コロナ禍以降のサイバーセキュリティ状況

2021年11月24日、12月1日、12月8日の3日間に渡り、サイバーリーズン・ジャパン主催のオンラインセミナー「Cybereason Security Leaders Conference 2021 秋」が開催されました。本イベントの2日目には国立研究開発法人情報通信研究機構（NICT） 主席研究員 伊東寛氏が登壇し、「戦いの歴史から学ぶこれからのサイバーセキュリティ Part2 ～ミリタリー目線でセキュリティを見直してみた～」と題した講演を行いました。

伊東氏は陸上自衛隊初のサイバー戦部隊である「システム防護隊」の初代隊長を務めた後、2007年3月に退官。その後は民間セキュリティ企業の要職や、経済産業省大臣官房サイバーセキュリティ・情報化審議官などを歴任し、2020年10月よりNICTの主席研究員を務めています。

同氏によれば、コロナ禍以降のサイバーセキュリティ状況は決して芳しくないといいます。

「コロナ禍によりテレワークが常態化したことで、これまでのように内部ネットワークとインターネットとの間で多層防御を行う『境界防御』の効力が薄れてきました。またこれからのアフターコロナの時代には、私たちの生活のいたる所でさらに多くのITデバイスが利用されるようになるため、守るべき箇所も飛躍的に増えてくることが予想されます」

なお、伊東氏がかつて自衛隊時代に学んだ軍事における防御のセオリーでは、防御陣地が完成しても決して安心せず、その有効性を検証する「防御予行」を行って防御の不備を検出・是正しなくてはならないとされています。しかしセキュリティの世界では、これに相当する「ペネトレーションテスト」「Red Teamによるテスト」が十分に行われているケースは少なく、軍事の世界に比べるとまだまだ遅れていると言わざるを得ないといいます。

戦争の歴史から学ぶサイバーセキュリティ対策の要点

また同氏は、第一次世界大戦におけるドイツ空軍の撃墜王リヒトフォーヘンのエピソードを引用しながら、現代のサイバーセキュリティ対策の問題点を次のように指摘します。

「リヒトフォーヘンのような天才パイロットに対して、凡人のパイロットがいくら束になってかかっても、個別に戦いを挑むだけでは勝負になりません。しかしもし第一次世界大戦の時代に現代のレーダー戦の技術を持ち込むことができれば、多数の凡人パイロットを適切な位置に誘導し、有利な態勢から攻撃を仕掛けることでリヒトフォーフェンをも撃墜できるかもしれません。サイバーセキュリティ対策も同様で、自身の責任領域の防御だけではなく、他の領域と積極的に情報共有や相互支援を行うことで強力な攻撃も撃退できるようになります」

また太平洋戦争におけるミッドウェー海戦では、日本海軍と米国海軍の「ダメージコントロール」に対する考え方の差が勝敗を分ける要因の1つになったといいます。日本海軍の空母は、敵の攻撃を跳ね返す強固な構造を採用していましたが、万が一被弾してしまった際にダメージを最小化するための構造や運用体制はあまり考慮されていませんでした。

一方、米国海軍の空母は万が一被弾してダメージを負ったとしても、その被害を最小限に食い止めて素早く復旧できるための構造や運用体制が考慮されていたため、攻撃を受けても撃沈という最悪の事態を食い止めることができました。

伊東氏は、このダメージコントロールの考え方はサイバーセキュリティの世界にも援用可能だといいます。

「サイバーセキュリティ対策においても、インシデントの発生を防ぐ方策だけでなく、万が一侵入や感染を許してしまった後に被害を最小化するための『インシデントレスポンス』の体制や、いち早く復旧して事業への影響を最小限に抑えるための『レジリエンス』を確保することが極めて重要です」

防御側の形勢不利は十分に逆転可能

なお現代のサイバーセキュリティ状況は、「攻撃側が圧倒的に有利」「防御側が不利」と言われています。伊東氏はこの見方に同意しつつも、「防御側に有利な点も多いはずだ」と指摘します。

「リアルの戦争の世界では、『攻撃側有利』と『防御側有利』の状況が交互に繰り返されてきた歴史があります。サイバーセキュリティの世界においても、現在は攻撃側有利であることは否めませんが、防御側がその利点を存分に生かすことで形勢を逆転することは可能だと思います」

具体的には、防御側は自陣のシステム構成を十分に熟知することで、攻撃を特定のポイントで待ち受けて効率的に撃退することができます。またリアルな戦闘では、あらゆる場所を同時に守らなければならないため、どうしても戦力が不足したり投入が遅れてしまったりします。一方サイバー防御では、リソースを特定のポイントに即座に投入できる強みがあります。

さらに将来的には、AIを使って自社のシステムの脆弱性を繰り返し自己チェックし、自動的に穴を塞ぐような仕組みが実現されれば、防御側がかなり有利に立てる可能性もあります。

「近年では一般の犯罪者グループがサイバー攻撃に参入してきており、攻撃側のスキルが相対的に低くなってきています。そうした攻撃者は、少しでも防御が手薄なターゲットを狙ってきますから、同業他社より少しだけ高いレベルの防御を行うだけでもこうした攻撃を効果的に回避できます。セキュリティ対策は自社のビジネス継続に必要な『重要な投資の一部』であると認識し、やるべきことをきちんとやるだけでリスクを大幅に下げられることを今一度認識していただければと思います」（伊東氏）

【グローバル調査結果】ランサムウェア 〜ビジネスにもたらす真のコスト〜

サイバーリーズンは、ランサムウェアがビジネスに及ぼす影響に関するグローバル調査を2021年4月に実施しました。
本レポートでは、主な業種におけるランサムウェア攻撃のビジネスへの影響を把握した上で、ランサムウェア対策アプローチを改善するために活用できるデータを紹介しています。
https:https://www.cybereason.co.jp/product-documents/survey-report/6368/