することもできる。だが、そもそも社内に脆弱性を持ったシステムが存在することを知らなければ対策することができない。

　実は、サポートが終了するSQL Server 2005では、この「隠れSQL Server」の存在が大きな課題となっているのだ。具体的には、パッケージ製品に組み込まれている「無償版SQL Server」の問題だ。

　SQL Server 2005は、会計や人事、生産管理パッケージの基盤部分として利用できる無償版が提供されていた。これが製品の“裏側”で稼働しているため、パッケージ製品のユーザー企業が日常的な利用で気が付くことはほとんどない。

　存在に気が付いていないため、「うちはSQL Serverは使っていないから、サボートが終了しても問題ない」と考えてしまうのだ。だが、実際には、基盤部分としてSQL Server 2005を使ったパッケージ製品はかなり利用されている。

　また、こうしたパッケージ製品は中堅・中小規模企業での採用も多く、そうした企業では専任のIT管理者を配置できないことも多いため、システムの裏側で稼働している「隠れSQL Server」の存在に気が付いていないところは多いと見られている。

　特に、会計や人事システムの中には、リプレースの際に更新されず、古いバージョンが引き続き利用されているケースも多いので注意したい。しかも、近年は、スタンドアロンで利用するのではなく、フロントシステムと基幹連携を行って、ビジネスに生かそうという動きも進んでいる。それに伴って、古いバージョンのシステムが隠れたセキュリティリスクになるケースも増えているのだ。

　さらに、マイナンバー対応も古いシステムのセキュリティリスクを高めつつある。無償版SQL Server 2005は、人事会計システムで広く使われている。古いバージョンのままマイナンバー対応を進めることは、人事情報や会計情報、取引先の個人情報の漏えいにつながるリスクを高めてしまうのだ。存在が認識されていない「隠れSQL Server」であるため、被害はより拡大しやすいといえる。

ポイント3：移行先には現実的な選択肢を検討すべき

　それでは、SQL Server 2005のサポート終了に、企業はどう対応すべきか。移行のプロセスは、Windows Serverなどと同様に考えればいい。具体的には、以下の4つのプロセスで移行を進めることになる（図3）。

ソフトウェアや利用用途を確認する「棚卸し」
アプリケーションと利用用途を確認する「アセスメント（分類）」
移行先を検討し選定する「ターゲット（選定）」
具体的な移行作業を進める「移行」

図3　SQL Server 2005を移行するための4つのプロセス

　このうち、最初のプロセスとなる「棚卸し」でポイントになるのが、「隠れSQL Server」の発見だ。既存のパッケージソフトが無償版SQL Serverを利用していないかどうかを確認し、利用されていることが分かった場合、サポート終了後にどう対応すべきかをメーカーやベンダー、SIerなどと相談する必要がある。

　棚卸し後の「アセスメント」では、SQL Serverを利用するサーバやアプリケーションの利用用途によって、優先順位をしっかりと付けていくことがポイントになる。例えば、インターネットにアクセスできるシステムや機密情報などを扱うシステムについては、セキュリティの観点から高い優先順位で取り組んで行くことが求められる。会計や人事といったマイナンバーに関連するシステムは、特に注意が必要だ。

　移行先の「選定」や実際の「移行」では、どのようなシステムに移行できるのか、移行パターンを確認しておきたい（≪図4≫）。移行パターンとしては、大き「オンプレミスでの移行」「クラウドへの移行」「オンプレミスとクラウドを組み合わせたハイブリッド環境への移行」の3つが考えられる。

図4　SQL Server 2005の移行パターンは、「オンプレミス」「クラウド」「ハイブリッド」の3つが考えられる

　オンプレミスでの移行が適しているのは、既存システムがクラウドを一切利用していない場合や、外出しできない重要情報を扱っているケースだろう。バージョンアップに際してネットワーク環境も大きく変わらないため、バージョンごとにサポートしている機能の違いやカスタム開発した部分の対応などに注意すればよい。ただし、今後はクラウドを前提にしないシステムはますます少なくなることが予想される。将来的にクラウドへの移行やクラウド連携を行う可能性を考慮しておくことが望まれる。

　サポート終了を機に、完全にクラウドへ移行することも選択肢として検討してもよいだろう。マイクロソフトのクラウドサービス「Microsoft Azure」では、仮想マシン上でSQL Serverをそのまま稼働させたり、SQL Serverの機能をサービスとして利用したりできる。柔軟性、拡張性、信頼性という点では、オンプレミスよりもメリットが大きくなるケースは多い。

　また、ITの予算や人員に十分に確保できない中堅・中小規模の企業では、クラウドへの移行を機にITコストと運用管理の負荷を同時に削減できる可能性もある。

　多くの企業にとって現実的な選択肢となるのは、オンプレミスとクラウドを組み合わせたハイブリッド環境への移行だろう。その際は、大きく2つのシナリオが考えられる。「ファイルのバックアップ」と「BCP（Business Continuity Plan：事業継続計画）対策」だ。

ポイント4：ファイルバックアップとBCP対策でクラウドを活用

　「ファイルのバックアップ」は、オンプレミスに設置したSQL Serverのデータをクラウド環境に自動的にバックアップするというシナリオだ。オンプレミスであるため、EOSに伴う移行が大きな負担になることはない。一方で、信頼性や拡張性といったクラウドのメリットを十分に生かすことができる。具体的には、Microsoft Azureのバックアップ機能「Azure Backup」を使って、SQL Serverのデータをクラウド上に自動バックアップすることだ。

Azure Backup（Microsoft Azure）

　もう1つのBCP対策は、オンプレミスで運用する環境に何らかの障害が発生した際、クラウド上で同じ環境を引き継いで業務を続行するというシナリオになる。仮想マシンを構成し、オンプレミスと同一のレプリカをAzure上に作成しておく。不測の事態が起こった場合は、Azure上の仮想マシンを稼働させ、止まらないシステムを実現する。データはAzure上に自動バックアップすることができる。これを実現するのが「Azure Site Recovery」だ。