• サイバーセキュリティはIT部門の問題である
• 十分な数の有能な技術者を雇い、強力で大規模なファイアウォール関連の製品／ツールを購入すれば、攻撃者の侵入から自社を守ることができる
• サイバーセキュリティの目的は、攻撃者の侵入を防ぐことである。ファイアウォールの内側で働いている従業員やユーザーについては、それほど気にする必要はない
• 最先端の暗号化技術を使えば、問題は解決する
• 最新のウイルス対策ツールとマルウェアスキャンを実行して悪意のあるコードの影響を定期的に軽減している限り安泰だ
• 銀行、保険会社、政府機関のいずれでもないため、盗むに値する支払い記録などの電子記録は保有していない
• パスワードを適切に管理し、ユーザーが定期的にパスワードを変更するポリシーと手続きを導入しておけば、監査担当者を満足させることができるし、CIOも安眠できる
• 現在使用中のサイバーセキュリティ製品とツールが少し古くなっていることは認識しており、更新する予定だ。これで万事問題ない
• 耐用年数が過ぎたデスクトップPC、サーバおよびプロセッサをリサイクル／廃棄するときは、米国防総省の基準に従ってHDDのデータを消去すれば、機密情報は問題なく保護できる

　上記の項目の1つ以上に同意する場合は、サイバーセキュリティ攻撃対策を強化すべきだ。

サイバー攻撃対策に関して検討すべき事実

　米Symantecが最近実施した調査「Internet Security Threat Report 2014」によると、データ侵害の原因が内部にある割合が少なくない（図1）。

図1　2013年に発生したデータ侵害の主な原因（出典：Symantec「Internet Security Threat Report 2014」を基に一部加工）

　サイバー攻撃の解決に必要な時間とコストは大幅に増加している。米Ponemon Instituteによるリポート「2012 Cost of Cyber Crime Study: United States」は、攻撃の修復に掛かったおおよその日数を攻撃の種類別に公開している（図2）。

図2　攻撃の修復に掛かった日数。攻撃の種類別に見ると、悪意のある内部関係者が過半数を占める（出典：Ponemon Institute「2012 Cost of Cyber Crime Study: United States」を基に一部加工。数値は小数点第1位を四捨五入）

　同リポートによると、2012年にサイバー攻撃の解決に要した平均日数は24日間で、総コストは平均59万1780ドルに上る。これは、2011年の数値に対して42％の増加だ。

　最近、米連邦捜査局（FBI）の犯罪関連部局に所属する上級職員が、以下の定性的な考察を明らかにした。

• 攻撃者は、自慢話のネタを手に入れるために、学生寮の部屋からゲーム感覚でコンピュータへの侵入を企てる子どもではなくなっている。FBIが対処している攻撃の多くは、サイバーテロリストが日常的に仕掛けているものだ。そのバックには資金豊富な外国政府や組織犯罪がついている
• 攻撃者の目的は、自分の口座に違法に送金する手段を探すことだけではない。横行しているのは知的財産の盗難だ。対象となるのは、プログラムやデータ、特許、アーキテクチャ、設計、プロセス、方法論などである
• 攻撃者が探っているのは、金融システムや業務システムを停止させる方法だけではない。重要なインフラ（通信、電力、水道、石油、ガス、交通などのシステム）をまひさせる方法も探っている
• 企業のLANやシステムに対してFBIが実施したサイバーフォレンジック分析で、存在が明らかになったマルウェアがある。ホストネットワーク／システムで実行可能な埋め込み型のマルウェアで、通常の市販ツールでは検出されずに数カ月または数年も潜伏していた可能性が高い
• サイバー犯罪という暗黒の地下世界では“パラダイムシフト”が起きている。防御側はファイアウォールを強化して、ますます積極的に脅威を予測し、巧妙さを増すテクノロジー侵害を特定して軽減するようになっている。これに対して、攻撃者が用いる手段はローテクになっている。サイバー犯罪の手段としてソーシャルエンジニアリングメールが使用されることが増えている。例えば、フィッシング、偽のWebサイトに誘導するファーミング、なりすましだ
• 上級幹部社員だけでなく、重役までもがソーシャルエンジニアリング攻撃のターゲットになる傾向が強くなっている。上級幹部社員や重役は、危険に関する知識が最も乏しく、かつ機密性と重要性が特に高い情報への最大のアクセス権を持っているからだ
• ビッグデータの管理や高度な分析、正確に狙いを定めたビジネスインテリジェンス（BI）の提供を目的とした最先端のツールはどれも、攻撃者がフィッシング、ファーミング、なりすましをする上でも役に立つ

攻撃は防御できているのか

　米国立標準技術研究所（以下、NIST）は2014年初頭、「Framework for Improving Critical Infrastructure Cybersecurity（重要インフラのサイバーセキュリティを向上させるためのフレームワーク）」を公開した。このフレームワークは、米国内インフラの保護に従事する、政府のテクノロジー関連職員を対象としている。一方、テクノロジーを使用している各企業のニーズにもよくなじみ、簡単に応用できる。

　このフレームワークは、企業のモチベーションを生かしてサイバー攻撃対策の情報収集をすることに重きを置いており、企業の全体的なリスク管理プロセスにサイバーセキュリティリスクを組み込みやすくしている。加えて、企業が以下の活動をするための一般的な分類法を提供している。

• 現行のサイバーセキュリティへの取り組みを書き出す
• 目標とするサイバーセキュリティ対策の実施状態を書き出す
• 継続的なセキュリティ強化の機会を見つけ、実行に当たっての優先順位を付ける
• 目標とする状態達成までの進捗を評価する
• 社内外の利害関係者とサイバーセキュリティリスクについて情報交換する

　フレームワークのコアは、企業風土の基盤を構成する5つの重要な機能の定義だ。この企業風土により、各企業に適したリスクに基づくビジネス上の意思決定を図ることになる。その5つの機能は次の通りである。

1. 特定：サイバーセキュリティに関連するビジネスの状況、資産およびリスクについて、組織レベルの理解を深める
2. 防御：資産価値とビジネスリスクに見合った適切な保護対策を検討して実施する
3. 検知：サイバーセキュリティイベントを検知するための適切な能力を検討して実施する
4. 対応：サイバーセキュリティイベントが検知されたら対処するための適切な対策を検討して実施する
5. 復旧：サイバーセキュリティイベント発生後にレジリエンス（回復力）を維持するための対策と計画（災害復旧や事業継続など）を検討して実施する

　CIOとIT関連幹部社員は、NISTのフレームワークを社内外の関係者と確認し、自社の業務に最も関係深い重要な要素の応用方法を特定することを検討してほしい。