前回の第30回ブログでは、新任CISOが、役員会議で「サイバーリスクトレンド」について5分間で報告する、ということが求められたと想定しました。そして、まず準備としての気持ちの整理から入り、スピーチ原稿を練る過程についてCISOの思考回路を疑似体験してみた次第です。
その後の、12月20日の本リスク対策.com主催による「リスクトレンド研究会」では、そのスピーチの骨格について、一枚もののプレゼン原稿と共にオンラインで視聴者の方々に共有させて頂きました。
実は、その際に参考にしたのが、12月7日配信のISFの「ISF年次脅威アップデート：2023年の新たな脅威」というオンラインイベント（題して”Cyber2023”）です。今でもオンデマンドで一般公開されています。興味深い内容ですので、お時間がございましたら、ご覧頂ければと存じます。
そこまで時間が取れないという方のために、今回のブログでは、このイベントにおけるSteve Durbinのスピーチを文字に起こし、あたかもCISOである私が役員会でした話をメモにしたかのような体裁に置き換えて、その概要を共有することにします。
（ここから引用）
2023年のサイバー問題
Published: 07th December, 2022
SOURCE：ISF
Steve Durbin, Chief Executive, Information Security Forum
2022年の振り返りと2023年の見通し
今日は、2023年のサイバー問題についてお話しします。まず今年を振り返り、次に、今後どのようなことが起きうるのか、という流れでお話ししてみたいと思います。
2022年は、パンデミックから抜け出すことができた年と言ってよい一年となりました。また、ビジネスがより一層デジタル化される中で、多様な変化も目にすることになりました。在宅勤務が導入されたことで、オフィス環境で行われていたコントロール手段は失われ、物理的にもデジタル的にもセキュリティ上のさまざまな問題が混在するようになりました。この流れは、2023年も続くでしょう。ただ、人工知能の導入は、ビジネス環境と同様に、セキュリティの分野でも進むでしょうから、もう少し効率的な対策もできるようになると期待しています。
また、好むと好まざるとにかかわらず、今後、より複雑な規制が制定されていくでしょうし、地域横断的にグローバルに事業展開する会社においては、問題は複雑さが増していくでしょう。
つまり、2022年に見られたような、労働環境の変化、規制の強化、そしてサイバー犯罪の増加は、2023年にも同様にあるだろうと予想されます。こうした流れの中、サイバーセキュリティは、よりリスクが高い問題を扱うことになり、従ってより複雑になり、さらにコストがかかるようになってしまうことは間違いありません。
それでは、2023年にサイバーセキュリティ部門として対応を進めていかなければならない、現在の重要問題を順に４つ挙げることにします。
１．サイバー襲撃の継続的成長
― ランサムウェア攻撃サービス、に加えてサイバー傭兵。
まず1つ目は、もう誰も驚かなくなってしまった問題です。2021年に起きたサイバー攻撃では、非常に有名な企業が襲撃されています。つまり、サイバー攻撃の対象は、企業規模の大小とは関係ないということが明らかになりました。2022年には、何かしらの価値を保有する企業であれば、サイバー犯罪者の標的にされる、という状況になりました。また、業界で考えてみると、ヘルスケア関連業界は2023年になっても相変わらず標的にされるだろうと思われます。なぜならば、この分野はソフトターゲットと呼ばれており、資金があればセキュリティより健康サービスへの支出を優先せざるを得ないからです。
また、ランサムウェア攻撃だけでなく、データ窃盗も続くでしょう。マリオットホテルではこの数年の間に何度も攻撃を受けており、2022年には3度目の大量データ流出に見舞われました。企業ネットワーク侵入によるデータ窃盗はトレンドになっていると思われます。データは、すぐに使われないかもしれない。闇市場で売られるかもしれない。ただ、とにかく、まず盗まれる。将来的に、これは顕著な特徴になるでしょう。指数関数的に増え続けるデータの価値が、明らかに巨大になっているからです。
