本格普及期に入ったデスクトップ仮想化

　クライアントの運用管理コストの大幅削減や、データをセンターに集約することでセキュアな環境への移行を実現するデスクトップ仮想化が、ついにキャズム（本格普及を前にした一時的な市場の落ち込み）を超え、多くの企業への認知と普及が約束されたソリューションの1つとなりつつあるようだ。

　調査会社のIDC Japanが2010年11月に発表したクライアント仮想化ソリューション市場規模についての予測値では、2010年の1921億円から、2014年には5388億円へと急増する見込みだ。中でもデスクトップ仮想化ソフト市場における2009年〜2014年の年平均成長率は70.6％と、高率に推移すると見ている。

　また、シンクライアント専用端末の出荷台数も、2010年上半期（1月〜6月）の実績値は約8万5000台で前年比46.1％の成長を示し、2014年までには40万台以上に拡大すると予測している。

シンクライアントの「データを持たない＝安心」は本当か？

　これほどまでにデスクトップ仮想化が追い風を受ける背景には、いくつかの要素が考えられる。

　まずはサーバ仮想化の普及だ。センターにサーバが集約されることで、デスクトップとの通信効率が改善されつつことは大きい。また、マルチコア化などハードウェアスペックの向上によって、メモリ搭載可能容量が増加し、高負荷のアプリケーションも運用可能になっている。

　さらに、アプリケーション自体もクラウド化されつつあり、デスクトップ側の負荷が軽減されるという面もある。そして何よりも、管理者がデスクトップを集中管理でき、ソフトウェアインストールやアプリケーションの更新といった運用・保守コストが格段に軽減できるというメリットが大きいだろう。

　加えて、最も重要なのはセキュリティの確保である。仮想デスクトップ端末やシンクライアント端末自体がデータ（HDD）を持たないため、情報漏えいや不正アクセスの脅威から解放される期待は高い。だが、果たして「データを持たない＝安心」は本当だろうか。

IDやパスワードを盗むなりすましは犯人確定が困難

　VDI（仮想デスクトップ環境）のシンクライアント端末でも従来型の端末でも、サーバにアクセスする際のログオン認証には、ID／パスワードの入力が必要である。しかし、この手続きで本人認証を行う以上、なりすましの脅威からは逃れられない。

　なぜならば、あの手この手のソーシャルエンジニアリングを使えば、IDやパスワードを盗むことは可能だからだ。たとえ多額の投資をしてシンクライアント端末を導入しても、本人以外の人物が容易にアクセス可能となってしまう。また、どんなに優れた暗号化製品でも、ID／パスワードが盗まれれば簡単に復号できてしまう。

　一度なりすましが行われると、犯人の特定は極めて難しい。しかも、仮想環境の方がなりすましは行いやすいともいわれている。仮想環境だからこそ、確実性の高い本人認証を行うことが必要なのだが、では、どんな方法を用いれば可能なのだろうか？

人＝ICカードによる確実なログオン認証

　なりすましの脅威に対抗する手段として、いま最も注目したいのが、ソリトンシステムズの認証セキュリティシステム「SmartOn」シリーズである。最大の特徴は、ICカードをベースとしたPCのセキュリティ強化のソリューションであること。わざわざ専用カードを発行することなく、すでに利用中のICカードを流用し、それを人に紐付けて本人認証を強化できる。

　ICカードは、通勤定期や社員証、入退出カード、プリンタ認証などの用途ですでになじみ深く、誰でも公私ともに複数枚は所持しているはずだ。SmartOnは、交通系カードや決済用カードのほか、入退出用カードや住民基本台帳に採用されているカードなどに対応し、さらにモバイルFeliCaチップを内蔵した携帯電話やUSBキーなども活用できる。

　ICカードは偽造や解析、改ざんが困難で、256バイト〜1Mバイトという比較的大きなデータを格納できるうえに、携帯性にも優れているという特徴を持っている。そんなICカードに紐付けたパスワードを併用してログオンする二要素認証を導入することで、シンクライアント／物理端末を問わず、なりすましを防止することができる。カードリーダーにICカードをかざしている間はログオンを継続し、離席時にカードを外せばPCをロックし、共有PC上でも人（＝ICカード）を認識し、本人確認が行える。

シングルサインオンを実行する「SmartOn Pass」

　また、セキュリティを高く求める企業ほど、パスワードに使用する文字数や種類を複雑に組み合わせることをルールとし、定期的な変更も求めるなど、厳しいパスワードポリシーを定めている。しかもそれはWindowsのログオンだけではなく、決済システム、勤怠システム、グループウェア、社内ポータル、モバイルVPNといったさまざまなアカウントごとに存在し、それぞれのシステムに異なるパスワードの設定が要求されている。

