IBM i のウンチクを語ろう
～ その51：あらためてIBM i のセキュリティを考える
皆さん、こんにちは。IBM i をはじめとする企業の基幹業務用システムにおいて、信頼性は最も重要な非機能要件である、という主張に異を唱える方はいらっしゃらないでしょう。例えば日経コンピュータ「顧客満足度調査 2019-2020」における「エンタープライズサーバー」部門では、各サーバー・メーカーを評価するにあたって、5つの指標「性能・機能」「信頼性」「運用性」「コスト」「サポート」を定めています。これらの中で特に信頼性を重視するとした企業の割合は、全指標平均値の55%に対して78.5%と最も高いことが示されています。一方、米国HelpSystems社による調査「2020 IBM i Marketplace Survey Results」（英語）では、最も優先順位が高いITの課題は第一にセキュリティ77%、そしてアベイラビリティ（原文では「High availability / disaster recovery」）66%と続きます。信頼性はセキュリティとアベイラビリティの二つの要素で成り立っていると考えられるので、日米の両調査結果は一致していると言えるでしょう。
信頼性対策は、AS/400誕生時さらにはその先代のSystem/38の時代から、IBM i のごく基本的な設計の中に盛り込まれているので、製品の特徴を紹介する際には避けて通り過ぎる事はできません。例えばこのコラムは、製品の設計思想を一通り紹介するところからスタートしたわけですが、第4回「セキュリティ」と第5回「オールインワン」においてIBM i の信頼性に言及しています。さらにその後の第28回「アベイラビリティ」の中でも述べていますので、もしよろしければこれらも併せて目を通していただければと思います。
IBM i のアベイラビリティが損なわれた、すなわち障害に見舞われてしまい、不幸にして機能するバックアップ体制が無いために、システムを利用できなくなってしまった経験をお持ちの方は少数ながらいらっしゃるだろうと思います。一方、IBM i のセキュリティ・トラブルの方はいかがでしょう。もしかしたらどなたもいらっしゃらないのではないでしょうか。
IBM i のセキュリティの強さは各種市場調査結果にも表れています。例えばquark+lepton社による調査レポート「IBM i 搭載 Power Systems は中堅企業の多様なニーズに対応」のページ8にある表「オペレーティング・システム脆弱性データの比較」によれば、LinuxやWindowsサーバーなど他のオペレーティング・システムのバージョン毎の脆弱性は100件近く、もしくはそれ以上が報告されているのに対して、IBM i は0ないし1件しかありません。
気を付けておきたいのは、セキュリティ事故ないし情報漏洩の発生源はシステムだけではない、という点です。システムは可能性の一部に過ぎず、実際には人為ミスの方がはるかに大きな要因となっているようです。例えば日本ネットワークセキュリティ協会による個人情報漏洩に関するレポート「2018年情報セキュリティインシデントに関する調査結果～個人情報漏えい編～（速報版）」のページ7「3.2 原因別 漏えい件数」に、原因別の情報漏洩件数が円グラフ表示されています。年間の漏洩事故443件の中で、「紛失・置忘れ」が最多の116件、「誤操作」が109件と続きます。これらの他に人為ミスであることが明らかな「管理ミス」54件と「設定ミス」16件を合計すると295件になり、全体の66.6%に達します。これに対してシステムのセキュリティ強度に原因があった可能性があるのは、「不正アクセス」90件など合計122件ですから28%に過ぎません。
人為ミスはどうすれば撲滅できるのか、このコラムではちょっと扱えそうにありません。ただ一つ明らかなのは、システムの運用がシンプルであればある程、それだけミスが入り込む余地は小さくなるという事です。IBM i は運用の手間がかからない、とよく言われますが、そういった点も信頼性向上に寄与しているはずです。さすがに「紛失・置き忘れ」については、各企業のセキュリティ・ポリシーとか社員教育の範疇にもなってくるので、その道のプロにお任せしたいと思います。