さらに、民間企業に留まらず、2022年には公共部門も攻撃に曝されました。もはや官民という区分に意味はないのです。情報を持っていたり、一定の情報サービスを提供していたりする場合には、標的になってしまいます。あるいは何等かの理由によりどこかの国家の標的にされてしまうということもあります。そうすると、データ窃盗が頻発する環境ということになります。コスタリカで発生したContiランサムウェア攻撃を始め、ランサムウェアは情報を狙った攻撃ではありますが、ツールはランサムウェアに留まりません。ドローンを使ったネットワーク侵入も確認されています。特に、ドローンの盗聴器としての利用形態は、2023年には現実化すると思われます。
今までとは少し違う点は、「犯罪サービス」や「ランサムウェア攻撃サービス」といったビジネスとしてのサービスを利用した犯罪から、「サイバー傭兵」の台頭へと移行することでしょう。つまり、実際の攻撃を仕掛ける際に仕事を請け負うプロを雇うのです。もちろん、国家が第三者を通じて傭兵のスポンサーとなり、背後に隠れたまま自らの攻撃だとは決して認めないケースも見受けられるでしょう。いずれにせよ、サイバー傭兵というのは、おそらく少し新しい形の襲撃スタイルだと思われます。
それでは、セキュリティパッチやポリシー、プロセス以外にセキュリティ部門ができることは何かというと、従業員を十分に訓練し、賢い企業はこの種のインシデントに対してどのような対応をしているのかを理解させることです。インシデント対応演習を実施していた企業では、そうでなかった企業での損失に比べて、かなりの金額を節約できたことが判っているからです。
いずれにせよ、サイバー襲撃は2022年にも重要課題でしたが、2023年も引き続き取り組み強化領域としてあり続けると思われます。
２．サプライチェーンのデジタル化
― ビジネス戦略、セキュリティ戦略、そして柔軟性。
2つ目は、サプライチェーンが少し変化してくることから起きる問題です。サプライチェーンは、おそらく会社の中では、セキュリティ部門とは対照的にビジネス部門の課題であると考えられてきたと思います。2022年には、両者の課題は一体化が始まることになるでしょう。パンデミックによって、この問題に光が当てられたのだと思います。なぜなら、これまで頼っていたサプライヤーのいくつかは廃業するなどして、もはや存在しない会社もあるからです。そうしたことも背景に、2023年には、今まで以上に多くの企業がITインフラをサードパーティに移行させるという注目すべき動きが出てくると思います。その形態としては、クラウドやマルチクラウド環境、あるいはマルチクラウドと5Gの組み合わせなど、企業の活動拠点によってさまざまなものが考えられると思います。ただ、このような場合、どうしても一律的な対応に傾きがちでしょうし、実際にそうなることも多いでしょう。ところが、そのような一本化戦略やアプローチの影響は大きく、企業においてイノベーションを起こす一方、起こりうる攻撃への柔軟な対応力を失わせてしまいます。
したがって、2023年のサプライチェーンに関する課題は、ITインフラをサードパーティに移行する場合においては、細心の注意を払いながら取り組まなければならないということです。もちろん、サードパーティが当社のデータをどのように保護しているかという点について精査を行うことは重要です。しかし、それ以上に大切なことは、契約の選択肢を広げておくことです。そうすれば、もしプロバイダーを変更したり、サードパーティのインフラの利用方法を変更したりすることになった時に、比較的容易に実行に移すことができます。
という訳で、2つ目は、デジタルなサプライチェーンを見直すべきことについて述べました。
３．データ源泉の汚染問題
― データ不正操作、情報の正確性と信頼性の危殆化、意思決定の妥当性低下。
3つ目の問題は、やはり何と言っても、データの問題が実に悩ましくなって来ている点です。
