新型コロナウイルスも、コンピューターウイルスも、目には見えない厄介な存在であるだけでなく、組織的な対応の巧拙が、社会やビジネスにとてつもない影響を及ぼすことは、2020年を通じて身に染みたことでした。個人的に大変な思いをした人々も、想像できないくらいの歴史的な人数だったと、理解しています。
江戸時代に、武士や僧侶にだけですが、「遠慮」という外出自粛の刑罰があったそうです。ビジネスのチャレンジを支えるセキュリティーの目線からは、同じ「遠慮」でも、行動を制限するという意味の遠慮ではなく、「遠慮近憂」の遠慮を積極的に意識すべきではないかと思うことしきりです。「遠き慮（おもんぱかり）なければ必ず近き憂（うれい）有り」ということを教える論語の中の含蓄のある言葉からきた四字熟語だそうです。確かに、先回りしてセキュリティーの将来課題を考えておかないと、ビジネスのスピードに遅れるだけでなく、悪しき連中の後塵（こうじん）を拝することになってしまいがちです。
2021年も1カ月が過ぎて、新年度に向けての行動計画立案に余念ない方々も多いと思います。まずは、厄介な脅威が襲来して来そうな5つの鬼門を、Steve DurbinのForbes誌への寄稿から様子をうかがってみたいと思います。
2021年に波紋を広げる5つの脅威ベクトル
Steve Durbin, 情報セキュリティフォーラムCEO
Forbesビジネスカウンシル会員
Source: Forbes
6 Jan 2021
2020年は、感染症の大流行が進行するなかで、あらゆる企業がリモートワークの導入サポートに奔走した年であり、サイバー犯罪の増加はある意味不可避でした。また、データは、とどまるところを知らない爆発的な増加を続け、一方、ビジネスにおける、データ作成、共有、保存の方法は、大半が大きく変貌しました。新たに出現してきたビジネス環境を安全に維持するには、迅速なイノベーションを必要としましたが、先見の明のある企業は、インフラやポリシーを見直す好機をつかみました。
今はすすを払って、新たな一年に目を向ける時です。適切なレベルのレジリエンス（リスク耐性）を実現するために、セキュリティーと経営目標が結び付けられた、ビジネスに血を通わせるセキュリティー戦略が求められているのは明らかです。また、それがうまくいくためには、事業のあらゆる面において、今まで以上にしっかりとビジネスと歩調を合わせて関わっていく必要があります。入念な準備のために、まずは2021年に直面する主な脅威を明確に把握しておかなければなりません。
1. サイバー犯罪
パンデミックの陰に隠れがちでしたが、2020年には、医療機関や政府部門を狙った、さもあざ笑うかのようなランサムウェア攻撃の波が押し寄せました。ランサムウェアは進化しつつ発展しており、犯罪者はランサムウェアをサービスとして提供したり、展開に技術的スキルが特に必要ではないキットに仕立ててダークネット（闇市場）で売ったりしています。今後数カ月の間に、ランサムウェアによる攻撃はさらに増えることが予想されます。
フィッシング技術がますます巧妙になり、人々の疲労や精神的ストレスが増えたことと相まって、ますます多くのシステムにマルウェアが忍び込めるようになりました。標的型攻撃は、パンデミック関連のテスト、アラート、医療ニュース、政府支援金、党派的な政治議論などに便乗して、クリックしてはいけない時にクリックさせ、マルウェアをダウンロードさせています。
2. インサイダー
企業は常に、インサイダーによる大きなリスクにさらされてきました。悪意か過失か偶然かによらず、インサイダーは王国の鍵（全面的な管理者権限）を手にして、企業に壊滅的なダメージを与える可能性があります。コンピューター疲れ、画面と向き合う果てしない時間、そしてストレスのまん延する環境が、偶発的なインサイダー事件の急増に寄与しています。間違ったことをしようという気がなくても、慣れない環境で業務を行い、気が散るのにも耐えて、ストレスや疲労を抑え込まなければならないためか、人々は重大なデータ漏洩（ろうえい）につながるような犠牲の大きいミスを犯しやすくなっているのです。
