IoT（モノのインターネット）の動きの一環としてWeb接続されるアイテムが増えると共に、ハッカーから物理デバイスを保護する必要性は高まる一方です。

益々結びつきが強まる世界は、悪意のある目的にテクノロジーを活用する、より多くの方法をハッカーに与えています。サイバー攻撃が重大な物理的損傷をもたらしかねない時期に来ています。このような結合したサイバー脅威と物理的脅威からユーザーを保護するために、情報セキュリティの専門家と従来物理的セキュリティを扱っていた法執行機関が戦略を共有しなければならなくなります。

結局のところ、サイバー攻撃と物理的攻撃の境界はすでにぼやけてきています。3月には、米司法省が2013年にニューヨークで小さなダムの制御システムをハッキングした7人のイラン人を起訴しました。このダムは修理のためオフラインになっており、ハッカーたちが水流を制御することは回避されました。しかし、このインシデントは、ハッカーがコンピュータ制御されているインフラストラクチャを乗っ取る可能性を示しました。

そしてもちろん、ウラン濃縮設備の遠心分離機をターゲットにした、イランの核プログラムを妨害するStuxnetコンピュータウィルスがありました。Stuxnetは、マルウェアがどのように物理的な損害を与えられるかを示した最初のプログラムと考えられます。

IoTでハッキングは物理的になる

昨今、IoT（モノのインターネット）の動きの一環としてWeb接続されるアイテムが増えると共に、ハッカーから物理デバイスを保護する必要性は高まる一方です。情報セキュリティのプロは、攻撃者が自動運転車のブレーキを改竄したり、スマートサーモスタットをハッキングしたり、冬の間に家の暖房をオフにしたりできないようにすることを求められるようになります。

以前のコラムで述べたように、調査によってすでに明らかにされているこれらの欠陥を話題にすることで、恐怖を植え付けようという意図はありません。これらのトピックを取り上げることで、セキュリティが付け足しとして扱われるのではなく、製品開発時に組み込まれることを期待しています。

幸運にも、物理的資産を守るために企業が行う重要な手順（適切な計画、徹底的なテスト、大規模な連携）も、サイバー攻撃に対する防御に役立ちます。

起きるかもしれないことに対する計画

起きる可能性のあるシナリオに基づいて最良の計画を立てます。警察官はこの戦術を使用して、可能性のあるセキュリティインシデントに備えます。パトロール中に、警察官は巡回しているビルの1つで起きるインシデントにどのように対応し、何が起きるかを考えます。例えば、犯人が屋根伝いに逃げた場合などを予想します。

企業は、情報セキュリティインシデントに対応する際に、このプロセスに従う必要があります。脅威を迅速に是正するだけでは不十分です。セキュリティチームは、他に起き得ることは何かを考慮する必要があります。攻撃には、わざと簡単に見つかる要素を含めることで、セキュリティチームが攻撃を完全に阻止したと誤って信じるように導くことがよくあります。実際には、攻撃を持続させることのできる要素が残っています。普通ではない振舞いのわずかなサインを見つけるだけで、セキュリティアナリストは攻撃全体を発見することができます。例えば、低速で実行しているコンピュータはマルウェアに感染する可能性があり、その場合は企業がフィッシング攻撃のターゲットになり、従業員が悪意のあるリンクをクリックすることがあります。

適切な計画を立てるということは、各部門の重要な人員の投入を含めたインシデント対応計画を作成することを意味します。多くの場合、企業の侵害に対応するITおよびセキュリティ担当者のみが、計画に組み込まれます。しかし、セキュリティインシデントの後遺症を処理するには、企業全体で取り組む必要があります。例えば、病院の場合、広報担当スタッフを計画に含める必要があります。なぜなら、データ漏洩を公表することが法律で務づけられている場合があるからです。

テストして計画を改善する

全面的なシミュレーションを実行することが、セキュリティ計画が現実のインシデントでどこまで通用するかをテストする最善の方法です。訓練を行うことで、計画の弱点が明らかになり、企業は実際にインシデントが起きる前に、改善する機会を与えられます。

レッドチームとブルーチーム演習は、物理テストとサイバーセキュリティテストを融合し、物理システムがオンラインシステムを、逆にオンラインシステムが物理システムをどのように保護できるかを判断する機会を提供します。ほとんどの企業では、すべてのビジネスにとってオンラインになっていることが必要不可欠であるため、ギガビットイーサネットの保護が物理的セキュリティの担当者にとっての優先事項です。ビジネスのWeb接続機能が停止すると、それによって電子メール、IP電話、従業員のサーバーへのアクセスが停止します。IoTの観点からすると、製品について侵入テストを実施すると脆弱性が明らかになり、発売前に修正できるようになります。

さらに、従業員がセキュリティ計画に関して意見を出せるようにすることも忘れないでください。従業員が改善に繋がるさらに細かい点について最善のアドバイスをされることはよくあります。

組み合わせてより強力に

物理的またはサイバーセキュリティのいずれかのインシデントが発生した場合、事態を収拾するために、企業は間違いなく部外者に助けを求めることが必要になります。

例えば、大企業の最高セキュリティ責任者は、地元の消防や警察に連絡し、初動要員が企業でどのように事態を収拾するか助言を求めるかもしれません。サイバーセキュリティ側では、データ漏えいに遭遇した場合、脅威に対処できるように、インシデント対応を提供する会社を待機させる必要があるかもしれません。あるいは、攻撃の後遺症に対処するために、法律事務所と広告会社が必要になるかもしれません。

しかし、企業は多くの場合、機密情報が誤って暴露されることを恐れて、外部であるサードパーティと協力することをためらいます。実際には、インシデント後にできるだけ早く業務を正常な状態に戻すためには、このような人たちの支援が不可欠なのですが。

企業は、緊急事態が発生する前に時間を掛けてこのような方々との関係を築いておく必要があります。事態が発生してから外部組織と協力しようとしても、遅すぎです。企業は、インシデントへの対応に追われて、対応方法を説明したり、しっかりした関係を築く余裕はなくなります。

企業には、もはや物理的セキュリティとサイバーセキュリティを別々に処理する余裕はありません。攻撃者はこの2つを区別することはありませんので、企業が、保護されていることを望むなら、やはり区別することはできません。

Lior Div（リオ・ディヴ）は、Cybereason Inc.のCEOであり、共同創立者です。フォレンジック、ハッキング、リバースエンジニアリング、および暗号化を専門とするイスラエル軍の優秀なサイバーセキュリティユニットのリーダーでもあります。