ガートナーのアナリストに聞く--Web 2.0アプリケーションとセキュリティ

　Gartner ITExpoでセキュリティアナリストのAndrew Walls氏にインタビューを行い、Web 2.0がアプリケーションのセキュリティに与える影響について聞いた。

　Walls氏は、従来のデスクトップのセキュリティ対策がWeb 2.0の世界ではどのように不十分なのかについて説明し、開発者が自分の書いたコードのセキュリティについてより個人的な責任を負わなくてはならないと話した。

――インターネット上のアプリケーションにとって最大の脅威を挙げるとすれば何ですか。

　人間です。これは少し単純すぎ、冗談のようにも聞こえることは分かっていますが、結局のところは常に人間のアプリケーションの使い方、データの使い方の問題に至ります。すべての人が正直で、信頼に足り、本物であれば、セキュリティの問題は起きません。しかしセキュリティビジネスの世界では、誰もが嘘をつこうとしており、不正直で、金を巻き上げようとしているという現実的な仮定を置き、アプリケーションをできる限り安全なものにしようとしています。

　Web 2.0の世界で、マッシュアップやウェブ上のアプリケーションについてわれわれが扱っている問題の多くは、実際にはセキュリティとアプリケーション開発の場面で昔からある問題です。入力データは検証する必要があります。例えばウェブページのフォームのフィールドに入力される情報が有効なデータであり、システムに入力したいと思っている情報であることを確認しなくてはなりません。そしてもちろん、そのシステムから出力されるデータが、出したいものであるということもです。

　この基本的なルールを無視するシステムは、リスクを抱えています。2カ月ほど前、（オーストラリアの）首相のウェブサイトがハックされて大騒ぎになったのを覚えていますか。あれは標準的なフォームからデータを入力させる際、入力を検証していないことが原因の、古典的なJavaScript攻撃でした。これはよくある形の攻撃の1つですが、こういうことがまだ存在するということ自体が問題なのです。開発者の世界は、すべての入力と出力を検証し、またシステム上でやりとりされるすべてのデータにはっきりした境界線を設けるということを十分やってきていません。

　基本的に、これらの問題は人間が原因で起こります。システムは人間に言われたことを何でもやりますが、攻撃をするのも、そこにあるものの制御をハックするのも人間なのです。最大の問題は常に人間自身にあります。

――この問題は、企業にはきちんと理解されているのですか。

　企業という言葉が何を意味するかによります。今はITExpoに出席していますが、このフロアにいる企業はすべて非常によく理解しています。しかしもちろんこれらの企業はITを専門にしており、彼らはセキュリティについて常に扱っています。一方で銀行や自動車メーカーの場合、それらの組織の企業リーダーと話しても、彼らは私が話したデータの検証のことのような細かいことについては理解していません。理解しているべきでもありません。彼らが理解すべきなのは、セキュリティの問題を処置せず、管理しないままにしておくと、彼らの企業にどのような影響があるかということです。彼らはセキュリティ管理者やプロフェッショナルを雇い、彼らの代わりに面倒を見させるでしょう。

　セキュリティ管理者は、それらの技術上およびセキュリティ上のリスクを、ビジネスの言葉やビジネスリスクに翻訳できなくてはなりません。そうすれば、企業リーダーは彼らの企業に関して情報に基づいて判断することができます。彼らは特定の問題については知る必要はありません。それはセキュリティ管理者の仕事です。企業リーダーは最適な判断ができるよう、情報を知らされ、本当のデータを持っていなくてはなりません。

――デスクトップアプリケーションに対して取られていたアプローチは、どの程度ウェブでも利用できるのですか。

　これら2つはうまく対応しません。まずデスクトップのセキュリティはうまく行っておらず、今でも多くの変更が行われており、われわれがデータ漏えい対策と呼ぶ、完全に新しい種類の製品が出始めています。これは、USBメモリへのデータ移動やCDへのコピーなどを対象にしています。これはID管理や、人間に強い認証トークンを持たせるいったことを超えた問題を扱っており、データがどのようにシステムを移動し、その情報をどう正しく管理するかということを対象にしています。

　もしクレジットカード情報がネットワークや誰かのラップトップやUSBメモリ経由で自分のシステムの外に出るのを止めたいと思えば、クレジットカード番号がどのような形をしているかを知っており、それが間違った場所に移動されようとしているのを発見した場合どう処理したらいいかを知っているソフトウェアを持たなくてはなりません。これは、現在人気のあるほとんどのデスクトップセキュリティ環境の仕事を超えています。このため、これらの新しい製品が生まれようとしているのです。デスクトップはわれわれがそうあって欲しいと考えるほどは安全ではなく、今でもデスクトップとラップトップ側には大きな改善の余地があります。

　さらに、Web 2.0環境のような、新しいアプリケーション環境があります。WestpacのDavid Backley氏の素晴らしい発表では、Westpac内でFacebook型のソーシャルネットワーキング環境を使ってどのように協調活動やチームワークを促進しているかについて示されており、Second Lifeのような仮想世界も同様のものとして見られています。この種の大規模な分散ネットワーク環境に依存する新しいアプリケーションは、あらゆる種類の新しいセキュリティリスクを持ち込みます。

　このセキュリティリスクは、そのアプリケーションの種類――それが仮想世界、ソーシャルネットワーク、ブログなど何であろうと――を分解して、それを構成するコンポーネントを見れば、他のアプリケーションと違いはないというのが私の主張です。それらのアプリケーションはAJAXや新しい形のHTMLなど、少し新しい言語を使っているかも知れませんが、それらもやはり言語であり、同じ問題を抱えています。これは検証と、コードが変更されていないことを確実にすることであり、同じ基本的なことです。

　Web 2.0の新しい環境で、われわれがみな取り組んでいる問題は、それらのコンポーネントがそれだけでは存在できないということです。Web 2.0アプリケーションは多くの場合、1つの形に収まったワープロのソフトを手に入れるというようなものではなく、何十もの個別のコンポーネントから作られています。これらのコンポーネントは異なる企業のものであるかもしれず、内部で開発された自前のものかも知れません。ネットワークのセキュリティを確保するためには、それらすべてのコンポーネントのセキュリティを確保する必要があります。