導入事例

スイス・アールガウ州警察様

スイス警察のアールガウ州支部は HEAT Device Control を選択しました。

情報窃盗との戦い

スイスのアールガウ地方では不法侵入は実に困難です。州、地方、町の警察署の 550 人の職員が一丸となって公共の安全を守っています。しかしながら、11 の地区からなるこの地域の 575,000 人の住民を効果的に守るという事は現代的な IT システムなしには考えられません。コンピューターネットワークの中でデータ窃盗と戦う手段として、アールガウ州警察の IT 部門は HEAT Device Control を選びました。同社によって開発されたそのソフトウェアは、ビジネス環境におけるポータブルメディアとエンドポイントデバイスの使用を管理する、「ホワイトリスト方式」の技術を採用しています。

アールガウ州警察では、バーナード・ウエンリ氏と彼の率いる 8 人の IT エキスパートによるチームが、スイス政府により 2007 年に施行されるセキュリティとデータプライバシーの規定に対応しました。悪意のないユーザーでも、USB メモリスティックやモバイルデバイス、そして保護されていない PC によるポートアクセスを通して機密データを盗んだり、マルウェアやスパイウェアの攻撃を行ってしまう事があります。毎日、必ずやってくるそうしたユーザーの持つリスクに対処しなくてはなりません。基幹ネットワークの再構築の最初の目標はアールガウ州警察の 650 台を超えるワークステーションに免疫を与える事と、“セントラルファイアウォールの裏で” 起こる不正ソフトとウイルスの感染から内部コンピューターネットワークを守る事でした。同時に、本部と 12 箇所の支部においては限られた数個のモバイルデバイスを毎日の警察の業務を行う為にアクセス可能にし続けておく必要がありました。

コンサルティング・実行の手順の間はずっと、ウルドルフにある IBV インフォマティック社と提携していました。1981 年に設立された、OS/400、Windows、.NET、Linux、Unix といった OS に対応したポートフォリオ (金融) 系の製品を開発・販売を行う会社です。自動化、顧客管理、システムマネジメント、そしてセキュリティという分野の総合的なソリューションを得意としています。徹底的な市場の調査の後、アールガウ州警察は HEAT Device Control を選びました。そのソフトウェアのホワイトリスト技術は、情報漏えい、不正ソフト、スパイウェア攻撃を効果的に止める事でモバイルデバイスとポートアクセスの為のセントラルセキュリティポリシーを完全に遵守させることができます。

HEAT Device Control のホワイトリスト技術

HEAT エンドポイントセキュリティはクライアントの OS のカーネル層にインストールされるので、許可されていないスクリプトを確実にブロックします。そのホワイトリスト技術は会社のセキュリティポリシーを遵守させるのに利用できるのです。ネットワーク内の全てのコンピューターにインストールされた HEAT Device Control は許可されていない命令の実行を防ぐ事でユーザーの活動を制限します。脅威が既に広がった後で対症療法を取る旧来のセキュリティソリューションとは違い HEAT Endpoint Security Suite は全てを禁止するのが標準設定である為、データ漏えい、不正ソフト、スパイウェアから先回りで保護します。日々変化を重ねる膨大な種類の悪意あるアプリケーションと格闘していくのでなく、ホワイトリスト技術は、許可されたプログラムの電子指紋を作ります。社内ネットワーク内で、サービスされているプロセスをスキャンし、ホワイトリストに載っているデバイスのみが許可されます。

その実用的なセキュリティモデルを通して、アールガウ州警察は PC の活動を完全に統制し、望ましいセキュリティ態勢を維持する事ができました。ユーザー達は各個の PC、ユーザー、およびユーザーグループに基づいたセキュリティサーバーの認証で各コンピューターにログを取る事を許可されています。ハッシュと認可リストはユーザーによるエンドデバイスのアクセス権利を調整する為にアクティブディレクトリとeディレクトリ・データベースとのコミュニケーションを考慮します。ユーザーが新しいプログラムのインストールを試みた場合、ネットワークチームが承認するまではセキュリティプログラムに止められます。VB スクリプト、マイクロソフト・オフィス VBA、ジャバスクリプトのような実行可能なコードにもセキュリティ設定とポリシーは適用されます。また、HEAT エンドポイントセキュリティは OS の穴を突いた不正なリンクを作ろうとしてもブロックします。こうしてコンピューターネットワークの基盤に被害が及ぶ前に不正ソフトやハッカーの攻撃は阻止されます。

プロジェクトの歴史

「ネットワークとスタンドアローンのコンピューターの間でデータを交換する状況に対応する必要がありました。」とアールガウ州警察 IT 部門の責任者、バーナード・ウエンリ氏は説明します。「こうした状況では、USB メモリスティックに保存された機密情報がネットワークから持ち出されたり、もしくはマルウェアがセントラルファイアウォールにバイパスを形成したりといった危険が絶えず存在します。現在は個々のユーザーに権限を与える事が可能であり、警察署単位でもアクセス権限を調整します。携帯記憶デバイス、CD-ROM ドライブ、フロッピーディスク、デジタルカメラなどの器機を仕事に使用するかどうかでユーザー権限を設定し、多くのユーザーグループを作ります。警察官は単純にアクセスが必要なのはどの業務かのリクエストフォームを埋めるだけで、現在の 6 つのアクティブディレクトリグループの 1 つに振り分けられます。「これに費やす日々の管理業務は本当にわずかです。」とウエンリ氏は述べます。「私達がやらなければならないのは、一度違うアクセス権限を持たせたユーザーグループを設定する事だけで、今は IT 部門の誰もがユーザーをグループに暫定的に振り分ける事ができます。

「全てのコンピューターが遮断される」

正しいセキュリティソリューションの追求は難しく、厳しいものだと分かってきました。「当初、競合製品を試してきましたが私達のネットワーク上では上手く動きませんでした。」とアールガウ州警察 IT 部門の責任者は付け加えます。「しかし、HEAT Device Control をインストールした時は、感動しました。」実際に本格導入する前に、アールガウ州警察の IT 担当者は試用計画の一環として、全ての機能が滞りなく働くかどうかを試し、特別なユーザー権限を持たせた特別なユーザーグループを設定しました。アールガウ地区は IT 化の全く進んでいない、多くの小さな警察署の集合であったので、HEAT エンドポイントセキュリティの技術とともに、コンピューターネットワークは徐々に広まっていきました。「これは一斉に起こったのではないでしょう」とウエンリ氏は振り返ります。「全部で 650 台以上のコンピューターがありました。しかし問題が起きたのはその内のたった 5 台です。これは PC の多さを考えると本当に低い割合です。」アールガウ州警察が HEAT を選ぶ判断基準ではソフトウェアの価格効率及びその機能性、操作性、使いやすさのような他の判断基準もまた重要でした。ウエンリ氏は以下のように結論つけました。「HEAT Device Control をインストールしたコンピューターは全て遮断され、望まないアクセスから保護されます。」