金融業界におけるセキュリティ対策では、フォレンジックにより不正の証拠をつかむ方法ではなく、先を読むことがますます重要となっている。このアプローチは他の業界でも支持が広がり、有効性を増している。

　筆者は今春、米フロリダ州で開催された米金融情報サービス共有センター（FS-ISAC：Financial Services - Information Sharing & Analysis Center）の年次サミットで、このテーマに関するパネルディスカッションのモデレーターを務めた。パネラーは、米Fidelityの最高情報セキュリティ責任者（CISO）チョーンシー・ホールデン氏、米Capital Oneの情報セキュリティ担当副社長キース・ゴードン氏、米JP Morgan Chaseのアプリケーションセキュリティ担当グローバル責任者ジム・ルース氏。ちなみに、このパネルディスカッションはゴードン氏の発案だったが、われわれはこのテーマについての意見を交換し合った（JP Morgan Chaseの最高セキュリティ責任者アニシ・ビマニ氏に特に謝意を表したい。同氏はブレインストーミングを手伝ってくれたが、ホワイトハウスに出向かなければならず、楽しい本番のディスカッションには参加できなかった）。

“事後” vs “事前”

　従来は、攻撃を受けて対応を講じることがセキュリティ対策だった。その際、どのような手口で攻撃されたかを示す証拠データを大量に収集することが多かった。われわれはファイアウォールのルールを調整し、問題を修正することに注意を払うとともに、教訓を探るという観点から、データを時系列で調査した。こうした当時の攻撃の大多数は、システム構成の不備を突いたものだった（ファイアウォールの適切な運用は、この問題の解決に確かに役立った）。

　それから間もなく、リアルタイム監視を行うセキュリティオペレーションセンターの運用がセキュリティ対策の主流になった。明らかなシステム構成の不備は解消され、自動パッチ適用システムが導入されたからだ。攻撃者は、システム自体のバグや欠陥に標的を移した。少なくとも、バグに狙いを定めたことは確かだ。設計の欠陥が標的として二の次にされているのははっきりしている。

　次に、最も興味深いシフトが進み、われわれは今もそのただ中にいる。リアルタイム監視からプロアクティブなセキュリティ対策へのシフトだ。

　プロアクティブなセキュリティ対策のアイデアはシンプルだ。「ソフトウェアセキュリティとソフトウェアエンジニアリングの原則に従って、最初から適切なものを作る」というものだ。そのためには、われわれが蓄積してきた膨大なセキュリティデータを活用し、いかに巧妙な攻撃を受けてもダウンしないスマートなアーキテクチャとアプリケーションを設計することが必要になる。さらに、このアプローチを制度化する必要もある。そのためには、ソフトウェア開発ライフサイクルがセキュアになり、ハードウェアが適切に構成されるように全社的なプロセスを再構築する。そうすることで、嵐に襲われても乗り切ることができる。

管理対策の組み込み、プロアクティブなセキュリティ対策への転換

　プロアクティブなセキュリティ対策への転換を適切に行うための鍵は、管理対策を日々のビジネスプロセスに直接組み込み、ビジネスオーナー（セキュリティ専門家ではなく）がしかるべき対応を取れるようにすることにある。既に動かしているものにセキュリティメカニズムおよび管理対策を追加することで、システムにセキュリティ対策を施そうとしてはならない。ものを作る方法を変える必要がある。さらに、新しいプロセスについては、スペシャリストやセキュリティ専門家ではなく、ビジネス部門に責任を持ってもらうようにしなければならない。

　プロアクティブなセキュリティ対策への転換に不可欠なのが、経営幹部のセキュリティについての見方が以前と比べて現在はどう変わっているかを理解し、それに応じて転換の手法を調整することだ。経営幹部のセキュリティの認識（と脅威へのしばしば不合理な不安）を理解に深めることは、われわれセキュリティ担当者の仕事だ。

　セキュリティイベントが発生したためにセキュリティ担当者の意見が通りやすくなっている状況（例えば、大手銀行がDDoS攻撃に見舞われた場合のように）を利用して、セキュリティ対策の転換を図れることもある。だが、いずれにしても、慎重に事を運ぶ必要がある。ビジネスをサポートする、先を見越したセキュリティ対策ソリューションを検討して提案しなければならない。セキュリティ担当者は、セキュリティトラブルで重大な被害が発生する危険を訴えてセキュリティ支出の増額を確保してきたが、そこから脱却する必要がある。

　筆者が勤務するセキュリティコンサルティング会社の米Cigitalでは、企業が自社のソフトウェアセキュリティ対策を評価するための枠組みとして利用できる「BSIMM」（※）を公開しており、その最新版のBSIMM4で対策項目として新たに取り上げた「自動化された不正コード検出」では、先を見越したアプローチの好例が見られる。この対策は、自社または外注先の悪意ある開発者が作成した危険なコードを発見し、セキュリティ問題の発生を未然に防ぐことを目的としている。このように脅威を芽のうちに摘み取ることは、プロアクティブなセキュリティ対策になる。

（※　Building Security In Maturity Modelの略。企業におけるソフトウェアセキュリティ対策の実施状況を調査し、この対策の成熟度モデルに基づいてまとめたもの。）

　なお、セキュリティ対策上、脅威に対して先手を打つとともに併用すると良い手法として、セキュリティ問題のビジネスへの影響を具体的に説明することが挙げられる。「この攻撃の被害に遭うと、新しいアカウントの実装とプロビジョニングに関するSEC（米証券取引委員会）の規定に違反することになる」と表現する方が、攻撃の影響を、セキュリティチーム以外は理解できない技術用語で説明するよりもはるかに効果的だ。

　後編（サイバー攻撃に備える「セキュリティ天気予報」とは）では、プロアクティブなセキュリティ対策を実現するための、実践的なアドバイスやアプローチを紹介する。

本稿筆者のゲイリー・マグロウ氏は、米セキュリティコンサルティング企業Citigalの最高技術責任者（CTO）。ソフトウェアセキュリティの世界的な権威としても知られ、関連書籍も多数執筆している。