これまで何年間にもわたって全くセキュリティの問題に直面しなかった、だから今後もそうに違いない、と考えたくなるのは人情です。マシンは稼働すれば何らかの経年劣化が生じますが、セキュリティにはそのような心配は無さそうに思えます。しかしながら多様化・拡大するビジネスに合わせて、IBM i においてもオープン性を追求し、新たなアプリケーションを稼働させるようになれば、社外の不特定多数との接点も増えます。IBM i は社内の基幹業務専用だから安心と思っても、クライアント経由でウィルスが持ち込まれる可能性は否定できません。アベイラビリティ同様に、セキュリティにも「絶対」は無いと見るべきでしょう。
IBM i におけるオープン・テクノロジーの代表的なものの一つは、WindowsやUNIX互換のIFS（Integrated File System）と呼ばれる階層型ファイルシステムです。RPGやCOBOLなどの言語で記述された、基幹業務アプリケーション用の独自のライブラリ・ファイルシステムは、AS/400の時代から引き継がれて今日に至っています。これに加えて、IFSの利用を前提にJava・PHP・Pythonなどの言語をはじめとする、オープンソース・テクノロジーを活かせる新たな環境の機能強化が進んでいます。オープン性を追求する事によってソリューションの拡充を目指そうという動きは、IBM i の製品戦略に則ったものであることは、第40回目コラム「IBM i の戦略はデジタルトランスフォーメーションのために」の中でも紹介しています。
IFSはWindows互換ですので、Windows用ウィルス・ファイルをコピーすること、すなわちIFSがウィルスに感染する可能性があることを認識しておきたいと思います。ただ、ウィルス・プログラムがIBM i の厳格なセキュリティ管理をすり抜けて起動されることは考えにくいですし、そもそもインテル・プロセッサ用のプログラムはPOWER上では動作しませんので、発症することはあり得ないと考えて良いでしょう。むしろIFSを介在させて他のWindows機に感染を拡大させないような取り組みが必要です。感染者が無症状だからと言って、無害を意味するものではないのと同じです。IFS専用のアンチウィルス・ソフトもありますので、検討される場合はベル・データの営業に一報いただければと思います。
セキュリティに関する法的環境も変化しています。日本においてまずは押さえておかなければならないのは個人情報保護法でしょう。2005年4月に全面施行、その後2017年5月の改正法施行によって適用される事業者の範囲が拡大され、さらに2022年6月前には次の改正法の施行が予定されています。個人情報保護委員会ホームページに各種ガイドラインや広報資料が掲載されていますので、詳しくはそこをご覧くださいと言いたいころなのですが、現時点（2020年8月）では2022年の改正法についての情報は未だ整備されていません。ただマスコミ情報を見ると、一件でも個人情報漏洩を起こしてしまった企業は、被害者本人や監督官庁に報告することを義務付けたり、クッキー取得時には本人同意を確認すべきとされたり、概ね情報管理の厳格化が図られている印象です。一方でイノベーションを推進するために、内部分析用という条件で、個人を特定できないよう加工された情報については、いくつかの義務が緩和されるとあります。
人為ミスがセキュリティにおける最大の脅威となっている中で、法が変わり、企業の基幹業務システムのオープン化が進めば、セキュリティの強固なIBM i であるとしても、今後も旧態依然のままで安泰というわけにはいかないと思った方が良さそうです。IBM i の中のオープンな機能だけでなく、ネットワークやアプリケーションにおいてもセキュリティを意識する必要があるでしょう。このようにあらゆる観点から防護策を講じましょうと聞くと、危機管理におけるスイスチーズモデルを思い出す方もいらっしゃるのではないでしょうか。スイスチーズには所々に穴があいており、薄切りにしたもの一枚だけでは向こう側が見えますが、複数枚を重ねれば視界を遮る事が可能になります。不幸にしてこれらの穴の箇所が一致したら向こう側が見える、すなわち事故が発生してしまいますが、枚数を増やすことでその可能性を限りなくゼロに近づけることはできます。「穴」がほとんど無いとは言え、IBM i は一枚のスイスチーズに過ぎないと考えて、是非複数枚を重ね合わせた対策を取られる事をお勧めしたいと思います。
ではまた
