HyTrust社共同創業者兼社長Eric Chiu氏との仮想化セキュリティに関するQ&A（CA Security Reminder）

CA Security Reminder は、コンシューマライゼーションが進行する企業情報システムの情報セキュリティとアイデンティティ管理について考えます。

基幹系にまで及び始めた企業ネットワークの仮想化がはらむリスクに関して、CA Technologies の Russell Miller が解説する。

--最近、HyTrust社の共同創業者であり社長を務めるEric Chiu氏にお会いし、仮想化セキュリティの現状についてゆっくりお話を伺う機会がありました。そのときの会話の内容をお伝えしたいと思います。

HyTrust社は、仮想インフラのポリシ管理とアクセス制御のリーダであり、CA Technologiesとはパートナー関係にあります。同社は、既存の仮想インフラに対してアクセス、アカウンタビリティ、可視性に関するエンタープライズ・クラスの制御を提供することにより、コンプライアンスの対象となりうるサーバを含めた更なる仮想化を実現してくれます。HyTrust Applianceは、CA ControlMinder for Virtual Environmentsの主要コンポーネントです。

Q: 仮想化セキュリティ導入の現状はどのようになっていますか?

A: 仮想化の対象を、法令コンプライアンスや社内セキュリティ要件の対象にならない重要性の低いワークロードに限定しても問題ない企業/組織では、セキュリティは大きな問題ではありません。常に改善の余地はあるというものの、それ以上仮想化を推進するつもりがないなら、おそらく、仮想化プラットフォームが提供するセキュリティで十分でしょう。

しかし、最近このような企業は珍しいのではないでしょうか。IT部門上層部の大半は、この重要性の低いワークロードに対する仮想化によって達成したコスト削減に大変満足し、次の段階に進みたいと思っています。コンプライアンス要件の対象となる基幹系アプリケーションやワークロードを仮想化したいのです。企業の多くは既にこの取り組みに着手していますが、仮想化セキュリティとコンプライアンスに必要なツールが揃っていないと気付きつつあります。次なる段階に進む前に解決すべき大きな問題が見つかっているのです。

最近、非常に有名なある金融機関のCISOと配下のチームにブリーフィングを行いました。この金融機関では、より重要性の高いワークロードの仮想化を強力に推進しています。実際このような対象は、PCIやSOXを遵守しなければならないのですが、CISOが「仮想化セキュリティのギャップに対応するために今までどのような対策をとってきたのですか」とチームに尋ねたところ、答えは「特に何も」だったそうです。

Q: 仮想化におけるセキュリティが重要アプリケーションのニーズに追いつけないと、どのような問題が発生するのでしょうか？

A: 最大の問題は、仮想データセンタの重要なワークロードについて、物理データセンタより低レベルな保護やコンプライアンスをそのまま受け入れるわけにはいかないと気付いたとき、それが仮想化推進の遅延を引き起こし、推進が止まる事による経済的インパクトを生じさせる問題です。つまり、コスト削減ができない、運用のパフォーマンスや弾力性が劣化するなどの問題が発生するということです。

言い換えれば、本番環境や対象アプリケーションの仮想化が既に始まっているなら、監査の失敗または多額のペナルティ、場合によってはその両方を負わされる可能性に晒されているのです。CA ControlMinder for Virtual Environments を購入するお客様のほとんどは、PCI、 SOX、HIPAAなどの法令/規制を心配しており、通常、先に挙げた問題点のいずれかを念頭に導入決定を下しています。

とは言え、当初はコンプラアンス目的でCAのソリューションを導入したお客様でも、対象範囲を限定することなく、仮想インフラ全体への展開を選択する方が多くいらっしゃいます。こうしたお客様は、仮想環境におけるITガバナンスのより広い範囲に気を配るようになっています。また、物理/仮想インフラ全体にわたって一環性を維持しなければならないガバナンスの核を成す部分として特権ユーザ管理をとらえています。

Q: 仮想化セキュリティのギャップとしてアクセス制御を挙げられましたが、どのような問題があるのでしょうか？

A: 通常、vCenter、ESX、ESXiホストの特権ユーザは、物理サーバ管理者をはるかに上回る力を持っています。数回クリックするだけで、VM（仮想マシン）を作成することも破壊することもできますし、電源のオン/オフ、VMイメージのUSBドライブへのコピー、仮想セキュリティ・アプライアンスのシャットダウン、仮想ネットワーキングやストレージの再構築などを行うことができます。さらに、「ルート」アカウントの共有が日常的に行われ、これが匿名の管理者によるアクティビティやアカウンタビリティの不在につながっています。

このギャップは、仮想化プラットフォームが、最小権限アクセスのポリシを実行したり特権ユーザの職務分掌を実施したりする想定で設計されていないことによるものです。主要な法令では、こうした制御を何らかのかたちで実施してコンプライアンスを達成することが求められます。ですから、他の特権ユーザ制御をすることなく対象ワークロードを仮想化してあるなら、法令に抵触している可能性があります。あるいは、まさにこの理由により、さらに高い重要性を持ったワークロード仮想化を先延ばしにしているのかもしれません。いずれにしろ、コスト削減の機会損失や監査失敗のリスク増大、またはコンプライアンス違反のペナルティといったかたちで犠牲を払っているのです。

Q&A パート2をお楽しみに。

（Russell Miller）

筆者略歴：CA Technologies において、ネットワークセキュリティの分野で倫理的ハッキングから製品マーケティングまで様々な役割を務める。現在、CA ControlMinder および CA ControlMinder for Virtual Environments のマーケティング活動を統括