XPサポート終了問題

質問

中小企業で一部の部署のパソコン管理を任されているものです。
2014年4月以降のXPサポート終了後も、社内のネットワークにXPパソコンを接続させてよいかを議論中です。
XPパソコンを使う目的は社内のファイルサーバーに接続するのみで、WAN接続（インターネット、メール）はしないという制限で、XPパソコンを使い続けてもよいかが課題となっています。
すべてのパソコンにはウィルス対策ソフトを導入しています。
XPパソコンがWAN接続しない条件であれば、社内LANに接続しても安全であるかということについて、ご意見を伺いたいです。

以下蛇足です。
XP上でしか動作しないアプリケーションがいくつかあり、そのため、Windows7パソコンでいちいちファイルサーバー内を検索等し、必要なファイルをUSBメモリなどでコピーし、編集後に、また、USBメモリ経由でファイルサーバーに保存するという効率の悪い作業が伴うため、慎重に検討したいと思っております。
個人的には何が起こるかわからないので、基本は接続しないのがよいのでしょうが、WAN接続しない、他のパソコン（Windows7等）という条件であれば、ある程度、安全といえるのでしょうか。

回答No.9

vaidurya · ベストアンサー

理論上存在しないものを探しても、答えは出ませんよ。

セキュリティアップデートが打ち切られるわけですが、それ自体が何であるかと言えば
「開発段階で発見できなかったセキュリティホールがあるという現実」なんです。

ですから、"セキュリティホールが無くなった状態"が観測されることはありえないわけで
随時更新し、露呈したセキュリティホールを塞いでいくしか無く
"既出のセキュリティホールはふさがった状態"としてのみ、限定的な安心が得られるわけです。

これがソフトウェア製品の必然で
アップデートを提供していないソフトは
シェアが低いなどの理由で、問題になりにくい場合などだけです。

WANに接続していなくても、TCP/IPによるネットワーク構成は
一般ユーザーからわかりやすいように設定されている部分の下には
基礎となる仕組みがあります。

同じLANの中にあれば、XP機側でWANアクセスが行われなくても
他のPCからはXPのIPアドレスに対してアクセスが可能です。

つまり、他のPCやルーター装置などの軽微なセキュリティ上の問題が
XPに飛び火することはありえます。そして、XPの重大なセキュリティホールによって
大きな問題になるようなこともありえます。

セキュリティホールを付いた攻撃についての記事を読んで
充分に読解できますか?

それができないのであれば、どこにどんなリスクがあるのか理解できません。

そのPC環境のどこについて調べ確認すべきなのかもわからないでしょうし
気になった所だけ、専門家に相談したとしても、見落としが無いとも限りません。

また、必然的に、重大な問題が起きてしまった後でも、原因は特定できないでしょう。

言い換えれば、何かが起きた時の原因はXPと考えられてしまうかもしれません。

たとえば、社内機密を持ちだした従業員がいたとしても
それをXPの問題と決めつけて、問題の従業員がそのままになるようなこともありえることですよ。

犯罪者があてにするようなものが置かれている事自体が問題ですよ。

お礼

お礼が遅れて申し訳ありません。
社内の者を説得する自信ができました。

ありがとうございました。

回答No.10

aki43

これはみな悩んでます　ですが　他の

個人的には何が起こるかわからないので、基本は接続しないのがよいのでしょうが
＞＞＞　　基本も何も接続は無理ですよ
安全と言える人は誰も居ません　　責任取り切れますか

お礼

お礼が遅れて申し訳ありません。
社内の者を説得する自信ができました。

ありがとうございました。

回答No.8

noname#222312

先ずXPでしか動作しないアプリというのは非常に怪しいです。
Win７なら普通に動作すると思います。

そもそも中小企業と謳う会社にお勤めで、PC管理をしているような人が今の今までXP機を引っ張っているというのが信じられません。
とっくにどこの企業でもXP機はメインから退き、イントラネットのみで共有しながらファイルやデータを移動しています。
ほとんどの企業では昨年までにWin７へ更新しています。
ただし企業ではWin８機は使い物になりませんので、普及率は非常に低いですね。
イントラネットならXP機でも安心かどうか以前に、もう既に快適には動作しないPCをこれ以上引っ張る理由はないです。
今までデータやアプリの移動や対策を怠ってきた代償は大きなものになると思います。

基本的に企業用PCは内部のデータをUSBメモリーなどで移動するというのはタブーです。
そういう事をするからデータ紛失や漏出が起きたりウィルスに感染するのです。

回答No.7

parts

あると言って欲しいのでしょうか？管理者なら答えは分かっているはずです。
それとも、ここの答えを見せて、納得して貰うつもりかな？

管理者ならば代替案はいくつ提示しましたか？
また、その社内では、ネットワーク接続反対と賛成がどれだけいるのでしょうか？
まさかとは思いますが、困るから何とかしてくれと全体に言われて、じゃあたぶん大丈夫だから出来るようにしようかななどと考えていませんよね。