厄介なのは、偶発的なインサイダーの存在に気付くのは難しいということです。どうやって被害が出る前に、そうした人間を発見するというのでしょうか？ インサイダーの脅威を打ち消すためには、セキュリティー手法の中でも、もっと人間中心のアプローチを取ってポリシーの有効性を見極め、人事部門と協力して取り組むべきかもしれません。とはいえ、ここでは、慎重に物事を進めて、会社と従業員との間に築き上げた信頼関係を損なうことがないようにしなければなりません。
3. デジタル世代
次の世代が働き手として、従前にもまして分散化した職場で中核となっていくなかで、セキュリティーチームはポリシーやプロセスを再考して刷新する必要があります。彼らデジタル世代は、幼い頃から自由に情報を共有し、ソーシャルメディアでコミュニケーションを取り、テクノロジーを気軽に取り入れてきています。
セキュリティーポリシーに従うのが苦手な従業員をだまそうと、高度なソーシャルエンジニアリング技術を駆使するサイバー犯罪者達に対抗するには、セキュリティー意識の醸成が不可欠です。若い働き手の弱みに付け込まれるのを防ぐためには、彼らが使うビジネスツールや、コミュニケーションチャネルに沿ったトレーニングや意識向上プログラムが必要なのです。
4. エッジコンピューティング
エッジコンピューティングは、企業にとって実に魅力的なアーキテクチャの一つですが、攻撃者にとって重要なターゲットでもあります。広範囲に及ぶリモートワークをサポートし、クラウドサービスもさらに多用し、5Gなどの新技術も採用して、エッジコンピューティングの可能性を最大限引き出すことは、攻撃チャンスを増大させ、探査したり侵入したりする攻撃面を一層広げてしまうことでもあります。
セキュリティーチームは、拡張ネットワークに接続されている全てのデバイスを的確に把握する必要がありますが、ここにはいくつもの大きな課題があります。そこで、死角を見つけて除去することに焦点を当てるのではなく、初めからインフラストラクチャーの中核にセキュリティーを組み込むことに力を入れていく必要があります。データの完全性が失われないようにするためには、慎重に設計されたセキュリティーアーキテクチャが必要なのです。
5. デジタルトランスフォーメーション
多くの企業で、2020年の出来事について議論や評価が始まっていますが、パンデミックの間に採らざるを得なかった仕事のやり方について、いずれは業務スタイルとして落ち着くことになると悟る会社もあるでしょう。そうとなれば、かなり複雑なデジタルトランスフォーメーションが必要でしょうし、さまざまな種類のシステムの導入や、導入済インフラの一部再構築も必要になるでしょう。こうした変革は社内だけではできません。サプライチェーンのパートナーたちを巻き込み、複数のシステムにまたがるデータも統合しなければなりません。
投資額が不足している状況の下、レガシーシステムを前提に仕事をするのは、非常にリスクが高くなる可能性があります。デジタルトランスフォーメーションの計画とその結果としてのインフラ展開の全ての段階で、情報セキュリティーが確実に組み込まれるようにするには、セキュリティーの専門家が最初から関わることが重要でしょう。
サイバー犯罪者は2021年も、いつでもどこでも企業のシステムを攻撃し、侵入してくることが予想されますので、常にセキュリティーを念頭に置く必要があります。セキュリティー意識の在り方を再デザインし、ポリシーを刷新するとともに、事業のエッジコンピューティングやデジタルトランスフォーメーション採用を支援するアプローチも加えることで、目前の大きな脅威をしのぎつつ、企業が真のレジリエンスを構築することに貢献できるでしょう。
