[Analysis]
セキュリティパッチが間に合わない
2007/07/23
デスクトップPCやサーバにセキュリティパッチをできるだけ早く適用することはセキュリティ対策の大きな柱のはずだが、企業や組織の管理者は必ずしも即座にパッチを適用することを好まない。これが依然としてサイバー攻撃を許してしまう原因の1つになっていると、7月中旬に来日した米SANS Institute代表のアラン・パーラー氏は指摘した。
管理者がパッチ適用を即座に行わない理由の1つは、パッチを入れることでアプリケーションの動作に問題が起こらないかを検証しなければならないことにある。しかしインストールしたアプリケーションによって変わるなどで、デスクトップPCのOS設定は多様化し、検証作業は困難になっている。
パーラー氏はこの問題に対する米国での最新の取り組みを紹介した。米国政府は、政府機関が2007年6月30日以降に調達するWindows XPあるいはWindows Vista搭載のすべてのデスクトップPCについて、「政府がSecure Configurationとして定義した設定で納入されなければならないこと」「アプリケーションベンダはこの設定における自社のアプリケーションの正常な動作を保証し、この設定を変更しないとともに、自社のアプリケーションが管理者権限でなくユーザー権限で動作するようにすること」などを義務付けたのだという。統一された安心できるOS設定とアプリケーションの動作の保証によって、管理者はマイクロソフトの月例パッチを即座にインストールできるようになり、攻撃を許してしまう間隙（かんげき）を短くすることができる。
「一般の企業ではベンダを動かすことは難しい。今回の措置は米国政府が膨大な購買力を持っていることを生かしたもの」とパーラー氏はいうが、この取り組みを大企業などへ広げることも模索されているようだ。
日本政府の調達でも同様なプログラムが導入されることを望みたい。さらにこれを日本の企業に広げていくことができれば、企業のセキュリティ対策に関する1つの確実な前進といえるのではないだろうか。
関連記事
情報をお寄せください：
最新記事
 |
|
|
|
|
