ベンダーが見る
IBM iユーザーの変化
IBM iは、かつては社内利用が中心であったためにセキュリティはさほど考慮されてこなかった。システムへのアクセスはID・パスワードが中心で、ユーザーやシステム担当者は悪意ある行為をしないという“性善説”に立っていた。
その傾向は「現在も大きくは変わらない」と、IBM iベンダーの関係者らは口をそろえる。ただし「セキュリティに関する問い合わせや引き合いは、年々着実に増えている」とも各社は話す。
日本IBMの澤田英寿氏（テクノロジー事業本部 IBM Power第二テクニカルセールス）は、「最近はデータの暗号化や多要素認証、ランサムウェアに関するお問い合わせが多くなりました」と話す。「セキュリティの強化は、金融系や通販系などの機密データを扱うお客様にとって喫緊の課題になっています。その解決策としては、IBM iのOS機能を利用するものや、サードベンダーのソフトウェアで行うものなどさまざまな手法があります。お客様にはそれらの違いをよく理解していただいたうえで、適材適所の対策をご検討いただくようにしています」（澤田氏）。
三和コムテックの東條聡氏（取締役）は、「お客様のiSecurityのご利用内容を見ると、何かあった時の備えのために監査ログを取っておくお客様と、監査ログの情報を基にもう一段先のセキュリティ対策へ進んでいかれるお客様の2つに分かれるようになりました」と、最近のユーザーの変化について話す（iSecurityは同社の総合セキュリティ製品）。
また、ソルパックの福嶋浩人氏（DXソリューション事業部ユニットマネージャー）は、「お客様のIBM iの使い方が大きく変化しているので、総合的な見地から適材適所のセキュリティ対策が必要になっています。以前はお客様の目的にあわせて個別にセキュリティ製品をご紹介していましたが、最近はセキュリティ対策を見直すという観点で網羅的で啓蒙的なご説明をし、そのなかで当社の3種類のセキュリティ製品をまとめてご紹介しています」と語る。
セキュリティ対策全体を俯瞰し
実情に即して取り組む
企業がセキュリティ対策を検討するとき、セキュリティ対策全体を俯瞰し、企業にとって重要視する部分や緊急度に応じて対策を進める必要がある、とさまざまなガイドラインは説く。
企業が検討すべきセキュリティの脅威は図表2のように多面的で多様である。そしてこれらに対するセキュリティ対策としては（ファイアウォールやVPNなどの一般化した対策を除く）、
・マルウェア／ランサムウェア対策
・ID・アカウント・認証管理
・アクセス制御
・脆弱性管理
・データ／ファイル暗号化
・監視・ログ管理
・セキュリティ教育・研修
などがあり、IBM i環境に即して加えると、
・特権ユーザー管理
・出口点対策
・セキュリティ・レベルの移行
などがある（図表）。
IBM iベンダーの関係者らは、「IBM iユーザーの大半はセキュリティポリシーを設けていないか、あっても使っていないのが実情。そのためどこから手を付けたらいいか、迷っているケースが非常に多い」と指摘する。
セキュリティポリシーがない場合は、セキュリティの脅威と対策を網羅的に解説したガイドラインやフレームワークが参考になる。ガイドラインなどを参考しながら自社用のルールを整理でき、優先順位を検討できる。ただし、ガイドラインやフレームワークは汎用性をもたせるために抽象的な記述になっていることが多く、具体的な導入・実装に向けてはベンダーへの相談が有効と思われる。
［i Magazine・IS magazine］