管理者というのは、そういうレベルではなく、場合によっては相手を説得してでも、安全性や危険性を知らせる必要があります。IT管理者は、そのときに折れると、後からトラブルが起きたときに、責任はその管理者と会社のトップに向かいます。自分がその責任を一身に受けるぐらいの覚悟は必要です。

その上で本題です。

私なら間に、ゲートウェイ端末を1台追加して設置するかな？スイッチで、セグメントを分ける手もありますが、中小企業でそこまでするようなネットワークがあるとは思えませんので・・・。
要は、XPを残すなら、その1台（数台）＋1台～2台のクライアント（そのPCはゲートウェイ・トンネル以外では使わない、毎日真っ先にセキュリティソフトウェアの更新を行うことなどが条件です）を一緒に犠牲にするのです。

そのクライアントに、サーバ環境を構築し、ネットワークカードを1枚増設します。
標準のネットワークを、既存のネットワークに、増設したネットワークカードをXP端末（XPネットワーク）に繋ぎます。ファイル共有を掛けて、XP向けのデータはそのクライアントサーバに移して、検疫チェック後、XPに移して使います。PCが多数ある場合は、XP専用のネットワークと検疫体制を築くのが妥当です。通常は、ファイルサーバーを2系統（XP系ネットワークはUSB接続などをLanScopeなどで禁止する）、間に検疫と通信トンネルを行うサーバを置きます。（別にトンネルだけに使うのだから安いPCでも良い）
XPネットワークはインターネットには繋がず。USBマスストレージ機器は認識できないように、グループポリシーや、LanScopeなどの市販ソフトで制限します。

ちなみに、ルーティング装置などでこれらに不要な通信ポートをクローズできるならそれを設定するというのも大事です。

それから、XPクライアントは、持ち出したりしませんよね？
そういう使い方をする場合は、XPはネットワークに組み込まない方が無難です。
後は、企業ですからこんなことはしていないと思いますが、DHCP払出はしない。DHCPサーバは構築しないこと。固定IP/Host管理（AD管理推奨）にしましょう。

一般に管理者が出来る代案は、少しお金なりを掛けてどうにかするか、または周りが不便でもそれをやるように徹底するか、どちらかです。周りの意見に負けてなあなあやっていると、いざというときに、大変な事態になります。

お金や配線の問題などもありますから、それがどこでも誰でも出来るわけではありませんが、私の場合はこういう提案を出来る限り現実的な予算の範囲で行います。それが却下となったなら、周りにも、ではリスクが高いので、申し訳ないがそれに同意するのは困難ですと答えます。（やる場合の、責任は管理者として取れない旨をはっきりさせます）

それでも、上がやれと言うなら組織としては仕方がないでしょう。

今から出来ることはそう多くはないかもしれませんが、パソコンの入れ替えが伴うなら、古い処分対象PCでWindows7（Linuxの管理が出来るなら、それで構築するとライセンス代が浮かせられます）などを入れれば動くPCがあるなら、そういうPCでネットワーク階層分離を行った別環境を作るのも手です。

以上のようになります。
これが良い方法かどうかは分かりませんが、こうすればある程度の安全性が確保できるのではなく、こうするのが一番出来る手段である（自分が責任を取れる）と思うなら、そうすべきです。
どうやっても、ある程度にしかならないが、運が良ければ何とかなるだろうとおもうぐらいなら、やらない方がマシです。その構築では時の運ですから・・・。それは、管理者がいなくとも、大丈夫だったことでしょう。そうなると、管理者のいる意味がないでしょう。

回答No.6

bunjii

>XPパソコンがWAN接続しない条件であれば、社内LANに接続しても安全であるかということについて、ご意見を伺いたいです。
サポート終了のOSを使うことに問題はありますが、「XP上でしか動作しないアプリケーションがいくつかあり」と言うことの方が大きな問題です。
現在でもNECのPC-9800シリーズを利用したNC旋盤が稼働しているらしいです。
中古PC市場では業務用のソフトを更新できずに希少価値の古いPCを探す人達もいるようです。
最近のPCはWindows XPをインストールすることが困難なパーツ構成になっていますので故障時の復旧も困難になります。
Windows XP搭載のPCは修理用のパーツも順次無くなりますのでPCの利用形態を変える努力が必要です。
昔はPC内に保存されたデータやアプリケーションを壊すウィルスが蔓延したことがあります。
最近の傾向ではPC内のデータを盗み出す手法が横行しているようです。
これらの不正プログラムは種々のルートで入り込むため利用する人のモラルが最大のセキュリティホールになるようです。
従って、Windows XP以前のPCを使い続けることよりLAN内のセキュリティをどのように管理するかが問題です。
Windows XPが危険でWindows 7は安全と言うのは気休めです。

