IBM i セキュリティに関する進歩と落胆、Fortra社調査
IBMによるデフォルト構成の厳格化や、一般的な意識向上のおかげで、IBM i のセキュリティの状況はいくぶん改善していると、Fortra社は2026年版の「 State of IBM i Security（IBM i セキュリティの現状） 」レポートで述べています。しかし、セキュリティの他の側面では改善がほとんど示されていないことから、Fortra社のIBM i セキュリティの専門家の間では、落胆した雰囲気も漂っているようです。
23年目となる「 State of IBM i Security 」レポートで、 Fortra 社は163のIBM i サーバー区画のセキュリティ構成を分析しています。これらのデータは、IBM i システムに対するセキュリティ スキャンの実行を許可したか、またはセキュリティ業務をForta社に委託した、Fortra社の既存顧客および潜在顧客から得られた匿名の現実世界のデータです。
「 State of IBM i Security 」レポートのデータは、毎年、無作為に選ばれた異なるシステムから得られたものですが、それでも全般的なセキュリティの状況について幅広い結論を導き出すことができます。それこそが、Fortra社が目指していたことに他なりません。「この調査の結果は、調査回答者群全体にわたって、3年連続して全般的にセキュリティ態勢が改善していることを示しています」とFortra社は調査で述べています。
レポートで注目すべき点の1つは、システムの87%がQSECURITYレベル40で稼働していることです。IBMは、IBM i 7.5の提供以降、セキュリティ レベル40を有効化してIBM i サーバーを出荷しています。これは、レベル30におけるセキュリティ脆弱性が報告されたためです。また、IBMは、セキュリティ レベル20の使用をインプレース アップグレードのみに限定し、そのレベルに戻す機能を削除しています。
2026年版 IBM i セキュリティの現状調査
Fortra社のプリンシパル セキュリティ サービス コンサルタントのAmy Williams氏は、この調査結果を称賛しています。「IBMは、デフォルトでのシステムのセキュリティに関してより厳しく対応するようになっていると思われます」と、このセキュリティ レポートに関するFortra社のウェビナーで彼女は述べています。「以前ほど、顧客任せではなくなっています。これは、実に好ましい姿勢であり、今後はそうした方向性で進められると私は思います。」
しかし、世界中のIBM i サーバーに関して言えば、万事順調というわけではありません。たとえば、パスワードについてです。Fortra社のレポートでは、ここ数年間、進歩が見られていましたが、今年は明らかな状況の悪化が見て取れました。とりわけ、使用されているデフォルト パスワードの数です。
Fortra社の調査では、システムの10%にはデフォルト パスワードがあることが明らかにされています。これは 2025年の調査の8%から増加しています。一方、31%には、デフォルト パスワードのままのユーザー プロファイルが30以上あり、これは昨年の36%から減少しているということです。しかし、デフォルト パスワードのままのプロファイルが1,000以上あったシステムは49あり、11,000以上あったシステムも1つありました。しかも、そのうち80%は有効化されていたということです。
IBMは、より厳格なパスワード規則を設定および適用する権限を管理者に与えており、それを活用している管理者もいるようです。たとえば、Fortra社が調査したシステムの32%は、PCI DSS 4.0要件を満たす、12文字の最小パスワード長を適用していました。しかし、最も多かった最小パスワード長は8文字で、これは厳格でないNISTの要件は満たしており、ぎりぎり及第点です。一方、19%が6文字の最小パスワード長を適用していますが、これはどの標準も満たしません。1文字だけのパスワードを適用しているシステムは、5つありました。昨年は、1つのみだったので、増加したということです。
Fortra社のプリンシパル ソリューション エンジニアのSandy Moore氏は、パスワードのある側面では真の進歩が見られたものの、別の側面で顧客は後戻りしていると、もどかしい思いを吐露しています。
「パスワード規則の使用に関する今年のデータで見られた大幅な増加にもかかわらず、プロファイルでデフォルト パスワードを使用しているシステムの数は最大でした」とMoore氏は述べています。「これは間違いなく、最も簡単に修正できることの1つです。そして、おそらくは、まず行うべきことの1つであり、システムにおける認証にとっての最大のリスクの1つでもあります。」
