「IT の未来を担う企業」としての責任――より高度なセキュリティの確保をはかるべく、業界に先駆けてグループ内約 10 万台のクライアント PC に対し Microsoft® Windows® XP Service Pack 2 セキュリティ強化機能搭載を順次適用。

いつでもどこからでもインターネットなど情報網にアクセスできる「ユビキタス社会」の実現に向けて、IT、ネットワーク、半導体などの先進技術を活用したソリューションの開発に挑戦を続ける日本電気株式会社およびグループ各社では、自社の情報セキュリティの維持確保と一層の強化を促進すると共に、ユーザー企業からの新しい Service Pack の検証要望に応えるために Windows XP Service Pack 2 セキュリティ強化機能搭載 (以下、SP2) の一斉適用を実施しました。同社では、セキュリティ強化のための変更、機能追加が数多く搭載されている SP2 を既存環境へ一斉適用することにより、企業情報システムのセキュリティ機能が高次元で達成できたといいます。

＜導入の背景＞
総合的に配慮されたセキュリティ機能により、“デフォルト設定”でセキュリティ レベルが向上すると判断

日本電気株式会社 (以下、NEC) では、国内外のグループ企業との連携によって、NEC を中心とした「IT・ネットワークソリューション事業」、NEC エレクトロニクスを中心とした「半導体ソリューション事業」の 2 つのコア事業を展開。それらの事業と技術のシナジー効果によって、お客様にとって真に価値あるソリューションの提供と、「いつでも、どこでも、誰でも、どんなものからでも」情報ネットワークにアクセスできる「ユビキタス社会」の実現に向けた、さまざまな取り組みを行っています。

また、日本でも大きくクローズアップされているコーポレートガバナンスや企業倫理といった、企業の社会的責任の遂行活動にもいち早く取り組み、より良い企業市民としての使命を果たしている同社では、その責任を果たすべくセキュリティ向上のために手厚い対策を行っています。

NEC および NEC グループに共通 IT サービスインフラを提供する立場にある NEC システム運用統括部 シニアマネージャー (IT サービスグループ) 東内章氏は、次のように説明します。

「昨今、ウイルスやフィッシング、情報漏えいなど、企業情報システムのセキュリティを脅かす事象が増えていますが、IT および IT サービスを生業とする当社およびグループが、そうしたものに揺らぐわけにはいきません。お客様とのビジネス上の責任を果たすためにも、NEC というブランドを守るためにも、セキュリティの確保は絶対条件です」

しかし、NEC および NEC グループの企業情報システム基盤は、サーバーの台数にして 6,000 台、クライアント PC の台数は約 16 万台利用されており、業務アプリケーションの総数も数千に達するという大規模なもの。一口にセキュリティの確保と言っても、簡単に完遂できるものではありません。

現在、NEC グループでは、クライアント PC の状態監視機能やプログラムアップデート、ライセンス管理機能を有した自社開発のサイバーアタック対策システム「CAPS」を約 16 万台のクライアント PC に対して活用しているほか、データの暗号化、ウイルス対策など、セキュリティ確保のために必要とされるさまざまな施策が展開されています。

そうした状況の中に登場したのが、セキュリティ機能を大幅に向上させた SP2 でした。そこで、同社では 2003 年 12 月より、Windows XP SP2 テクニカルベータプログラムに参加し情報収集を開始し、2004 年 8 月初めに、NEC アウトソーシング・E サービス構築運営本部 IT インフラサービスグループ マネージャー 黒崎時廣氏を中心に、SP2 のベータ版を用いて本格的な評価を開始しました。

「当社独自のセキュリティスタンダードに適合するかどうかを中心に調査したのですが、Windows XP SP2 で提供される機能はセキュリティをトータルに捕らえており、その結果、導入した方がセキュリティレベルは向上する、それも初期設定で適用できると判断したのです」(NEC 黒崎氏)。