　しかし、これらのパスワードを覚えることが大変なため、同じパスワードにしていたり、メモに書いて目に付きやすいところに貼ってしまったりするケースが多い。この結果、パスワードが盗まれる危険性がかえって高まっている。

　しかも、パスワードを忘れてログオンできない社員が続出し、再発行の依頼が次々に来るというケースも多い。現にある米国の調査では、ヘルプデスクへの問い合わせの約25％がパスワードに関する問い合わせや再発行という結果が出ており、IT管理者の業務に大きな負担となっているのは確かなようだ。

　SmartOnを利用すれば、仮想・物理を問わず、シングルサインオン（パスワード自動入力機能）によってID／パスワードを自動入力してくれるので、ユーザーが不用意にメモすることもないし、忘れて再発行してもらうこともない。ユーザーは複雑なパスワードを多数覚えるという「役務」から解放され、管理者もユーザーにパスワードをあえて教えないことで盗まれる危険性を排除することができる。さらにその裏側では、複雑なパスワードを運用することで、確かな認証と大幅なコスト削減につなげられるというわけだ。

正確な本人の操作ログを一元管理する「SmartOn LogServer」

　さらに、VDIでも権限のある者への対策あるいは抑止として、「誰が」「いつ」「どのPCを利用したか」を証明する操作ログの収集や追跡／解析機能が正常に働いていることが必要だ。しかし、ログに残されたユーザー名が本人とは特定できず、追跡調査ができないことは、内部統制監査の際に深刻な問題となる。中でも、共有PCを設置している企業や、社外スタッフのために共有アカウントを用意している企業は特に注意すべきだろう。

　SmartOnのログサーバ機能を利用すれば、正確な本人の操作ログを一元管理できるため、PC利用時の認証状況の把握が容易になる。電子的犯罪の特性ともいえる「物的証拠が残らない」という問題も解決できる。

大和総研ビジネス・イノベーションの社内シンクライアント化計画

　こうしたメリットを数多く持つSmartOnは、社内システムをVDI化する企業に用いられ始めている。ここで1つ事例を紹介しよう。

　大和総研ビジネス・イノベーションは、幅広い分野のお客様に対して、高品質で信頼性の高い情報システムサービスを提供する企業だ。

　同社は、個人情報漏えいなどの企業存続を左右するインシデントを回避するため、セキュリティ強化とPCデリバリの効率化を目指し、ローカルデバイスにデータを保管せず、利用者認証と認証ログの取得を実現するデスクトップ仮想化の導入を決断。2010年夏、シンクライアントと二要素認証を組み合わせる目的で、ブレードPCへのSmartOnの導入を実践した。

　具体的には、既存のブレードPC上にCitrix XenDesktop 4.0を利用して、120台分のデスクトップ環境を構築。さらに、新規に導入したCitrix XenServer上に50台分の仮想デスクトップ環境を構築し、SmartOnを導入した。

　SmartOn採用の理由として、ブレードPCおよびCitrix XenDesktop 4.0へ対応していることのほか、既存のグループ会社共通のIDカードを利用できる点が挙げられている。また、新たなカード発行が不要で導入コストを削減でき、容易に導入できること、柔軟な運用性を備えていることもポイントという。さらに、入退室管理機能と連動することで、認証強度が向上することもメリットの1つだ。

　SmartOnとデスクトップ仮想化を組み合わせた効果だが、管理者からは「LAN管理の要因数が削減できた」「端末のデリバリ準備期間が短くなった」、ユーザーからは「端末の配置変更が楽になった」「入退出カードとSmartOnが連動しているため、カードを挿しっぱなしの運用がなくなり、よりセキュアになった」といった意見が寄せられたという。

　大和総研ビジネス・イノベーションは、2010年度中にCitrix XenDesktop 4.0による仮想デスクトップ500台を追加予定し、社内シンクライアント化を完了させる計画だ。

シンクライアント環境への段階的移行も可能にするSmartOn

　この事例のように、VDIにおける認証強化の要求は増えつつあるが、通常は全端末を同時にデスクトップ仮想化環境に移行するのはなかなか難しい。通信環境が整っていない地方や島嶼（とうしょ）部のリモート拠点での利用には課題も多いため、部門によってはシンクライアントと通常PCが混在する場合もあるだろう。

　しかしSmartOnなら、シンクライアントPCと通常PCとを共存させ、強固な二要素認証を実現したまま同じロジックで一元管理できるため、シンクライアント環境への段階的移行が可能となっている。

　なお、SmartOnシリーズのさらに詳しいラインアップと活用例は、こちらのホワイトペーパーに紹介されているので、ぜひ併せてご参照いただきたい。