米サンフランシスコで開催中のRSA Conference 2008。初日の基調講演でArthur Coviello氏の次に登壇したのは、Symantec会長兼CEOのJohn Thompson氏だ。Arthur氏がITセキュリティはセキュリティ専業ベンダーに任せておけないと大胆な発言をした後での登場で、セキュリティベンダーとしてのSymantecトップの発言に注目が集まった。
Symantec会長兼CEOのJohn Thompson氏
Symantecは昨年11月にセキュリティベンダーのVontuを3億5000万ドルで買収した。Vontuは、重要なデータがメールやインスタントメッセンジャーなどを通じて流出することを防ぐデータ保護ポリシーを管理・設定するソリューションで知られている。また、昨年4月にはIT管理ソフトウェア大手のAltirisの買収も発表。この企業はエンタープライズ環境におけるエンドポイントのセキュリティポリシーを管理・設定するソフトウェアで著名だ。
両買収案件を見ると、同社がデータ保護、そしてポリシー管理・設定製品の獲得に注力していることがわかる。
Coviello氏が紹介した「Information-Centric Security」を受け、Thompson氏はこの新たなコンセプトを説明。企業におけるセキュリティ対策のポイントを下記の6点から説明した。
- Information
- A Change Threat Landscape
- Information-Centric Security
- Policy Driven
- Security and Data Management
- Content Aware
1のInformationは、企業内に散らばる文書ファイル、財務データ、マーケティングデータなどの様々な情報を、プライオリティに応じて洗い出すことであろう。その上で2の「脅威の風景の変化」、つまり愉快犯的な動機から発するクラッキングではなく、金銭目的の犯罪という脅威の変遷を念頭に置いた対策が必要だとする。
こうした背景を踏まえた上で、3の「Information-Centric Security」、つまり1のような情報を中心にセキュリティ対策を取るべきだと提言する。そのためには、4のポリシー主導の対策が重要となる。とすると、どのデータを保護するべきか、どういった対策を取るべきかという5に着目しなければならない。それが5だ。
ここまで考え、初めて6「Content Aware」、コンテンツへの気づきがわかるということになる。このレベルに到達した上で、どのInformationが重要か判断する1に戻るサイクルを確立しよう──そういう提言だ。
セキュリティ対策6つのポイントはContent AwareからInformationに戻るサイクルといえる。
Thompson氏は講演で明言こそしなかったが、Symantecは各層に対する製品を準備しているのかも知れない。それは、先の買収に関するトピックを考慮すると、十分考えられる動きだ。
重要となるのはポリシー主導の対策だが、Thompson氏は「セキュリティだけを考慮してポリシーを作成してはいけない。ビジネスプロセスを考え、ポリシーを作るべきだ」と強調。従来のエンドポイントセキュリティから一歩進んだ、ITインフラ全体を考慮したセキュリティ対策が重要だと話す。
ZDNet Japanで既報の通り、Thompson氏は基調講演でセキュリティに関する3つの将来予測を語っている。そこで紹介している締めくくりの言葉を最後に引用しておこう。
「結局のところ、企業の情報を保護するという仕事は、IT部門だけではなくあらゆる人の仕事なのだ。自分たちのビジネスを成長させるためにわれわれの誰もが取り組まなければならないことは、さらに機敏に対応してすぐれた成果を上げ、すべてがつながれた世界の持つ可能性を100％実現することなのだ」