この調査結果を受けて、SP2 の早期導入が決定されたといいます。また、導入によるこれら検証・展開に向けた費用と、導入後の投資効果を比較した場合、有事の際システム稼動が止まる損失、ブランドが傷つく損失より、SP2 を導入し、セキュリティ策を講じていると明言できることのメリットの高さも重要な判断基準だったといいます。クライアント PC に関するガバナンスを担当する NEC IT 戦略部 マネージャー 真田美穂子氏は、次のように説明します。

「通常は、Service Pack が登場してから 3 か月以内に社内の業務アプリケーションとの適合度を検証し、6 か月以内に導入を開始するのですが、この SP2 はことセキュリティ向上に関するものなので、システム運用統括部とも話し合って検証、導入を急ごうということになりました」。

＜適用の実際＞
入念な対策手段を用意するも、「拍子抜けするほど」スムーズに導入が完了

SP2 の正式リリースをにらみ、2004 年 8 月 10 日、NEC 東内氏たちは同社およびグループ各社に対して、SP2 上で利用する予定の業務アプリケーションの動作検証をベータプログラムを介して入手した最新のビルドを利用し、10 月中に終えるように依頼。その一方で、短期間でスムーズに導入を完了するため、「開発者向け適用説明会」を開催すると共に、ビデオ収録した説明会のストリーミング配信や、社内で標準的に利用する 133 種類の業務アプリケーションの動作検証など、さまざまな方策を実施しました。

その 133 種類の業務アプリケーションの動作検証の結果はきわめて良好で、社外で開発されたごく少数のソフトウェア部品に対してのみ改修が必要だった程度であったといいます。そのほか、NEC 社内のポータルサイトやヘルプデスクには、数十件の問い合わせが寄せられましたが、そのほとんどはすぐに解決できる問題ばかりであったといいます。

たとえば、「Windows Update を利用すると、Prescott C-0 ステッピング版の Intel Pentium 4 プロセッサ搭載の PC で SP2 がダウンロードできない」という問題が発見され、これはダウンロードブロック機能を持ったこのプロセッサの仕様に由来する現象であることが判明しました。これについては CD-ROM からのインストールで対応することにし、該当する部門に配布したといいます。

ただ 1 点、NEC グループとして、高レベルなセキュリティを維持しているがゆえに発生した問題もありました。それは、情報漏えい対策のため NEC が標準利用しているデータの暗号化機能を持った USB メモリが、その時点で SP2 に未対応であるというものでした。クライアント PC のセキュリティキーとしても活用している USB メモリの利用は、同社のセキュリティスタンダードにおいて、重要なポイントであったため、そのままではその USB メモリのユーザーは SP2 を適用できないことになります。しかし、この問題も 12 月末に SP2 対応のモジュールがメーカーより提供されたことで、解決ができたといいます。

この 8 月 10 日からの一連の SP2 適用に向けたアクションに関して、NEC グループ内で特に素早い対応を行ったのが、NEC フィールディング株式会社 (以下、NEC フィールディング) でした。NEC フィールディングの効率化システム推進部 システムサポート部 システムサポートマネージャー 東本和徳氏は、NEC から指示を受けるとすぐに、各業務アプリケーション開発担当者にチェック項目の洗い出しを依頼。テストマシン 3 台を用意して重要な業務アプリケーションから順に動作検証を行っていきました。その結果、一部の業務アプリケーションで通信ポートの設定が新たに必要になるものの、ほとんどは作業手順書のとおりに適用していけば問題なくアップデートできることが確認できました。

報告を受けた同社 効率化システム推進部 システム企画部長兼システムサポート部長 阿部惠三氏は東本氏に「できるだけ SP2 のセキュリティ機能を生かして、迅速に全社適用するように」と伝えます。

「7,000 人もの社員を抱えた会社ですから、こういうことはモタモタすると、ずっとそのままになってしまいます。私たちの仕事はお客様と日々接する業務ですから、セキュリティに関しては親会社以上に神経を使う必要があります。セキュリティの確保は私たちの存立基盤そのものだと言えるでしょう。だからこそ、セキュリティ機能を強化した SP2 を迅速に適用すべきだと考えました」(NEC フィールディング 阿部氏)。

