「製品の提供にとどまらない」マイクロソフトのセキュリティ戦略

　マイクロソフトは8月1日、同社のセキュリティへの取り組みに関する戦略説明会を行った。

マイクロソフト、セキュリティ戦略責任者の古川勝也氏。

　マイクロソフト、セキュリティ戦略責任者の古川勝也氏は、IT環境のセキュリティに対する脅威は、年々手口が巧妙化するとともに内容が悪質化し、特にネットワーク技術の進歩に伴って、対応すべき課題が複雑化している点に言及。これまでの同社の取り組みとして、セキュリティ機能を強化したサービスパックや、マルウェア削除ツール、スパイウェア対策ソフトの配布を進めてきたことを紹介した。特にスパイウェア対策ソフトである「Windows Defender（ベータ2）」は、1000万本以上のダウンロードと2800万のユーザーを記録し、同社の提供するダウンロードソフトウェアの中でも最多であるという。

取り組みの柱は「テクノロジ」「仕組み」「人」

　同社のセキュリティに関する注力分野として、古川氏は「テクノロジ」「仕組み」「人」の3つを挙げる。

　ソフトウェア企業として、セキュリティを確保するための開発技術を向上させることにとどまらず、セキュリティに関する資料やトレーニングの提供、さらには業界各社とのパートナーシップを通じ、セキュリティに関する啓蒙活動を行うことで、IT環境全体のセキュリティを高めていくことが重要とする。

　まず、「テクノロジ」に関して、製品基盤の強化へ向けた取り組みについて紹介した。同社では、セキュリティ開発ライフサイクル（SDL）の導入によって、実際の製品出荷後に発行される緊急または重要のセキュリティ情報が減少している点を指摘した。例えば、2001年5月31日に提供開始された「Office XP」と2003年11月17日に提供が開始された「Office 2003」を比較すると、製品出荷後939日後までに発行されたセキュリティ情報数は17から10に減少しているとする。

　新たな脅威と脆弱性の緩和という観点では、企業ユーザーと一般コンシューマーのそれぞれに対しての製品と技術を提供していく。

　企業においては、脅威の複合化に対する統合的なアプローチが求められると同時に、いわゆる「ベスト・オブ・ブリード」呼ばれる形でソリューションでは運用管理が複雑になる傾向がある。そうした点を踏まえ、同社では企業向けのセキュリティ製品に重要なのは「包括性」「統合」「簡素化」の3点であるとする。

　具体的な製品計画として、現在「Antigen」と呼ばれている企業向けセキュリティ製品の新バージョンを今後「Microsoft Forefront」のブランド名で展開していくという。

　日本では、2006年下半期に「Internet Security ＆ Acceleration Server 2006」「Forefront Security for SharePoint」「Forefront Security for Exchange Server」の3製品を、2007年上半期に「Forefront Client Security」をリリースする予定。Forefrontブランドの製品群では、Active Directory System Centerと連動する形で、企業全体の複数のレイヤにまたがるシステムのセキュリティを統合管理できる。「ガバナンスの利いたセキュリティシステムを構築する」（マイクロソフト、システムインフラストラクチャグループシニアプロダクトマネージャの齋藤義憲氏）ための製品という。

　また、2007年初頭にリリースされるクライアントOSである「Windows Vista」は、SDLサイクルを最初から考慮して開発されており、企業内での利用に適したセキュリティモデルが内包されている点を強調した。

　一方、家庭向けのセキュリティ対策としては、既に提供が行われている「悪意のあるソフトウェアの削除ツール」に加え、スパイウェア対策ツールの「Windows Defender」、サブスクリプション型の統合セキュリティサービスである「Windows Live OneCare」に加え、現在ベータテストが行われているPC環境のメンテナンスを行う「Windows Live OneCareセーフティセンター」（仮称）、「同ファミリーセーフティ」（ウェブフィルタリング）といった各種ツール、サービスの提供を2007年初頭の提供を目指して準備中だ。

業界連携による情報の共有と啓蒙

　セキュリティ対策の柱のひとつとする「人」への取り組みについては、法の執行当局との協力に加えて、業界とのパートナーシップによるセキュリティ対策を強化している点に触れ、その取り組みのひとつであるセキュリティ対策推進協議会（SPREAD）の活動内容が紹介された。

　SPREADは、セキュリティに関する情報の迅速な提供と伝達を目的とした、IT関連の民間企業、団体による組織。2006年8月1日現在で、20社の会員企業によって構成されており、マイクロソフトをはじめ、NEC、東芝、日立製作所、サン・マイクロシステムズ、、シスコシステムズ、大塚商会などが参加している。

　同会のウェブサイトでは、セキュリティに関する情報を迅速かつ分かりやすい形で提供すること目指しており、従来のような企業対企業、企業対個人といった形での情報交換だけでなく、ITセキュリティに対するスキルと意識の高い個人を「サポーター」として中間に置くことで、個人を軸とした対個人、対企業のセキュリティ情報の発信、啓蒙を促進していくという。