これは、データの問題が、機密性や可用性から、「完全性」へと広がっていることによります。2023年以降、企業がデータをどのように活用するかを考えると、「人工知能」が本領を発揮し始め、「予測分析」のようなものが台頭することになるでしょう。そのような環境では、データは新しい意味を持ちます。なぜなら、企業は意思決定を行うために、実はデータの完全性に依存しているからです。そして、サイバー犯罪者はそれを熟知しています。そのため、セキュリティ面からは、利用する情報の「完全性」をどのように確保するかということに、より大きな関心が寄せられるようになると考えます。また、会社としても、データの完全性に高い信頼性をおいていて良いかどうか、何かしらの行動を起こす前に問わなければならないでしょう。そうなると、「では、どうすればいいのか」という質問が直ぐに出て来るでしょう。私たちは、家庭環境、外出先、オフィスなど、さまざまな環境でデータを生成しているため、データは爆発的に増加しています。では、データの完全性をどのように確保すればよいのでしょうか。
まず、一歩下がってよく考えてみると、ビジネス上のすべてのデータを100％全て保護する必要があるわけでもないことに気づきます。例えば、「王冠の宝石」と呼ばれるような貴重な情報の中には、特定すべきデータがあるはずです。そこで、事業運営上の意思決定に絶対に必要なそうした情報に焦点を当て、それを保護するためにできる限りのことを行う、ということが出発点となります。データの完全性について議論するとき、出来もしない大掛かりなことにリソースを浪費せず、小さく始める必要があります。セキュリティ部門の役割は、共有されるデータに求められる属性を特定し、データのライフサイクルのあらゆる段階でどれだけ安全かを確認するという流れにおいて、事業部門と協調して作業することです。そうすれば、完全性にまつわる問題のいくつかも解決されると思います。しかし、それに気を良くしても、そうは問屋が卸しません。これが、2023年に私たちが直面する最大の課題の1つである理由です。
４．非日常的セキュリティ
― 常に変化し続けるセキュリティ環境、規制、倫理の中で、セキュリティ業務をこなす必要があります。
そして、最後の重要な脅威または課題は、私が「ネバーノーマル」と呼んでいるものです。これは、2022年から2023年にかけて、セキュリティ部門が直面する課題です。パンデミックによって生じた事態への対処から少し落ち着きを取り戻し、変化の激しいビジネス環境に対応することがセキュリティ部門に期待されています。しかし、悲しいかな、そう簡単に戻れるとは思えません。CISOとしての私の課題リストには、今後もさまざまなことが加わっていくことでしょう。また、これはセキュリティ部門の全員に言えることですが、規制環境の変化への対応も手が抜けません。規制は、グローバルに通用するものから、国ごとに異なるものへと移行しつつあります。このような状況を把握する上で、今後、セキュリティ部門の親しき友人となるのは法務部の各位、ということになるでしょう。
また、倫理的な配慮に関する変化も見られ始めています。2023年には、データの倫理的な収集、倫理的な保管、倫理的な利用など、倫理的な取り扱いの重要性が大幅に増すと思われます。多くの会社にとって、データがどこから来て、どのように使っているのかを調べ、その上で世間の期待に応えるような声明を発表することは、非常に困難なことだと思います。これは、最高情報セキュリティ責任者である私やセキュリティ部門のチーム員だけでなく、ビジネスリーダーにとっても重要な仕事と考えます。
このように、ビジネスのあらゆる側面が常に変化しているため、3～6カ月以上先を見通せないような、非常に機敏なセキュリティ戦略が必要になるのです。正直申し上げて、セキュリティ戦略とは、ビジネスの方向性に合わせていかに柔軟に対応するかに尽きます。そして、ビジネスが必要とするセキュリティの要素を維持しつつ、それに加えて、市場の方向性に合わせていかに柔軟に対応できるかということが基本と考えています。
以上、2023年の4大課題を考えてみました。
――
取締役会におけるサイバーセキュリティの議題について（省略）
サイバーリジリエンスフレームワークについて（省略）