そして 2004 年 11 月 1 日。NEC グループ全社に向けて SP2 配布が行われました。

NEC フィールディングでも、「SP2 の問題に関して問い合わせが多数くる」という予測の下、ヘルプデスクチームにて万全の体制を敷きましたが、実際に持ち込まれた問題は 1 件だけでした。それは、ある API (Application Programming Interface) 経由でデータをサーバーから送信する際に障害が生じてしまうという問題だったのですが、経由する API を変更することで解決したといいます。

＜システム導入後のメリット＞
適用プロジェクトの完遂によって、社内ネットワークのクライアント PC 管理の可視化を実現

2005 年 2 月 20 日現在、Windows XP Professional を搭載したクライアント PC における SP2 適用率は NEC フィールディングにおいては既に 90 ％以上を達成、NEC グループ全体で見ても 80 ％を達成。今でも CAPS がクライアント PC の状態監視を行い、SP2 未適用の PC に対しては、起動直後にポップアップメッセージを流して適用を促しています。NEC 真田氏の構想では、2005 年 3 月上旬ごろまでに、SP1 での利用がビジネス上必要である PC を除いて、約 10 万台ある Windows XP 搭載のクライント PC の 90 ％程度に SP2 を適用させる予定であるといいます。

「当初は SP2 に関する報道も錯綜していて、何かあるかもしれないと多少リスクも覚悟していたのですが、実際に適用を進めてみると予想以上にスムーズに進み、正直拍子抜けしているところです。情報セキュリティは、いろいろな施策をもとにトータルに確保するものなので、SP2 を適用したからといってすべての面においてその向上をすぐに実感できるというようなことはありませんが、必要な行動を迅速に取れ、同時に確かなノウハウを蓄積したという達成感はありますね」(NEC 東内氏)。

そして、グループ内での SP2 導入率が、もっとも高いのが、NEC フィールディングでした。同社におけるSP2適用率は、2005 年 2 月 20 日現在ですでに、Windows XP Professional を搭載したクライアント PC7,200 台の 90 ％にのぼります。

同社は、スーパーコンピュータからパソコン、ネットワーク機器まで、多種多様の IT システムをサポートできる幅広い技術力を有しており、全国 420 か所以上におよぶサービス拠点に約 5,000 人のカスタマエンジニアを配置し、お客様に対して手厚いサポートサービスを提供しています。そのため、お客様に対して、優れたセキュリティ ソリューションの提案やサポートを続けていくためにも、社内への SP2 適用は、同社のエンジニアにとって高い関心事であったのです。

NEC フィールディング 東本氏は次のように語ります。「お客様にサポートの一環でセキュリティソリューションを提供している会社が、何か問題が起こったときに、『SP2 を適用していませんでした』では許されません。セキュリティの確保こそがわれわれの存立基盤です。導入に際しては作業手順書や Q ＆ A 集を作成しましたが、これはグループ内に限ったことではなく、お客様にもお役立ていただけるものと考えています」。

NEC フィールディングでは、全社 SP2 適用によって、IE のバージョンの統一などクライアント PC 環境の収束が進んだことで、ヘルプデスクチームなどの運用管理における作業時間、ストレスが格段に軽減されたといいます。以前は問い合わせの際、SP ２適用の有無、IE に起因した問題の切り分けを行うために、月平均 80 時間の作業時間を要していましたが、これらにとられる時間が不要になりました。問い合わせそのものが減ったことはもちろん、何か問題が発生した際も、調査がしやすく、サポートしやすくなったのだそうです。そして、SP2 適用で得られた最も重要な成果を、阿部氏は次のように語ります。

「SP2 適用された PC を使うユーザーにとって、常に警告メッセージが画面に現れるといった、セキュリティの可視化が実現しました。この SP2 適用を契機にして、お客様から信頼感があり、安心でき、社会的責任を果たす企業と見ていただき、より多くのお客様に“セキュリティとはどうあるべきか”という提案のできる土壌が社内に整いました」。