「セキュリティ強化の見えない敵」

　私は職場で自社開発のRitaOfficeと呼ばれるシンクライアントシステムを使っています。端末は通常のデスクトップやノートPCですが、ハードディスクを外しており、電源をいれるとネットワークからOSを読み込んで起動します。読み込まれるOSは、 Linuxの一種である KNOPPIXを改造したもので、起動処理が終了すると自動的にリモートデスクトップのクライアントソフト (rdesktop)が実行されます。端末はまぎれもなくLinuxで動いていますが、モニターに表示されるログオン画面やログオンした後のデスクトップ画面はネットワーク上のWindows Server 2003から配信されたもので、見慣れた Windows画面です。実行するプログラムも作成されるデータも、目の前にある端末ではなくネットワーク上のサーバ上にあります。 Windows環境をリモコン操作しているわけですが、よほど注意しない限りはそのことはわかりません。

　クライアント端末で動作しているのはLinuxですから、端末でのOSライセンスは不要です。Windows UpdateやWindowsのアンチウィルスパターンの更新はWindowsサーバの管理者が実行し、利用者はそれらの作業から解放されます。Linux自体は基本的に通常のLinuxですが、リモートデスクトップに関係しないものは削除済みで（xtermすら存在しません）、USB等可搬デバイスは扱えないよう改造されています。ハードディスクを使わずメモリ上で動作しているので、いつでも電源を切れますし、低消費電力で故障もあまり起こりません。端末自体に情報を保存できないのですから、端末からの情報漏洩は起こりようがありません（よくモニターをデジカメで撮影されたらと言われることがありますが、それを禁止しては超能力者以外業務もできなくなります）。ユーザは文字通り電源をいれて使うだけの究極の「軽くて、セキュリティの高い端末」です。これで、さらにカーネルを TOMOYO Linuxにして、端末とサーバの間のプロトコルをリモートデスクトップに限定すれば限りなくセキュリティは高まります。情報漏洩防止をメインに考えるならば、端末自体に情報を置かず全てサーバで集中管理するシンクライアントの有利さは火を見るよりも明らかです。

　この原稿もRitaOfficeを使って書いているわけですが、私は常々「もし自分が会社を経営していたら絶対に社内にはシンクライアントを導入するのになあ」と思っています。情報漏洩を未然に防ぎ、データは集中的に管理し、社員にはPCの設定ではなく本質的な業務に専念させたいからです。これまで多くの方々にこのRitaOfficeをご紹介してきました。すると皆さん判で押したように、「これはとても素晴らしい、有効だ」と言われるのですが、大変不思議なことに実際に自分の職場に導入しようとまで思われる方はそれほど多くありません。それが何故か考えるともなく考えていたのですが、到達した答えは「シンクライアントを導入したいのは経営者であって、担当者ではない」ということでした。

　シンクライアント導入の検討の流れはだいたい以下のようになります。

経営層が導入を発案する
情報システム部門が検討を依頼される
情報収集を行う
情報が集まりすぎて混乱する
いくつかの課題、懸案事項にたどり着く

　実際に調べてみるとわかりますが、同じ「シンクライアント」という言葉を用いていても、使われている用語や概念はまさに千差万別です。まず「シンクライアントとは何か」を整理するところから始めなければなりません。それには、少なからぬ時間がかかります。「課題、懸案事項」については、(1)既存アプリケーションが動作するか、(2)ネットワークの負荷は問題ないか、(3)既存システムとの費用の比較が3大課題ですが、これらは実は大変な難問です。例えば、既存アプリケーションがシンクライアント環境で動作するか調査しようとしたとしても、「自社内で使われているアプリケーションが何か？」から始めなければなりません。ネットワークの負荷はネットワーク屋さんを巻き込まなければいけませんし、アプリケーションや利用形態により変動するのでそもそも明確な答えは存在しません。費用については、シンクライアント固有のライセンス形態の理解が必要であり、それができたとして現在使っているシステムの運用コストの算出でつまずきます。

　本来であればこの次の段階は、各種製品の比較、導入候補の選定、評価（指向導入）、決定、となるはずですが、実際には検討が停滞するか、もっとも有名な製品を導入するというパターンがほとんどです。一体、何故でしょうか。

　シンクライアントの性質上、導入は個人ではなく組織、会社レベルで、典型的な適用対象は社内のオフィス業務全般です。検討を依頼された部門と担当者には、「もし自分達が選定したものを導入して問題が生じたらどうしよう」という心理が働きます。また、横に座っている同僚からは、「あんまり管理をきびしくしないでくれよ」、「今のままで良いじゃないか」等の声が聞こえてきます。セキュアOSやシンクライアントは、利用者にとっては「できることを増やす」のではなく「できない事を増やし、制限する」ものです。人間誰しも管理されることを好む人はありませんから、利用者は導入を阻害する要因となります（実際には利用者にも利点があるのですが、それは導入前の時点では見えません）。そこにさらに課題や懸案事項が重なりますから、検討も導入も停滞するのは自然な流れです。そのうち、次年度の予算の計画期限に間に合わなくなる等のアクシデントが発生し、なんとなくうやむやになります（担当者はほっとします）。あるいは、「とりあえず一番良さそうな製品を導入しよう」ということになります。問題が起こる確率が低くなるような気がしますし、問題が起こっても担当者の責が問われることは少ないからです。一種のリスク回避の心理と言えます。

　しかし、待って下さい。セキュアOSもシンクライアントも本来「入れたいから入れる」というものではなく、「セキュリティを重視し、強化したいから、入れなければいけない」ものなのです。全くデメリットや問題のないソリューションは存在しません。どこかでリスクを取り、代償を支払う覚悟を持った上で判断をしなければいけないのです。事故が起こってからでは遅いのです。

　セキュアなIT基盤を実現する上では、セキュアOSは中核となります。OS自体の強化なくして、セキュアな基盤は得られません。セキュアOSの場合には導入に抵抗するのは一般利用者ではなく主にシステム管理者となるでしょう。専門のスキルとノウハウを持つ管理者が導入に後ろ向きになる（要素がある）とすると、これは大変な強敵です。経営層は、説明の中から言い訳と本音を見極め、検討現場で起こっていることを把握する高い洞察力と、コストを払いリスクをとっても会社を守るという強い意志が必要になるでしょう。拙文を読まれた経営者の方々が、現場での反発や目に見えない抵抗と闘い、得たい結果を得られることを願ってやみません。ちなみにNTTデータでは、「使いこなせて安全なLinux」を目指して、 TOMOYO Linuxを開発、OSSとして公開しています。是非あなたの「武器」としてご活用下さい。