ユーザ事例

クライアントPCの検疫システムとしてCisco NACを採用
グローバル企業としての基準を備えた情報セキュリティ対策を実施

豊田通商株式会社

将来のポリシー変更に柔軟に対応する製品が必要

　いくつかのソリューションを検討した結果、シスコのNAC検疫ソリューションが採用されることになった。今回のシステム導入を担当したグローバルIT推進部ITマネジメントグルーブ狩野真人氏は、その理由として「コスト」「既存ネットワークとの親和性」「将来への柔軟な拡張性」の3つを挙げている。

　豊田通商の情報通信インフラは、コアスイッチを含めてシスコ製品で構成されている。新たに導入するネットワーク機能についても同一ベンダー製品にすれば、障害発生時の問題切り分けなど、運用面での利便性が高い。また、Cisco NAC検疫ソリューションの機能や設定の柔軟性も評価された。セキュリティの脅威はどんどん変化していくため、セキュリティ ポリシーもそれに合わせて対応させていく必要があるからだ。さらに、監査（モニタリング）のみを事前に行える点も重要だった。システムがポリシー違反と判断しても、その原因が導入済みの別のシステムにある可能性もあり、ポリシー違反と判断されたPCを強制的にネットワークから排除することは避けたかった。

　新しいシステム導入にあたってエンドユーザ自身による作業が発生しないようにするという方針もあり、PCのプロセスの起動状態をチェックできる「エージェント型」というのも採用理由の1つになっている。

セキュリティ製品の導入は基礎的な管理運用が前提

　Cisco NAC検疫ソリューションの導入は、2009年2月から開始された。導入を担当したのは、豊田通商のグループ会社でシステムインテグレーションを担当する豊通シスコム。同社は、ネットワークの構築からアプリケーションの開発、PCなどハードウェアの調達・展開まで、一括で請け負うことのできる総合システムインテグレーターで、豊田通商のITインフラについてはすべてを理解しているという部隊だ。また、システム インテグレーター パートナーとして、シスコ製品に関する多くの導入実績と経験を持つ株式会社PFUも参画した。

　社内への展開については、テスト導入から始めて、問題を解決しながら導入範囲を徐々に拡げていくという方式を採った。最初のテスト導入は、グローバルIT推進部と、直接豊田通商のネットワークに繋がっている豊通シスコムのカスタマー サービス グループの2部門にあるPC 80台で行われた。そこでCisco NAC導入のために必要な環境を確認したり、動作の検証を行い、続いて名古屋本社に2〜3フロアごとに分けて4日間で導入。その4ヶ月後には東京、大阪などの大規模拠点に導入した。

　導入および展開の途中で発生した問題の多くは、検疫ソリューション側ではなく、各クライアントPCの状態にあったという。たとえば導入開始直後には、PCの時刻同期が完全にできていなかったことが指摘された。その後にも、ネットワーク ドライバのバージョンが古いために検疫動作時にPCが止まってしまうといった問題にも直面した。このようなトラブルへの対応には苦労はしたものの、「検疫ソリューションのような高レベルなシステムを導入するためには、そのインフラとなるIT機器へのケアが100％行き届いていなければいけない」（狩野氏）という意識の向上という副次的効果をもたらすこととなった。

セキュリティ対策には中央集約化されたIT管理が必須

　セキュリティのような全社統一の対応が必要な施策では、すべてのIT機器およびシステムの管理が1か所に集約されていることも重要な要素となる。とくにセキュリティ対策製品は、エンドユーザに不便を強いることになる可能性がある。セキュリティと利便性は多くの場合二律背反だからだ。豊田通商ではここ数年、各事業部門で個別にネットワークや情報システムを構築や運用しないように、システムの集約化を徹底してきた。さらに同社内にあるCSR（Corporate Social Responsibility：企業の社会的責任）委員会のグループの1つとして、IT部門では「情報セキュリティの強化」というテーマを掲げている。社長をトップとした組織で認められている目標であるため、目標やスケジュールについて、全社的な協力を得られる環境になっていたのだ。

　とはいえ、Cisco NAC検疫ソリューションの導入についてのエンドユーザからの不満がなかったわけではない。Cisco NACではエージェントをPCにインストールする形を取っているため、PC自体に処理負荷がかかる。最新型のPCを使っていれば気にならないだろうが、何年か前の仕様のPCを使っているユーザからは「起動に時間がかかるようになった」といった苦情があったという。しかし、「万が一重大な事案が発生した場合、それは当社のビジネス全体に多大な影響を与えることになることを説明し、エンドユーザの理解を求めていかなければならない」と、中川氏は言う。さらに狩野氏は、「検疫システムは健康診断のようなもの。健康な人にとっては面倒なだけに見えるだろう。健康診断の後に結果が知らされるように、検疫システムの結果報告をエンドユーザに行うようなコミュニケーションが必要」と加えた。

※画像をクリックすると、大きな画面で表示されます

今後の予定

　豊田通商では、Cisco NAC検疫ソリューションを2010年3月末までに国内にある約30か所の全拠点へと展開していく計画だ。現時点では監査だけでポリシー違反PCの隔離やクリーンアップといった動作は行ってないが、今後、PCの隔離やクリーンアップも自動化されれば、IT部門・エンドユーザともに大きく負担を軽減できることとなる。
「セキュリティは1か所だけを強化しても意味はない。全体としてそのレベルを維持しなければならない。これからも、約250か所の海外拠点も含め、豊田通商グループ全体のセキュリティ強化に取り組んでいく」（中川氏）。