――
2023年のサイバーセキュリティ部門計画の骨子
それでは、以上の大きな問題群に対して、セキュリティ部門としての優先順位と、やるべきことは何かを検討した結果として、2023年の集中的取り組み分野を4つ、順番に挙げたいと思います。
＜１＞ サイバーリジリエンス演習
第１番目は、これまで何度か報告していますが、レジリエンス（回復力）です。これがビジネスそしてセキュリティ部門の最優先事項と考えます。重要な資産は、その価値の変化や進化に応じて識別し、優先順位をつけていかなければなりません。そして、セキュリティ侵害への対応能力を継続的に向上させる必要があります。万が一の事態を想定し、シナリオプランニングを行い、その日が来ないことを祈りながらも、会社としての対応策について、演習を通じてストレス・テストしておく必要があります。
＜２＞ 健全なリスクガバナンス
第２は、リスク管理のガバナンスがコンプライアンスと重なる領域です。つまり、非常に健全なガバナンスの枠組みを持つことで、規制の変更をいち早く察知できるようにすることです。ただし、本当に自社のリスク管理やセキュリティの取り組みに影響を与えるような規制だけを対象とします。つまり、自社にとって何が重要で、どのような変更が必要なのかを理解するためのフィルター機能を備えるということです。会社が発展していく中、すべてを行う時間はありません。そのため、どの分野に取り組むかを厳選して、ガバナンスに組み込む必要があります。
＜３＞ サプライチェーン再評価
3番目は、サプライチェーンへの注力。これは今後数年の間に時々出てくることになると思います。しかし、2023年には、デジタル化したサプライチェーンのリスクはかなり広範囲に及ぶと思われますので、企業の責任は重大になってきます。そのため、当社に求められているのは、主要なサプライヤーおよびサービスプロバイダーと定期的に効果的なコミュニケーションをとることだと思われます。それは、新たな脅威にさらされる可能性を洗い直すということです。サイバー犯罪者は、サプライチェーンを経由して組織に侵入するのが最も効果的な方法の一つであることを知っています。なぜかというと、世の中には多くの中小企業が存在し、大企業への直接のアクセスよりも、おそらくより容易な経路を提供することになるからです。また、いったん経路が確立されてしまうと、それはよく知られた道になってしまうことも分かってきています。
＜４＞ 役職員
そして、最後に「人」についてです。働く環境は変化し、役職員はこれまでとは異なる働き方が求められています。セキュリティポリシーや手順は、そうした状況を反映したものにアップグレードしなければなりません。しかし、同時に、役職員のマネジメントに関する期待値も高まってくると理解しています。サイバー（コンピュータ）疲れやメンタルヘルスのようなものにも、特別な注意を払わなければなりません。もはや、人と面と向かって会うという方法を前提としたセキュリティに頼りきりになることはできません。リモートで仕事をするためのよりセキュアな方法を導入していかなければなりません。また、役職員のメンタルヘルスやベストな仕事の環境を確保するためだけでなく、今後、増加する可能性があるインサイダーの脅威を監視するためにも人々の心の問題へのアクセスは重要だと考えます。
（引用おわり）
さて、いかがでしたでしょうか。読者の皆様が、役員会で報告する際の準備に何がしかヒントとなることがあれば幸いです。
ところで、昨年12月20日の「リスクトレンド研究会」では、上述のエッセンスを手短にご紹介して、出演者4人でパネルディスカッションを行いました。図らずも共通していたのが、世相あるいは世間のリスクに対する感覚が変わって来ているのではないか、という懸念と、その点に立脚したリスク管理策の見直しの必要性についての言及です。
そこに通底していたのが「倫理」というキーワードでした。そこで、来る1月17日の本年初回の「リスクトレンド研究会」では、人工知能と倫理について、サイバーセキュリティの観点からお話してみたいと考えています。
小原：hiro.ohara@securityforum.org
