第2回 テクノロジーの変化がもたらす脅威

（写真はイメージ：GETTY）

2回目となる今回は、Forbesに掲載されたISF幹部Steve Durbinによる、テクノロジーの変化がもたらす脅威の具体例と、それに対する備えに関するエッセーです。

以下、Forbes 2020年8月11日から（訳：小原）

5Gはメリットをもたらす一方、セキュリティーへの新脅威を産む

「5G」と総称される、第5世代モバイルのネットワークやテクノロジーの本格展開が続いており、ビジネスの在り方を根本的に変えようとしています。今までにない驚異的なスピード、レイテンシ（待機時間）の大幅な削減、および新帯域での処理能力が、従来と桁違いのリアルタイム接続を可能にするのです。スマートシティ、自律走行車、そして拡張現実は、またとない好機を提供することから、政府からも企業からも5Gテクノロジーに対する莫大（ばくだい）な投資がなされ、成長し続けているのは当然と言えましょう。

そのようなテクノロジーがもたらす明るい未来に膨らむ期待の中で、新たに潜む重大な危険性が見過ごされています。

デジタル接続性が従来にない水準に達し、IoT（モノのインターネット）用デバイスのまん延で、「忘れられた」モノのインターネットが増えるにつれて、企業は数々のセキュリティー上の深刻な課題に直面するでしょう。サイバーセキュリティーとテクノロジーの専門家として、私自身は、拡大した攻撃対象、機械学習プログラムの改ざん、そしてマルウェアが引き起こす脅威について、各社で検討を始めることが極めて重要であると考えます。

インフラストラクチャーの保護

私見になりますが、企業もビジネスも個人も、早晩、5Gネットワークに依存した生活を送ることになるでしょう。そうなると、5Gの技術やインフラストラクチャーが、外国政府やサイバー犯罪者の主要な標的となるのは避けられません。政策的に保護主義を取ったからといって、諜報行為の懸念がなくなるわけではありません。この重要なインフラストラクチャーを構成する技術の「不確実性」という問題は、ビジネスリーダーにとって大きな懸念材料となるに違いありません。

デジタル接続性の劇的な向上によって、新たなビジネス機会がもたらされる一方で、潜在的な攻撃対象が大幅に増えることにもなります。何百万もの5Gの新設アンテナにより、ますます多くのデバイスやセンサーが接続されることで、新しい5Gネットワークはソフトウエアへの依存度が高くなります。それは、あらゆる犯罪者が悪用できる、新たな侵入経路、危険性のある脆弱（ぜいじゃく）性、あるいは弱点が急激に増えるということを意味します。

5Gが、高速化と低レイテンシという形でもたらしてくれるメリットは全て、ハッカーにとってもメリットとなり、より迅速で大規模な攻撃を可能にさせるのです。

新たな脅威の地平

5Gネットワークでのなりすましや妨害行為は、サプライチェーンやそれが依存するインフラストラクチャーに大きな混乱をもたらす可能性があります。ネットワーク組み込み（IoT）デバイスを標的にすることで、攻撃者は、極めて重要なネットワークを邪悪な意思の支配下に置くことができます。高速化、帯域幅の拡大、低レイテンシ化によって、分散型サービス拒否（DDoS）攻撃の成功度も高まります。多くの旧来の攻撃手法が、来る5Gによって新たな命を吹き込まれることで、ビジネスへの影響は壊滅的なものとなる可能性があるでしょう。

私見ですが、機械学習に依存する企業が増えるにつれて、攻撃者もニューラル・ネットワーク（神経回路網を模したネットワーク）を突破して、機械学習システムを私利のためのロジックに覆すだろうと予想します。機械学習を操ることで、連中は私腹を肥やすことも、正体を隠すことも、詐欺もでき、やがては大混乱の種をまくこともできるでしょう。また悩ましいことに、寄生マルウェアが、5Gのネットワークやシステムに巣食って処理能力を奪うことで、水道や電力などの重要なサービスの性能低下や停止の可能性すらあり得ます。