5つの鬼門からビジネスリスクを「遠慮」してみましたが、いかがでしょうか。具体的に自社にはどういう形を取ってリスクとして現れるのか。対応策に、もう少し具体的なシナリオプランニングをしたい、と思われた方には、耳寄りな情報があります。ISFレポート群のフラッグシップの一つ「脅威の地平線」の2021年版フルレポートが一般公開されました。メンバーには2年前の1月に共有されたものですが、まだまだ参考になる部分も多く、ホームページにアップされて以来、世界中でダウンロードが相次いでいますので、ご案内します。
Threat Horizon 2021: The digital illusion shatters（ダウンロード）
いずれにせよ、備えあれば憂いなし、となるには、会社全体に「セキュリティーマインド」が浸透していく必要がありそうです。とは言っても、国内外のさまざまな事業や職掌の組織文化の違いを思うと、通達やe-Learningだけでは抽象的過ぎて、成功はおぼつかないでしょう。
そこで、関係者が体や手を動かす演習に期待が集まります。そのためには、経営者や部門長の理解が必要ですが、どういう効果があるのか、説得を重ねるしかありません。セキュリティー専門誌のDarkReadingに寄稿されたブログをご参考に供します。
サイバーセキュリティー演習の10の効能
Source: DarkReading
06 Jan 2021
By Steve Durbin, ISFマネージングディレクター
自社の強みと弱みの把握には、定期的なセキュリティー訓練に勝る手立てはありません。
情報の安全性を確保するというのは、たとえ潤沢なリソースがあったにせよ厄介な仕事です。このところ、任天堂、ツイッター、マリオット、Zoomなどの企業が見舞われたデータ漏洩が耳目を集めましたが、サイバー犯罪者から守られている企業などないことは明らかです。そこで大抵の企業では、リスク軽減やサイバー攻撃のダメージ緩和を図って、防御策を講じたりポリシーを策定したりするのですが、多くは防御力の徹底検証をしていません。
サイバーセキュリティー演習は、具体的なサイバー攻撃シナリオを模したもので、実戦における貴重な洞察を得るのに役立ちます。基礎的な小規模・短時間の演習から、複雑で大規模・長期的な攻撃テストまで、サイバーセキュリティー演習は、自社防御戦略の有効性を検証し、応急手当が必要な弱点を浮き彫りにします。
自社の強みを見極める
その重要性にもかかわらず、（同業他社比較を可能にする）ISF Benchmark の回答者の74％が、開発中の重要システムをサイバー攻撃のシミュレーションや演習の対象としていないと回答しています。これは、サイバーセキュリティー演習は時間がかかり、実施費用も高くつくだけでなく、システム運用に支障をきたす可能性があると認識されているせいでしょう。もしも適切に計画を立てられていたならば、そうはならないでしょう。サイバーセキュリティーの演習には、実に魅力的なメリットがあるのです。10ほど事例を考えてみましょう。
サイバーセキュリティー演習というと、自社の弱点や問題点を見つけることに重点を置くことが多いわけですが、うまく機能している点を見極めることにも大きな価値があります。安定しているシステム構成は他の場所でも実行でき、すっきりしたポリシーはテンプレートとなり、見習うべき従業員は他の範にもなります。
対応力を上げる
おそらくサイバーセキュリティー演習の最も明白なメリットは、いずれ起こり得る攻撃に備えて、対応を強化する機会となることでしょう。演習を通じて、防御戦略の裏にある理論をエビデンスで補強するかもしれないし、全く新たなアプローチの必要性が示されるかもしれません。いずれであっても、改善へと駆り立てるきっかけになります。
人を育てる
実地体験に勝るものはありません。サイバーセキュリティー演習は、従業員が攻撃に対処するための実践的な体験の機会であり、セキュリティー認識を高めて、正しい対応方法をすっかり学ばせることができます。昔から学びは実戦的であればあるほど、より効果的なのです。
費用と所要時間の輪郭を示す
