最大のセキュリティリスクはやはり「人間」？

最大のセキュリティリスク“人の脆弱性”の問題とは？　米大統領選サイバー攻撃から学ぶ（2/2 ページ）

公開 2017年06月21日 05時04分

更新 2018年03月01日 11時22分

著者

Michael Heller

[TechTarget]

印刷する

今後に向けた対策

　州政府や地方自治体が相場の報酬を支払い、優秀なセキュリティ人材を確保するのは難しい。権限管理ベンダーVaronis Systemsでインバウンドマーケティング担当ディレクターを務めるロバート・ソバーズ氏は、基本的な対策として次の3点を挙げる。

データへのアクセスを「そのデータを本当に必要としている人のみ」に制限すること
機密データをロックすること
データアクセスを監視し、何か不審な動きがあった場合は、それが世界中の見出しを飾る事態へと発展する前に早期に対処すること

　政府の請負業者に限らず、一般企業であっても自社のデータを保護し、本当に必要としている人だけがアクセスできるようにすべきだ。そうしておけば「サイバー攻撃やアカウントの乗っ取りなどが起きても、ダメージを抑えて脅威を抑制できる」とソバーズ氏は語る。

　ファイルシステムで誰が何をしているかを監視することは、かつてないほど重要になっている。アカウント情報が流出したりデータに不審なアクセスがあったりした場合に、セキュリティチームにすぐに通知が行くようにするとともに、さらなるセキュリティ侵害のリスクを軽減するための自動プロセスを配備する必要がある。

　米大統領選期間中の一連のサイバー攻撃によって、投票が改ざんされたという証拠はない。幸いなことに現行の投開票集計システムでは、現実的な方法で“票を水増しする”のは極めて難しい。それでもバンベネク氏は、全ての投票について「文書で記録を残すべき」との考えだ。そうしておけば開票で何か不審な点があった場合に、文書の記録から結果を検証できる。「投票機をランダムに検査し、正しく開票されているかどうかを確認するといい。私たちが取れる最善策は、不正行為を確実に検知できるようにすることだ」と同氏は語る。

　予算の都合上、情報セキュリティシステムやITシステム、電子インフラへの投資が限られる地方自治体において、リスク軽減策として有効なのは何か。FBI元次官補で、コンサルティング会社Navigant Consultingのマネージングディレクターを務めるボブ・アンダーソン氏によれば、最新かつ堅牢かつ継続的なトレーニングを通じ、情報セキュリティについて職員を教育することだという。

　私たちは米国の選挙が、他国が政治的影響力を行使するための場になり得ることを認識する必要がある。そうした動きは今や、サイバーセキュリティシステムにまで広がりつつある。「高度なマルウェアを駆使した大規模攻撃への備えが必要だ。こうした攻撃は連邦政府レベルや州レベルで選挙に影響を及ぼすことになりかねない。今後こうした脅威に対処していくためには、即時対応計画と緊急事態対応計画を策定する必要がある」とアンダーソン氏は語る。