アナタの会社は大丈夫ですか？Windows Server 2003サポート終了に伴う危険性

Windows Server 2003は2015年7月にサポートが終了します。そのため、社内のネットワークがどのような状況で接続・運用されているのか精査し、サーバOSの移行に必要な工数を算出して7月までにどのようなワークフローで対応するかを考えなければなりません。

脆弱性の驚異

情報処理推進機構（IPA）の発表によると、2012年7月から2014年6月の2年間に公表された「Windows Server 2003」が影響を受ける脆弱性は231件、その74%にあたる170件が深刻度の高いレベルⅢといわれています。

OSの脆弱性を放置すると、様々なマルウェアの感染やクラッカーによる侵入など、致命的な被害を受ける可能性が非常に高くなります。企業の基幹システムとして稼働しているケースが多い「Windows Server 2003」が、万が一、悪意ある攻撃の被害を受けた場合、その被害は計り知れません。

MM総研のリポートによると、2014年10月末時点で約26万5千台が「Windows Server 2003」を搭載、内約22万3千台が中小及び中堅企業で運用されているといわれていますので、該当するOSを使用しているサーバは、2015年7月までに最新の「Windows Server 2012 R2」にアップグレードするか、もしくはこれを機にサーバ運用自体を再考する必要があります。

このまま延長サポートが終了すれば、日本国内の22万台以上のサーバが脅威に晒されることになります。2010年7月にサポートが終了した「Windows 2000 SP4」をインターネットに接続したことで、1分で583個のウィルスに感染したという検証動画が公表され、衝撃を与えたことはまだ記憶に新しい事実です。

移行の障壁になっているのはコスト・技術

では、サポート終了がわかっていながら、なぜ移行が進まないのでしょうか？

サーバのOSをアップグレードするには、OSと人件費だけでなく、様々なコストがかさむため、特に中小企業ではその予算を捻出できないケースがあるのです。

まず、「Windows Server 2012 R2」は「Windows Server 2003」とシステム上、大きな違いはそれほどありませんが、必要とするハードウェア要件は大きく異なり、既存のサーバをそのまま流用できないケースが多々あります。このため「Windows Server 2012 R2」を最適に運用するハードウェア要件に対応するには、かなりの予算を必要とします。

更に、16bit/32bitのアプリケーションを現在の64bitに対応させる必要や、運用中のソフトウェアの互換性、「Windows Server 2003」に依存したソフトウェアの問題もあるため、単純なアップデートは完了できず、コスト負担が増加するのです。

また、「Windows Server 2012 R2」にはクラウド化などが適用される前の「Windows Server 2003」と異なり、様々なハイエンド機能が強化されています。この機能を安全に運用するには、システム担当者が最新のサーバ運用技術を習得する時間を必要とします。そのため、延長サポートに頼って課題を後回しにしてしまい、終了ぎりぎりまで移行を進めなかったケースが多く見られます。

外部に非公開のサーバでも危険！

外部に公開していない社内専用のネットワークだから、サポートが終了しても大丈夫だろうという考えは非常に危険です。XPサポート終了問題の際は、非常措置として、PCを一時的にネットワークから切り離し、オフラインで使用することでOSを移行するまである程度のセキュリティを維持することが出来ましたが、常にサーバをネットワークから切り離すわけにはいきません。

社内のPCすべてを外部ネットワークに一切接続しないということはほぼ不可能であることから、マルウェアの感染やクラッカーなどによる悪意ある攻撃を受けることが懸念されます。

サポート終了は2015年7月！IT担当者は今すぐ決断を！

移行までに残された時間はあと3か月、遅くとも4月中には決断して対処しましょう。

サーバOSの移行にかかる手順や費用は、そのサーバの運用状況によります。16bitのソフトウェアがなく、OS依存の組込ソフトウェアが運用されていない社内の基幹システムのみの場合は比較的容易に移行が可能です。しかし、古いOSから移行を重ねてきたシステムの場合、全く違うシステムへの刷新や移行を検討する必要があります。

また、現在も年間50回or件の脆弱性対応が行われているOSを、サポート終了後も運用することは危険極まりなく、ウィルス対策ソフトでは対抗し得ないことから、万が一、データの流出などのトラブルに発展した場合のリスクと損失を改めて社内の共通認識として持ってもらうことが必要です。