ラックで最高技術責任者（CTO）を務める西本逸郎氏

　ここ最近、情報漏えいの事実が特定できていない状況でも侵入の事実を公表する例が増えてきたことは「望ましいことだ」と西本氏は語る。企業にとって、仮に攻撃者が社内システムに侵入した痕跡があったとしても、情報漏えいの事実がないのに侵入の事実を明らかにするメリットはないだろう。もちろん攻撃によって個人情報が漏えいしたとすれば、個人情報保護法に基づきその事実を公表する義務がある。だが漏えいの事実がない場合、侵入の事実を公表するかしないかは企業の判断になる。

　「攻撃者もそうした事情は理解しており、社内システムに侵入しても、あえて情報を盗まないというケースも少なくない。これでは、攻撃が広がっているという事実が広まりにくい」。情報漏えいの有無にかかわらず侵入の事実を公表する動きが広がっていることは、攻撃者に対して一定の威嚇効果があると西本氏は見ている。

“出口対策”が重要に

　標的型攻撃は、閲覧するとマルウェアに感染するWebサイトのURLをメールで攻撃対象に送信するといったものが多い。メール自体は正当な経路を経て届くためシステムによる対策が難しい。

　「今までの対策は、『何が何でもマルウェアに感染してはいけない』という考え方を基にしたものが主だった」と西本氏は認める。だが標的型攻撃をはじめ未知のマルウェアや手法を使った攻撃が増えつつある現在、「こうした対策だけでは不十分だ」というのが、西本氏の見方だ。

　ウイルス対策ソフトベンダーにとっても、標的型攻撃に利用されるウイルスを特定するのは難しくなっている。「標的型攻撃の場合、ウイルスをメールに直接添付するような攻撃はしない。攻撃者にとって、攻撃を仕掛けるためのウイルスはいわば“虎の子”だ。彼らは『大切なウイルスを可能な限り発見されないようにしたい』と考える。まずトロイの木馬などで攻撃の下地を整えてから、管理者に気付かれないようにウイルスを導入するといった手順を踏むため、ウイルス本体を捕獲するのが難しい」

　標的型攻撃は、既知の攻撃を主な対象とした従来型の対策だけでは不十分だというのが西本氏の見方だ。そこで有効となるのが、たとえマルウェアに感染しても重要な情報を社外に漏えいさせないという「出口対策」だと西本氏は強調する。

ログ管理の徹底で攻撃の痕跡をあぶり出す

　企業が標的型攻撃に対処するにはどうすべきか。「まずは攻撃者のミス、つまり攻撃の痕跡を見逃さないことだ」と西本氏は語る。「クライアントPCの動作が急に重くなる、サーバが勝手にリブートするといった現象があれば、攻撃の可能性を疑う」

　そのための前提として西本氏は、「システムやネットワークのログを確実に取得しておくことが重要だ」と強調する。「まずはファイアウォールを構築するのは大前提。それに加え、社内から社外に出ていくトラフィックについて、きちんとログを取得しておくことが大切だ。通信を監視することで、攻撃の痕跡をあぶり出せる」

　たとえマルウェアを駆除できたとしても、それは攻撃に使われたマルウェアの一部である可能性が高い。「攻撃者は通常、侵入ルートを複数用意している。マルウェアのコードの一部を改変した亜種の存在もある。どのシステムが攻撃を受けたか、どういった攻撃を受けたかを特定するのが対策の第一歩となる」

　メールに記載されたURLをクリックしてマルウェアに感染させる攻撃を防ぐためには、「可能であれば、安全だと認めたWebサイトへのアクセスのみを許可する『ホワイトリスト』型のWebフィルタリングソフトの導入も検討したい」とアドバイスする。

情報は“守るためだけのもの”ではないと認識すべき

　対策を考える上で忘れてはならないのは、「情報はそもそも使うためのものであり、守るためのものではないということだ」と西本氏は強調する。「企業にとって守るべきものは組織やビジネスに必要な商流といったものであり、情報ではない。情報は使うために必要だから守るのだ」

　「例えば名刺情報を守るという考えは、私からしてみれば非常におかしな考え方だ」と、西本氏は持論を展開する。そもそも名刺は社外の人に渡すものであり、その点で機密情報とはいえないという考え方だ。「もし名刺情報が機密情報であるならば、ビジネスで名刺を渡すことは、渡した相手に機密情報の管理を押しつけていることになる」

　一方で、顧客の購入履歴をはじめとする自社のビジネスに活用できる情報や、病歴といった扱いに注意を要する情報は守らないといけないと西本氏は指摘する。「個人情報というくくりでひとまとめにするのではなく、自社にとって本当に重要な情報を選別する。その上で、本当に重要な情報をいかに漏えいさせないかを考えるのが、これからの企業の在り方としてとして大切になる」