特殊権限に関しては、良い面も悪い面も混在しているようでした。これは、セキュリティ関係者にとって絶え間ない悩みの種となっています。良い面としては、*ALLOBJ権限を持つユーザーは8%のみだったということです。これは昨年の11%から減少しています。その傾向は何年かにわたって続くとMoore氏は述べています。
「約6年前に、大きな急増がありました。誰もが*ALLOBJを与えられていて、手の施しようがない状況でした」と彼女は述べています。「2023年にはすぐに元の水準に戻り、その後の数年間は、多少の変動のようなものが見て取れます。それらのプロファイルがデフォルトでそれらのシステム上でどのように作成されているかについて新たなハイライトを当てたことについて、私はIBMを少し評価しようと思います。」
悪い面としては、他の特殊権限の使用が増加したということです。平均的なシステムにおける、*JOBCTL権限を持つユーザーの数は889で、*SAVSYS権限を持つユーザーの数は649でした。両者とも2025年から大幅に増加しています。
「*JOBCTLと*SAVSYSが上位2つを占めていますが、これは実に大変なことです」とWilliams氏は述べています。「*JOBCTLがシステムを終了させることができることは、あまり知られていません。それはやはり危険です。*JOBCTL権限は、誰にでも渡されるべきものではありません。ユーザーが行う必要があることを確実に行えるようにすることができる方法は他にもあります。」
*AUDITおよび*SECADMに対してより多くの注意が払われていることは良いことだとWilliams氏は述べています。「しかし、管理者およびIBM CE（CEがいる場合）以外は、誰も*SERVICE特殊権限を持つべきではありません。」
特殊権限を持つユーザーは管理者のみであるべきで、その上で、それらにアクセスするのは限られた場合のみとするべきだとWilliams氏は述べています。
「一時的な権限昇格を行い、必要がある場合だけ管理者プロファイルを付与し、日常的なタスクには通常のプロファイルを使ってもらうことを検討してみてください」と彼女は述べます。「これらの特権を取り除けば取り除くほど、特権を本当に必要とするユーザーは急速に少なくなることが分かるでしょう。」
Fortra社のレポートでは、システムの73%が、出口点に出口プログラムを導入していることが明らかにされています。これは、FTP、ODBC、およびTCP/IPのようなネットワーク プロトコルを介してIBM i サーバーへの外部アクセスを可能にします。これは、昨年の58%、2024年の35%から増加しています。また、最も使用されることの多い27のネットワーク出口点がすべてカバーされているシステムの数も大幅に増えています。Fortra社は、今年は、ありとあらゆる種類の出口プログラムが導入されているシステムは31%だったとしています。これに対して、昨年は28%、2024年はわずか7%でした。
当然のことながら、悪魔は細部に宿ります。そして、出口プログラムのケースでは、悪魔は正確さの欠如を悪用してIBM i サーバーを侵害するかもしれません。
「この1年の間で、出口プログラムですべてカバーされているシステムは、ほとんど変わりありませんでした。しかし、私が気になったのは、それが必ずしも適切に構成されているとは限らないということです」とMoore氏は述べています。「その出口プログラムが適切に動作していることを確認したいと思うでしょう。それは、アクセスを監視し、誰かがシステムにアクセスしているかどうかを判定し、さらには、どのアクセス ポイントを通ってきたかに基づいて、その人が行えることを制限していることもあります。」
組み込みのセキュリティ監査ジャーナルの使用はほぼすべてのシステムに広がっており、システムの96%が、監査ジャーナルをオンにすることができるようになっています。これは昨年から1パーセント ポイント増です。これは良い知らせです。監査ジャーナルをオンにすることは、IBM i ユーザーが自らを守ることができる最も簡単な方法の1つであるからです。
「監査ジャーナルの強みは、IBM i 向けの組み込みのセキュリティ ログであるということです」とWilliams氏は述べています。「余分なツールを購入する必要はありませんし、余分なソフトウェアを購入する必要もありません。それが組み込まれているのは、IBM i で起こるありとあらゆることを記録するためです。実際にIBM i で何かが起こった場合に、それは、間違いなく、フォレンジック分析で使用されるツールです。誰があのライブラリーを削除したのか、確かに昨日はそこにあったあのプログラムを誰が削除したのか知りたいという場合に、監査ジャーナルを利用することで、そうした情報について調べることができるようになります。」
