プロフェッショナルハッカーは、キーボードを操作して、サイバー犯罪を商売に変えています。そのため、企業は情報セキュリティへの取り組み方を変える必要があります。

サイバー犯罪は商品化されてきました。もはや、ランサムウェアでコンピュータに影響を与えたり、APT（Advanced Persistent Threat）を使用して知的財産を盗むために、深い専門知識を必要としません。Googleを使用してダークウェブへのアクセス方法を調べるだけで、ログイン認証情報を取得するために（有料で）マルウェアや極めて効果的なスピア型フィッシングキャンペーンを作成し、偽のウェブサイトを開発するハッカーを見つけることができます。

大手企業（Fortune 500企業など）は、サイバー犯罪サービスが自社の防御方法を変えたことを理解しています。しかし、サイバー犯罪のサービス化は、防御手段がまだ構築中の企業にとっては、情報セキュリティへどのように取り組んでいくのかを意味します。

敵はスクリプトキディではない

セキュリティおよびITの専門家は、攻撃を仕掛けてくる相手が未熟なハッカーではないことを認識する必要があります。通常、攻撃者にスキルがあることは認識していますが、その専門的な手腕について十分に認識しているとはいえません。スクリプトキディもまだ存在していますが、彼らは企業を狙っていないと言ってもいいでしょう。

真の脅威は、政府のために働くハッカーグループによるもので、そのスキルは民間に対し価格を上昇させることができると考えられており、今ではダークウェブで彼らのサービスが販売されています。彼らにとって、ハッキングは娯楽ではありません。職業です。通常、ミッションが成功したときにだけ金銭が支払われることから、確実に目的を達成するという意欲をかき立てています。防御側としては、攻撃者の考え方を取り入れます。もし攻撃する立場になったら、どのポイントを利用するかを考えます。

ファイアウォールの強化はセキュリティの向上に繋がらない

プロのハッカーを使用すれば、侵入は保証されます。セキュリティおよびITの専門家は、防御がどれほど強力であっても、攻撃者は最終的に侵入方法を見つけることを認識する必要があります。企業にとっては（大手企業であっても）これを理解することは困難かもしれません。優れた情報セキュリティは、より高く、より厚い壁を築くことだという説があります。そこで、ファイアウォールとアンチウィルスソフトウェアを追加します。それで十分でないときは、次世代アンチウィルス、侵入防止システム、およびその他の次世代テクノロジーを追加します。

しかし、攻撃者はそれらの製品をすべてくぐり抜ける方法を考え出します。大きな壁を作れば、その下にトンネルを掘るだけです。あらゆる脅威またはインターネット全体と戦うことはできません。これに気づいたとしても、企業の保護に熱心に取り組んでいる情報およびITの専門家がやる気をなくすことはありません。それどころか、別の観点から巧妙な攻撃者に対応する方法を見つけることが期待されます。

セキュリティインシデントを有利に利用する

攻撃者があなたの会社に侵入しようと狙っているとしたら、どのような防御策を導入しますか？

まず最初に、インシデント対応計画を配備します。つまり、企業の主な変更を取り入れて更新し、重要な担当者が含まれていることを確認します。

例えば、インシデント対応計画に、マスコミの問い合わせに対応、あるいは規制に関して政府機関に連絡を取る広報担当者への通知が含まれていますか？さらに、計画に関係しているスタッフがその使用方法を理解していることを確認します。インシデント中に初めて担当者が計画を目にする、ということにならないようにします。1年に1回は、インシデント対応計画を実行してください。

次に、すでに環境内に侵入している攻撃者を探します。攻撃者と同様に巧妙になれば、見つけられないことはありません。どんなに些細なものでも、必ず何らかの痕跡を残します。防御側の仕事は、それらの小さな手掛かりを見つけ、それを使用して攻撃者の計画の全貌を暴くことです。

攻撃者はどのように防御を回避し、何を目的として、どのシステムに侵入したかを学ぶように努めてください。ここでの目標は、攻撃全体を阻止することで、より精巧なキャンペーンの一部分だけを止めることではありません。部分的に修復しても、攻撃者は環境内にまだ足場を残しています。

攻撃の出所に集中してはいけません。セキュリティの改善には役に立ちません。危機のさなかにある場合、優先事項はできる限り早急に組織が正常なビジネス機能を取り戻せるように支援することで、誰が知的財産を盗んだのかを解明することではありません。

もしも攻撃者の証拠を見つけたときは、これを単なる敗北として処理しないでください。セキュリティインシデントは（データ漏えいのような深刻なものでも）、防御を改善するチャンスです。企業のセキュリティ予算は、一般的に、すべてが順調に運んでいる場合には増額されることはありません。防御の欠落部分を知ることで、それを埋める機会が与えられます。

サイバー犯罪サービスは、善良なユーザーが情報セキュリティへの取り組みを変える必要があることを意味します。防御はもはや、すべての侵害が敗北になるようなゼロサムゲームではありません。また、すべての攻撃を阻止することが勝利ではありません。攻撃者は必ず侵入するのであれば、攻撃者の意図をすべて把握し、防御を改善するチャンスとして捉え、有効利用しましょう。

Lior Div（リオ・ディヴ）は、Cybereason Inc.のCEOであり、共同創立者です。フォレンジック、ハッキング、リバースエンジニアリング、および暗号化を専門とするイスラエル軍の優秀なサイバーセキュリティユニットのリーダーでもあります。