情報セキュリティにおけるSIM（Security Information Management）とは？仕組みと目的を解説

SIM（セキュリティ情報管理）とは

SIMは「Security Information Management（セキュリティ情報管理）」の略称です。SIMとは、ファイアウォール、プロキシサーバー、侵入検知システム（IDS）、アンチウイルスアプリケーションなどのセキュリティ機器が出力するイベントログデータの収集を自動化するソフトウェアの一種を指します。

ログの相関分析とコンプライアンス監査への対応

SIMは、収集したログ情報を相互に関連付けて簡潔な構造に整理し、解釈しやすい形に変換します。さらに、Sarbanes-Oxley法（SOX法）、HIPAA、バーゼルII、FISMA、Visa CISPといったコンプライアンス監査に必要なセキュリティ文書の作成や分析をサポートする機能を持つ製品もあります。

単一コンソールでの一元管理

SIMは、ネットワーク上の複数のセキュリティ要素から得られるデータのグループ化と分析を自動化します。ファイアウォール、IDS、アンチウイルス、VPNなど、個々のセキュリティシステムのログやアラートをそれぞれ確認する代わりに、セキュリティ管理者は単一のSIMコンソールからこれらすべての情報を取得できます。複数の機器からのログを単純に集約するだけの製品もあれば、データ同士を関連付けることでセキュリティ情報全体の品質を高める製品もあります。

SIM製品の特徴と差別化ポイント

セキュリティ情報管理（SIM）製品（Security Information and Event Management：SIEM、あるいはSecurity Event Management：SEMと呼ばれることもあります）は、ファイルシステム、セキュリティアプライアンス、各種ネットワークデバイスから、セキュリティに関わるイベントログデータを手作業で収集するプロセスを自動化します。

これらの製品は、ハードウェア、ソフトウェア、またはサービスという形態で提供され、ネットワーク管理ソフトウェアにも見られるようなデータ集約機能やネットワークイベントの相関分析機能を備えています。情報の収集対象には、ファイアウォール、プロキシサーバー、侵入検知システム（IDS）、侵入防止システム（IPS）、ルーター、スイッチのほか、アンチスパム、アンチウイルス、アンチスパイウェアなどのアプリケーションが含まれます。

複数のデータソースへアクセスできる点は各社共通であるため、SIM製品は主に以下の観点で差別化を図っています。

• イベントを見逃すことなく、どれだけ高速にデータを収集できるか
• 特定のセキュリティイベントとユーザーIDをどの程度正確に関連付けられるか
• 管理者の意思決定を支援するために、どれだけ充実したレポート作成機能を備えているか

セキュリティ情報管理の目的

セキュリティ情報管理の目標は、事業活動への中断を未然に防ぎ、コンピュータおよびネットワーク設備による正確かつ安全なサービスを提供し続けることです。これは、以下のような取り組みによって実現されます。

• 運用プロセスと計画を適切に整備することで、システム障害のリスクを最小限に抑える
• 組織のアプリケーションおよびデータの完全性を保護する
• データサービス、ネットワーク、およびそれらを支える基盤インフラの完全性と可用性を確保する
• 規則の策定とコンピュータメディアの物理的な保護によって、資産への損害を防止する

SEM（セキュリティイベント管理）との関係

セキュリティイベント管理（SEM）は、企業のデータネットワーク上で利用される自動化ツールであり、他のネットワークソフトウェアが生成するログやイベントの保存・分析を一元的に行います。ソフトウェアエージェントはローカルフィルタを挿入できるため、サーバーへ送信されるデータ量を削減・制御することが可能です。

セキュリティの監視は通常、管理者が担当し、収集されたデータを確認しながら、発せられたアラートに対応していきます。相関分析や検査のためにサーバーへ送信されるデータは、一般的にXMLなどの共通形式へ変換されます。