セキュリティ問題以前にWindows XPのPCを維持できなくなる時期が来ることを伝えるだけで良いと思います。
PCの更新も定期的に行わあれると思いますので、ハードウェアの更新に合わせてXPでしか動作しないアプリケーションの代替を進める努力が必要でしょう。

回答No.5

kita_s

私も部門のIT管理を行っております。

私の会社の場合、対策(ウィルススキャンは対策とは言いません。常識レベルです)してない状態での社内の共用サーバへのXP直接接続はNGですね(というかはじかれますが)。共有サーバに接続するのは、公式セキュリティホール基地をわざわざ作るようなものです。

ウチの場合は基本OFFLINE運用でLAN接続は不可ですが、どうしても接続しないといけない場合は、有償のPCセキュリティソフト(FFR yaraiとか、マカフィーが出してる奴)をウィルススキャンに追加してインストールする必要があります。

他の部門だと、ファイルサーバ接続は絶対必要（開発部門）とのことで、FWにてそのネットワークを社内ネットと切り離して運用するとかしてます。XPとサーバをFWで囲ってしまうんですね。

ウィルススキャンソフトや、インターネットセキュリティソフトは、OSのセキュリティホールを塞いでこそ有効なものなので、XPを使い続けるには、このセキュリティホールに対する対策が追加で必要だと思ってください。また、先日の冷凍食品メーカーの事件のように、外部からの妨害(インターネットやメール)は防ぎやすいですが、内部からの攻撃(自宅持込みのUSBメモリとか。禁止と分かっててもやる人はやります)と言うのは極めて防ぎにくいものだという事を気にしておいた方が良いです。

そして何より恐ろしいのは、感染が顧客側にまで影響を及ぼす事。外部に漏れればこの時代一気に広がりますからね。風評被害で会社縮小も妄想とは言ってられません。

お互い、この問題は頭が痛いですね。

回答No.4

neko-ten

USBメモリを介して感染の可能性があります。
また、現在のセキュリティソフトはオンラインでのアップデートが必須なので、オフラインだとパターンマッチ出来なくなり、効果がなくなっていきます。

基本的にセキュリティに関してはポリシーを設定していらっしゃると思います。
まずはそれに照らし合わせて、NGならば論外ということになります。
ここで判断がつかない場合は、回答があるとおりリスクと利便性の天秤です。
・・・情報に関しては、リスクをとるという考えは基本ないですが。

安全とか言ってる人がいますが、こういう人がいるからBOTネットはなくならんのです。
これらの問題は、被害が当人だけではないことです。
企業であれば情報漏えいは言うに及ばずです。

ちなみに、サポート切れてる2000とかを防護なしでほっとくとあっという間に感染します。

また、車のたとえとか、かなり認識が違う。
乗ってるのってないの問題じゃなく
「ガソリンがもれたりする不具合があっても一切サポートしません。爆発しても知りません。死んでも知りません。」
「修正するなら、自分で分解して、部品つくって、溶接して、修正してください。設計図はありません。解析は自分でしてください。それで壊れたり爆発したりしても知りません。」
「修理してくれる業者は存在しません。全部自分でしてください。」
って話です。
そのうえ構造としてはガソリン車とかの話じゃないわけです。

回答No.3

wormhole

>XPパソコンがWAN接続しない条件であれば、社内LANに接続しても安全であるかということについて、ご意見を伺いたいです。

社内LANがWANにつながっていて、XPパソコンは社内LANにつながっているのならXPパソコンとWANは経路があるので「XPパソコンではWAN接続しない」というのは意味がありません。

補足

回答ありがとうございます。

XPパソコンを操作するひとはWebブラウザを起動しない、メールをしないということらしいのですが、（物理的にはつながっているけど）そうするから安全でしょ、と主張する方がいるので。

回答No.2

noname#210617

ここで誰かが安全だと回答したからといって安全になるものではありません。

＞個人的には何が起こるかわからないので、基本は接続しないのがよい
リスクがあるのを理解しているのなら
＞2014年4月以降のXPサポート終了後も、社内のネットワークにXPパソコンを接続させてよいかを議論中です。
社内ネットワークに接続しないことのデメリットとリスクを天秤にかけて、そのリスクを”御社として”受け入れるかどうかを判断するということです。
他人の意見を聞く意味などあるのでしょうか。

補足

回答ありがとうございます。

ネットワークの知識はあまりないと思いますので、
参考になればと思い、質問させていただきました。
確かに、誰かに安全だと言われたからといって、安全ではないとは思います。しかし、その根拠というか、その場合の対策などが参考になればいいなと思ったりもしています。

回答No.1

yasuto07

考えすぎでは、、、サポート終了しようと、しないと、今でも、大したことしてないでしょう。

中古車と同じで、10年乗る人も20年乗る人も普通にいるわけです。XPというソフトも普通に今まで通り、存在しているだけのこと。

いつもと何ら変わらないのでは、と思います。