いかなる5Gの導入に際しても、関連リスクの適切な評価を行い、セキュリティー事故の防止、監視、および修復計画も備えておく必要があります。

危機管理と事業継続性

経営責任者は、自社にとっての5Gの潜在的な危険性を考慮し、詳細なリスク評価を行い、レジリエンスを確保する対策を講じておく必要があります。まずは以下のチェックから始めましょう。
・5Gのプロバイダー候補者は、誰か？
・どのようなサービスレベルを保証できるのか？
・どのような技術的管理策を提供しているのか？
・自社5Gネットワークの継続的な安全評価と保守に、誰が責任を持つのか？

そして、さまざまなシナリオに対応できるよう、危機管理計画を全体的に刷新します。必要な視点は、コミュニケーションも責任も切れ目なくきっちりつなげることです。5G危機対応の適切な手順についての、従業員教育も含めます。起き得る5Gの問題を割り出して、事業継続のために必要な答えを出します。その上で、攻撃を受けた場合の混乱を最小化する計画を策定するのです。

弱点となる可能性は、漏れなく探し出して、強化策を講じましょう。機械学習やニューラルネットワークが安全であり、悪意を持った社外の第三者によって容易に操られないことを保証します。この脅威レベルを評価して緩和できる専門知識を、社内に備えていることも確認が必要です。安全性が保証できないシステムについては、自社ビジネスにとって重要かどうかの判断もする必要があるかもしれません。

評価の継続とモニタリング

セキュリティーの確保は終わりのない仕事であり、そのために効果的な監視や監督は不可欠です。定期的な脆弱性スキャンとソフトウエアのパッチ適用を行い、可能であれば、それを自動化します。通信量と電力使用量を監視して、不具合の可能性があれば追加で調査。ネットワーク上の全てのデバイスとセンサーの一覧表は、常に最新化しておきます。全てを記録し、リアルタイム分析を実装しましょう。

高い防御策を構じるためには、その継続性を保つことに加えて、新たに脅威が生まれる現実を受け入れなければなりません。マルウェアは進化を続けます。攻撃者は新しい手口を見つけるため、ソフトウエアやデバイスには日々、今までになかった脆弱性が見つかるからです。5Gが引き起こすセキュリティー上の脅威に備えるためには、企業は、サイバーセキュリティーを取締役会や最高経営責任者（CEO）から一般社員までのマインドセットに刷り込む必要があります。そうすることで、デバイス調達から契約締結に至るまでの意思決定に、余すところなく防御策を反映させることができるのです。

さらに経営陣は、自社セキュリティー体制だけでなく、ビジネスパートナーの状況も考慮しなければなりません。経営として常に情報を収集し、共有し、分析するのです。リスクも継続的に評価し、セキュリティーインシデントを気づきとしてポリシーやプロセスを調整し、リジリエンスを構築するのです。全社的にコミュニケーションルートと責任関係が明確であることが必要です。

また取締役会は、異常事象の推移を認識できる体制が構築されていることを確認します。全ての攻撃経路を効果的に防御することは不可能かもしれませんが、サイバーインシデントを検知できて、具体的で明確な対処計画を立てていれば、自社への悪影響を最小限に抑えることができます。

5G がビジネスにメリットをもたらすことに議論の余地はありませんが、適切な備えと計画があってこそ、潜在的な脅威を無効化することができると言えましょう。
 

新技術は諸刃の剣、ということでしょうが、「なぜそうなのか」「どういう事態があり得るのか」「最悪の場合どのくらい損害を被るのか」を具体的に自社ビジネスに引き寄せて考え、組織的に備えていくことは、至難の業に違いありません。

難しい課題を少しでも容易に進めるには、シナリオプランニングの手法が役立ちます。自社の能力開発だけでは、一朝一夕に得られないものも、皆が知恵と経験を持ち寄るコミュニティーに加われば、急な坂もかなり楽に上れるでしょう。

”Threat Horizon”は、十数年にわたり毎年リリースされている、ISFの看板レポートの一つですが、2020年1月にメンバーにリリースされた、”Threat Horizon 2022: Digital and physical worlds collide”（原文：イギリス英語）に示された九つの脅威シナリオのいくつかには、こうした新技術がもたらす脅威の想定事例示され、また解決策のアプローチや手順も示されています。メンバー以外の方々もその概要は、ご登録していただければダウンロードできますので、ぜひともご参照ください。