セキュリティ コラム - セキュリティ コンテンツの紆余曲折
公開日: 2004年11月24日
マイクロソフト株式会社 セキュリティ レスポンス チーム 中尾
.jpg) |
皆様こんにちは。マイクロソフト セキュリティ レスポンス チームの中尾です。セキュリティニュースレターをご購読していただき、ありがとうございます。 マイクロソフトは他社に比べ、セキュリティに関しての取り組み、情報の提供に尽力しているという評価をいただくことがあります。一人でも多くのユーザーに情報を入手していただいて、ウイルス被害の予防等のセキュリティ強化を行っていただけるよう、色々な方法で情報の発信をしています。方法としては Web、ニュースレター (電子メール)、FaxBoxサービス、MSN Messenger、イベント等での啓発を通常行っており、緊急時には新聞の社告欄等も活用しています。今回はこの情報の発信についてお話いたします｡ |
マイクロソフトには、すべてのお客様が安心してパソコンやインターネットを使っていただける事を目標としたセキュリティ レスポンス チームと呼ばれるセキュリティ専門の部門があります。この部門では大きなウイルス被害が発生した時の対策情報や予防のための情報、新しいセキュリティ対策(セキュリティ更新プログラム)の情報の作成、公開を行っています｡ 2001 年 2 月からその年の夏にかけて発生した マイクロソフト製のWeb サーバー Internet Information Server (IIS) を狙ったWeb 改ざんについての防御策を公開したのが最初の仕事でした｡この時点ではまだ、専門の部門としては存在しておらず、IIS のサポート担当がサポート業務の範囲でおこなっていました｡本来なら Web コンテンツの作成、管理を行うチームは別に存在しており、サポートチームが Web コンテンツを作成し公開する、ということは社内的には異例のことでしたが、情報提供の緊急性から、別チームに作業を依頼し、作成公開を行うという時間のロスを省き、より迅速に情報提供を行うためにこのような体制が取られました｡そして同様の体制で CodeRed、Nimda を乗り切り、セキュリティ問題専任のチームが作られました。
マイクロソフトが提供しているセキュリティ コンテンツには、ウイルス対策情報だけでなく、セキュリティ情報 (セキュリティ更新プログラムの情報) ページ、プロダクト セキュリティ警告サービスの配信もあります。ウイルス感染を未然に防ぐためにはみなさんにセキュリティ更新プログラムを速やかに検証、適用していただくことが必要不可欠です｡セキュリティ情報も当初は米国でリリースされてから 24 時間後にリリースしていましたが、現在では米国と同時リリースしています｡
迅速さだけでなく、わかりやすさも
セキュリティ情報の提供を行う中で、私たちが気づいた事は、私たちの配信する情報を必要としているユーザーは IT 関連の仕事に携わっているプロな人たちばかりではない、という点でした｡私たちが理解してもらえるだろうと思って出した情報は初心者ユーザー、家庭で知り合いや家族に教わりながらパソコンを使っているユーザーの方々には伝わっていませんでした｡そういったユーザーの方たちからすると、何を言っているのかまったく分からない、とにかく具体的にどんな操作をすればおかしくなったパソコンが元にもどすことができるのか知りたい、という状況にあることに気づきました｡それから私たちは、同じ情報であっても、1 種類の見せ方ではだめなのだと実感し、試行錯誤しました。そんな中で生まれてきたのが、「絵でみるセキュリティ情報」やスクリーン ショットを中心に対策手順を解説したページでした。こういったページは IT 管理者の方たちには必要のない情報ページのように思われますが、企業内のユーザーに対策を説明する場合に非常に有効とご好評いただいています｡弊社サイトの月ごとのサイト アクセス数を見ていても「絵でみるセキュリティ情報」は常に上位に食い込んでいます｡
さらにもう一歩、予防策について
CodeRed、Nimda を経て私たちが学んだ事は、迅速な情報提供はもちろんですが、事前対策が必要だと言う点でした｡事前対策の情報提供に力を入れていかなくては、今後も事が起こった後で対策というサイクルは変わって行きません｡それは企業にとっては損失を出し続けていくということになります。ウイルス蔓延時の対処方法などの情報だけでなく、転ばぬ先の杖となるセキュリティに関する技術情報、強化策、予防策の情報を提供していく事の大切さも私たちは痛感しました｡2003 年の Blaster や 2004 年の Sasser の際に甚大な被害を免れた企業は、セキュリティ更新プログラムを事前に適用していたためです。この事実は普段からのセキュリティの強化、予防への意識、実行が大切である事を示しています｡ニュースレターをご購読いただいている皆様はすでにご存知だと思いますが、各製品のセキュリティ強化ガイド等の技術文書は、https://www.microsoft.com/japan/technet/security で提供されています。しかし残念ながら、TechNet のセキュリティ関連コンテンツへのアクセス数はセキュリティ情報、ウイルス情報に比べ、まだまだ多くありません｡どのようにしたらみなさんに読んでいただけるのか｡文書が探しづらいというフィードバックを受け止め、TechNet のサイト レイアウトのリニューアルが行われ、セキュリティ コンテンツを見つけやすくできるようにとセキュリティ ガイダンス センターをスタートしました。また、このニュースレターもみなさんにセキュリティ関連コンテンツがあることを知っていただくために配信されている、という側面もあります｡翻訳調の文章は読みづらい、カタカナ語は分からない、というフィードバックをいただき、翻訳用語の制定から他チームと話し合いを持ち、こういった点を改善していけるように地道な努力も続けています。
最初に述べたように、私たちのセキュリティへの取り組みを評価してくださるお客様もいらっしゃいます。セキュリティ対策は、ともすると余分なお金がかかるもの、という認識をもたれ、なかなかお金もリソースも割く事が難しい場合がありますが、マイクロソフトではセキュリティに焦点を絞り、資金、人員を注いで対応にあたってきました｡ まだまだ試行錯誤中であり、お客様に予防策への必要性を認識していただくには予防策のコンテンツを公開するだけでは不十分であり、他の方法、取り組みが必要だと感じています｡Web での情報提供以外にも私たちが取り組んでいく事はたくさんあるのが現状です｡そういった取り組みについては、次回以降でお話していく予定です｡
.jpg)
この記事は、マイクロソフト セキュリティ ニュースレターで配信しました。