米Microsoftは11月17日「Enterprise security for our mobile-first, cloud-first world」と題したブログ記事を公開した。「モバイルファースト、クラウドファーストにおけるエンタープライズセキュリティ」と、一見するとエンドユーザーには関係がない話に見える。だが、水に色がついていないように、我々が普段から使用するインフラにコンシューマーもエンタープライズもない。そこで同記事から今後のMicrosoftが目指すセキュリティ分野の将来を読み解く。

Microsoftが公開した「マルウェアとの戦いとデジタルリスクの低減」

記事を投稿したMicrosoft Chief Information Security OfficerのBret Arsenault氏は、「(CEOの)Satyaは、各種ツールを連係した新たなセキュリティ手法を確立させようとしている。そのためセキュリティ関連の研究機関に10億ドル以上を毎年投資してきた」と自社の取り組みを明らかにした。

ワシントンDCで新たなセキュリティ対策に関する基調講演を行うMicrosoft CEOのSatya Nadella氏

この10億ドルという金額は、Microsoftにとってどの程度の比重を占めているのだろうか。同社は2015年6月期決算の純利益を122億ドルと発表しているため、その約12%をセキュリティ分野の研究に投資していることになる。さらに他分野の研究にも投資しているため、ソフトウェア企業というよりもPaaSやIaaSと主軸としたインフラ企業的なアプローチだ。

先のブログ記事では新たなセキュリティ対策として、「あらゆるエンドポイントを適切に保護するため、クラウドや機械学習、行動モニタリングなどを活用して、セキュリティ脅威の検知を迅速化しなければならない。我々が持つさまざまなツールを組み合わせて『Intelligent Security Graph』を構築し、全エンドポイントの保護やサイバー攻撃の検知、対応の加速化に努める」と述べている。

セキュリティ対策活動の中心となるのは新設した「Cyber Defense Operations Center」が担う。同施設には自社のセキュリティ専門家やデータアナリスト、エンジニアなどが集結し、24時間体制でセキュリティ対策にあたるという。ボットネットのように民間企業だけでは対策が難しい場合、DCU(Digital Crimes Unit)と連係してサイバー犯罪に対抗する予定だ。さらにエンタープライズセキュリティを専門に扱う「ECG(Enterprise Cybersecurity Group)」も合わせて発表。こちらは、ITプラットフォームの刷新を図りたい顧客に対するサービスだ。

Microsoftがセキュリティ分野で他社の後塵を拝しているという見方は、"過去の印象"として忘れた方がいいだろう。同社が"Trustworthy Computing(信頼できるコンピューティング)"を提唱した2002年から10年以上を数える。その間、Microsoftのセキュリティ対策に取り組む姿勢は前向きだ。2004年9月リリースのWindows XP Service Pack 2では"セキュリティ強化機能搭載"というサブタイトルを付けた。

2009年9月にはクライアントOS向けに「Microsoft Security Essentials」の無償提供を行い、そのサポート体制はWindows 10のWindows Defenderにも受け継がれている。サイバー犯罪対策拠点となる「Cybercrime Center」を日本を含む各国に設立し、法的機関との連携は前述したDCUが担いつつ、GSSD(Global Security Strategy and Diplomacy)チームは各国政府と連係して、ワールドワイドのセキュリティレベル向上に努めてきた。

Microsoft Cybercrime Center内のMalware Lab

もちろん営利企業であるMicrosoftは、ビジネスの中核にある"モバイルファースト、クラウドファースト"を妨げるサイバー犯罪を排除しなければ利益につながらない。他方で大企業の責務である社会貢献という意味でセキュリティ対策に投資しているという側面もあるだろう。だが、重要なのは我々がICT社会で恩恵を受けるインフラ構築の安全性に同社が寄与している点だ。"安全なインターネット"という未来を望む筆者は、同社の活動を素直に応援したい。

阿久津良和(Cactus)