コスト削減100本ノック 第18回

コスト算出の難しいセキュリティ製品の賢い製品選定とは？

【18本目】セキュリティ製品のコストの常識を疑え

効率的なセキュリティ投資を実現する

　今回は、こうしたセキュリティ対策のうち、Webフィルタリングとコストというテーマで製品選びを考えてみよう。

　従来、Webフィルタリングというと、従業員が私的な用途でWebを使うのを防いだり、未成年が見るのにそぐわないコンテンツをブロックする用途がメインであった。そのため、基本は不適切なサイトを人力で収集し、ジャンルごとにリスト化。それをユーザーのフィルタリングソフトに配信し、閲覧をブロックするという機能を搭載していた。

　こうしたWebフィルタリングは教育機関や個人であれば有益だが、果たして企業で導入するとオーバースペックである場合も多い。勤務中に不適切なサイトを見るユーザーはいるかもしれないが、多くの企業の場合、ログを収集しているとアナウンスすれば、十分抑制されると考えられるだろう。また、業種や業態により、アクセスしてもよいWebサイトは異なってくるので、一概に禁止するのも難しい。その点、企業向けのWebフィルタリングは、社内の情報をWebの掲示板に書き込んだり、収集したログをきちんと解析できるほうが望ましい。これを実現した製品の例として、HDE Web Copが挙げられる。

更新料の負担が小さいHDE Web Cop

　HDE Web CopはWebサイトへの情報漏えいに特化したソフトウェアで、POST送信の禁止とログ収集・解析に機能を絞っている。インターネットへのプロキシとして動作させることで、ユーザーのWebサイトへの書き込みを防ぐほか、アクセス履歴を収集する。また、HDE Web CopではSSLの解析機能も持っているので、たとえSSL経由でのアクセスでもきちんと情報を収集できる。最近増えているSSL経由でのフィッシングサイトでもやりとりした内容を収集できる。

HDE Web Copの特徴（HDE資料より）

　前ページで指摘したコストというポイントに照らすとHDE Web Copは他の製品に比べて優れた点を持つ。まず、企業での情報漏えいに絞ったことで、導入コストが安く抑えられたという点が大きい。100ユーザー版が税込94万50000円で、キャンペーンや乗り換え特典などを利用することでさらに安価に導入できる。また、年額でかかる更新料が他社製品に比べて30％程度に抑えられているのもポイントだ。これは人力で情報を収集し、アクセス禁止のリストを作るブラックリスト方式を採用していないから。管理者が書き込みを許可するサイトなどを明示的に設定するホワイトリスト方式の採用により、不具合の修正やバージョンアップ以外の更新作業がほとんど発生しない。その結果トータルで見ると、250ユーザー版を5年間で使った場合、最大54％も得という試算も出ている。

5年間のコストを算出すると違いがわかる（HDE資料より）

　もちろん、投資対効果も明確だ。いつ、誰が、どのURLにアクセスしたかが、WebのGUIから容易に検索できるため、不正な書き込みリクエストや情報漏えいを防ぐことが可能だ。

　さらにハードウェア構成を柔軟に変更できるのも、ソフトウェアならではのメリットだ。こうしたWebフィルタリングソフトはログの保存やバックアップ等が必要であるため、アプライアンスは最適とはいえない。専用のログ収集アプライアンスを導入するより、ハードディスク等の増設や外付けの容易な汎用サーバのほうが融通が利くし、コスト面でも有利だ。また、HDE Web CopはVMware ESX/ESXi 3.5/4.0、VMware Server 2.0など仮想化環境での動作が保証されているため、サーバ自体を減らすことも可能だ。

設定のGUIメニューもきわめてわかりやすい

　このようにセキュリティ製品は単なる導入コストだけではなく、更新料や投資対効果、製品の提供形態、サポートなどをトータルで考えていくのが、導入の秘訣といえるだろう。

■関連サイト

• 株式会社HDE