攻撃を念頭に置いて、さまざまなシナリオに対応するために必要なリソースや、攻撃を受けた後の通常業務の再開までに要する時間など、多くの仮定や見積もりが作られます。サイバーセキュリティー演習を重ねると、所要コストと時間が一層はっきりと示されるので、リジリエンスを高めるための確かなデータとして、また財務的な手当ての根拠として利用できるのです。
社外リソース不足を割り出す
社外の支援を仰がずにあらゆる攻撃シナリオに対応できるチームを構成、維持するなどということは、どんな大企業であったとしても、非現実的と言わざるを得ません。どのような攻撃の場合に外部支援が必要なのか。すぐさま外部人材を確保できるのか。いくらかかるのか。セキュリティー演習は、こうした問いに答えるのにも役立つのです。
基準をまとめる
戦略を決定するに際しては、いかに迅速に攻撃のさまざまな局面に対処できるか、どの程度効果ある防御行動をとれるか、について期待値を設定することが極めて重要です。しかしながら、戦略が期待値に達していると証明できるのは、攻撃の発生時か、セキュリティー演習の実施時だけ。その基準は、今後の戦略を形成し、取るべき道筋の指針となるはずです。
自社の弱点を特定するサイバーセキュリティー演習は、ネットワーク上の技術的脆弱（ぜいじゃく）性やセキュリティーコントロールの弱点など潜んでいる問題を顕在化してくれます。トレーニングの改善や人材投入の必要性が分かることもあるでしょう。どんな弱点があるかを特定することで、是正計画を策定して、すぐさま改善に取りかかることができるのです。
ポリシーを更新する
現在のポリシー、基準、ガイドラインが実際には使われていないのであれば、見直す時期にきています。効果的なインシデント対応ポリシーによって、サイバー攻撃による被害や業務中断の顕在化を劇的に減らすことができます。定期的なポリシーの見直しは重要であり、セキュリティー演習は、見直しの指針に有用なエビデンスを提供してくれるのです。
違反リスクを見つける
法律、規制、または契約要件に違反した場合に発生するコストは、たとえ意図的でなかったにせよ莫大（ばくだい）です。コンプライアンス問題の所在を掘り起こすのは困難ですが、だからと言って問題が存在しないわけではありません。サイバーセキュリティー演習は、違反や違約が起こる領域を見つけて修正する機会となり、不必要な法的・金銭的なリスクを避けることを可能にします。
脅威への警戒心を高める
新入社員から役員に至るまでの役職員に、サイバー攻撃の性質や脅威の規模についての認識が欠けていると、企業は壊滅的な事態に陥る可能性があり得ると言えます。リスクを認識せず、事態に応じた対応をしないとなると、決まって問題を深刻化させ、苦境をさらに悪化させてしまいます。
継続は力なりです。リハーサルを繰り返すことが、本番に向けた準備をする上で重要であることは常識といえるでしょう。サイバー攻撃は避けられませんが、どう対応するかでビジネスへのインパクトが決まってしまいます。サイバーセキュリティーの演習は、企業全体の意識と理解を高めるだけでなく、防御力を確かめ、強化すべき長所と直すべき弱点を特定するだけでなく、貴重な実践経験を提供してくれるのです。
さて、サイバーセキュリティー演習の企画・実施について、経営から許可を得て、予算を確保することができたとしても、実行はなかなか難しいのが実情です。ISFにも、演習に関しての詳細なレポートやツールがありますが、メンバーの中には、ISFコンサルティングサービスを活用して、熟練の信頼できるコンサルタントに手伝ってもらう企業も少なくありません。
ベンチマークも、演習も、企業の弱みがすっかりあぶり出されてしまうので、関連データの秘匿性については、十二分な配慮が必要です。その点、国や利益団体から独立した、オーナーとなる株主もいない民間非営利団体（NPO）であるISFによるコンサルティングは、価格メリットだけでなく、安心して外部委託ができる候補の一つとして、近年評価を高めています。
もしもご関心がございましたら、小職までお気軽にお問い合わせください（hiro.oharaあっとsecurityforum.org）。
