スノーデン氏が創りだした世界

PRISM発覚で崩壊した情報セキュリティの幻想

内部告発者のエドワード・スノーデン氏は、メディアと政府の目をサイバー諜報活動に向けさせたが、暴露された米国政府の市民監視プログラム「PRISM」のことを、企業は無関係だと切り捨てることはできない。

　サイバー諜報活動の急増は、情報セキュリティ戦略を見直し、知的財産の保護を強化する必要性を浮き出させている。スノーデン氏による暴露は、全ての行動や決断の結果として生じる可能性がある情報セキュリティへの影響について、徹底的に考える必要があることも印象付けた。

　スノーデン氏は、米国民の利益を最優先に考えて行動を起こしたと言う。だが実際には、非常に魅力的な、盗んでくれと言わんばかりの情報の宝庫の存在を潜在的な攻撃者に知らしめることになっただけ、というのが大方の見方だ。世間に知らせることで、スノーデン氏はPRISMが収集したデータを、他の国家や組織がスポンサーになった実行役から攻撃されるリスクに晒したといえるのかもしれない。

　ホード・ティプトン氏は、米国政府の元CIOで、現在は情報セキュリティプロフェッショナルの認定資格制度を提供する（ISC）2のエグゼクティブディレクターを務めている。ティプトン氏によると、WikiLeaksが多くのサイバーアクティビストを刺激したように、PRISMの暴露の影響として、公的機関だけでなく企業も自警的な動きを取る可能性があるという。WikiLeaksに関しては、MasterCardが要請に応じてWikiLeaksへの支払いサービスを停止した例がある。

　「今回のケースでは、国家、過激派グループ、市民抗議団体がこぞって、破壊的なサイバー攻撃を仕掛けることを道義的に認めると考える可能性がある。対象となった被害者は、自衛手段に出てもよいと考え、自ら攻勢に出るかもしれない」

　ティプトン氏は、スタックスネットやFlameウイルスの事件に触れ、グローバル企業と各国政府は、従来のようなハッカーの侵入を防止するという観点ではなく、ハッカーは既にシステムに侵入していることを前提に、自らのセキュリティ戦略を見直すべき時代になっているとした上で、次のようにコメントしている。

　「このような攻撃的なメンタリティの発達と、サイバー武装競争発生の可能性が、われわれのセキュリティの方針を正すことになるのか乱すことになるのかは、はっきりしないが。しかし、世界がPRISMの新たな情報開示を注視し続ける中で、リスクが高まっているかどうかではなく、派生した影響を抑制できるかどうかを多くの人々が自問することになるだろう」

　今回の件で企業が学ぶべき教訓は、サイバー攻撃を受けるかどうかを考えるのではなく、標準のインシデント対応計画の一環としてメディアへの連絡手順を策定し、攻撃の二次的な影響を抑制できるかどうかを考えることだ。情報セキュリティのプロは、会社の評判の失墜は、情報漏えい自体と同様のダメージをもたらし得ると常に警告している。

　とは言うものも、知的財産（IP）の保護も決して無視できないと、英調査会社のKuppingerCole UKでアナリスト兼マネージングディレクターを務めるロバート・ニュービイ氏は言う。

　「PRISMは、情報プライバシー問題の氷山の一角にすぎない。サイバー自警団は格好のマスコミのネタになるが、そもそも組織の規模や、企業なのか福祉団体なのか国家なのかには関係なく、機密情報がリスクにさらされている」とニュービイ氏は語る。

　ニュービイ氏の意見では、IPが侵害された場合、会社や製品の地位または存続自体に影響を及ぼす可能性があるため、管理すべき最重要の機密情報だ。

　「何を、なぜ保護するかを考えよう。情報資産の目録を作り、リスク管理手法を使って、各資産の価値と資産に対する脅威を計る」

　次のステップは守りだ。

この記事の著者