監査ジャーナルに関する問題は、実際に情報を分析することが困難になり得るということです。専門的なスキルを持つスタッフや、データを解読するための特別なソフトウェアの購入が必要となる場合もあるためです。しかし、それは、必要に応じて確保すればよいものです。監査ジャーナルからの実際のデータがなければ、権限のないユーザーがどのようにシステム内を移動したのか追跡できる可能性は、「ほんのわずかにある」か「まったくない」かのいずれかです。
ウイルス スキャンに関しても、良い面と悪い面が混在していました。Fortra社は、システムの54%が、オープン時にリアルタイムでファイルをスキャンするように設定されていることを明らかにしています。これは、IBM i でアンチウィルスを使用するための推奨方法です（他の方法はバッチ スキャン）。昨年の62%からは減少していますが、それでも41%のみだった2024年からは確実な増加です。
オープン時にウイルスをスキャンするようにシステムを構成するのは望ましいことであるものの、アンチウィルス エンジンが実際にインストールされていることも大事なことだとMoore氏は述べています。「システム値はウイルス スキャン向けに設定されていても、スキャンを行う実際のプログラムが導入されていないといったズレが生じているケースもいくつか見られます」と彼女は述べます。「それは、照明のスイッチを入れたものの、その照明器具に電球が取り付けられていなかったというようなものです。」
セキュリティに関する詳細情報に注意を払わないでいたせいで、IBM i のショップが自ら墓穴を掘ることになりかねない状況には様々なものがあります。
たとえば、ある顧客は、すべてを適切に処理していて、監査ジャーナルを機能させていると思っていたものの、QAUDCTLシステム値が*NONEに設定されていることには気付いていなかったというケースです。「レベル40より低いレベルで稼働している場合は、何かがシステムで起っても、そのことに気付かない可能性もあります」とWilliams氏は述べています。
同じような状況は、無効なサインイン試行に関しても起こることがあります。システムへのアクセスがブロックされる前の無効なサインイン試行の回数を、IBM i 管理者が最初に3回に設定していたとしても、他の誰かが、25回許容されるようにユーザー プロファイルを変更しているかもしれないとWilliams氏は述べています。また、管理者が、数字および特殊文字を含んだ厳格なパスワードを要求するようにシステムを設定していたとしても、最小パスワード長が1文字となっている場合もあるかもしれません。
「1つの設定だけではなく、それらの設定をすべて必ずチェックすることが大事です」とWilliams氏は述べています。「それらは、システム値を見るだけでは必ずしも確認できるわけではないズレを生み出すこともあり得るため、常にユーザー プロファイルに注意を払うようにすることは本当に重要です。」
全般的に見て、「2026 State of IBM i Security」は、良い面と悪い面が混在しているようです。進歩している領域もあれば、もどかしくも後戻りしている領域もあります。
「20年以上にわたって、この調査を行ってきましたが、毎年、同じ話をしているように感じるときがあります」とMoore氏は述べています。「結局のところ、戻って来るのは、実際にそうしたより優れたIBM i セキュリティを実現することを阻害している主な要因が何なのかということです。私たちの妨げになっている、それを実現させないようにしている何らかの要因があるはずです。」
Williams氏は、企業統合が1つの要因であるかもしれないとの考えを示しています。
「私たちは、買収した企業でIBM i が使用されているものの、それまでIBM i は目にしたこともなかったという企業ともたくさん仕事をしています。また、私たちの顧客には、IBM i を利用している様々な企業がいますが、彼らは実に様々なやり方でそれらを使用し、それらを構成しています」と彼女は述べています。「そのため、それらすべてをまとめて、IBM i を担当したことのないまったく新しいチームに教え込むのは大変なことです。そして、そのようなケースは、年々、ますます増えているように思われます。」
2026年版の「 State of IBM i Security 」レポート、およびMoore氏とWilliams氏によるFortra社のウェビナーは、 こちらからアクセスすることができます。
