東京五輪に備えるセキュリティ対策【前編】

東京五輪で増えるサイバー攻撃、「自社は無関係」と考えてはいけない理由

東京2020オリンピック・パラリンピック競技大会の裏側で、多くのサイバー攻撃が仕掛けられると専門家は予想している。その中でも「サプライチェーン攻撃」「Webサイトへの攻撃」に注意すべき理由とは。

公開 2019年11月12日 05時04分

著者

大久保心織

[TechTargetジャパン]

印刷する連載新着通知を受け取る

　東京2020オリンピック・パラリンピック競技大会（東京2020大会）開催を目前に控える日本。オリンピック開催国を狙ったサイバー攻撃が過去に多発していたことから、日本もその標的になる可能性が高いことを、政府やセキュリティベンダーなどが予測している。その危害が及ぶ範囲は、国や大会の運営組織だけでなく一般企業も含まれる。企業に迫る脅威と、実施すべきセキュリティ強化策について、複数のセキュリティベンダーの専門家に話を聞いた。

併せて読みたいお薦め記事

オリンピックとIT

セキュリティ対策のトレンド

「自社は関係ない」では済まないサプライチェーン攻撃

　大規模なイベントの開催に伴い、取引自体の数だけでなく、複数の企業が関わる場面も増えることが予想される。業務委託先の企業や子会社など商流に関わる企業を足掛かりとし、委託元の企業を狙う「サプライチェーン攻撃」は、取引の増加を受けて企業が懸念すべき脅威の一つだ。攻撃者は関連企業の業務システムやメールシステムなどへの不正ログイン、社内LANへの侵入などをきっかけに、本命である標的企業への攻撃の端緒を探る。

　サプライチェーン攻撃は独立行政法人の情報処理推進機構（IPA）のレポート「情報セキュリティ10大脅威 2019」において、組織を対象とした脅威の4位に初めてランクインした。このことからも、サプライチェーン攻撃には一層注意を払うべきだと言える。委託元が大企業であっても、攻撃の侵入口にされる委託先は中堅・中小企業である場合が少なくない。加えて部品の調達や製造、流通、販売など、さまざまな業種の企業が商流を形成している。そのため「中堅・中小企業だから狙われない」「自社は関係ない」という考えは成り立たず、あらゆる企業が危機意識を持つべきだ。

サプライチェーン攻撃で狙われる五輪関連組織トップ4

　東京2020大会に際しては、特に以下の業種に携わる組織や企業がサプライチェーン攻撃の標的になる恐れがあると、専門家は口をそろえる。

建築、社会インフラ関連企業
- 大会で利用する施設だけでなく、観客や参加者のための周辺施設を整備する建築企業や、電気や水道などの社会インフラ関連企業は、受注案件が増えるとともに攻撃を受けるリスクも増加する。
通信企業
- モバイルネットワークやインターネット環境を提供する通信企業は、競技場や周辺施設のネットワーク設備を構築する事業に携わる場合がある。通信の根幹となるネットワークが攻撃され汚染されると、そこに接続している全てのデバイスに被害が及ぶ可能性があり、影響度は高い。
自治体
- 国を挙げての行事であるオリンピックやパラリンピックは、自治体が運営や関連イベントに携わる機会が多いため、攻撃者にとって狙い目となる。
「クールジャパン」産業に関わる企業
- 政府は「クールジャパン政策」として、コンテンツ産業や伝統産業といった日本文化の海外における需要拡大を後押ししており、東京2020大会はそうした事業に関わる企業のビジネスチャンスとなり得る。「『われわれよりも日本の方が優れている』という印象を抱かれたくない」「『ジャパンブランド』を損ねたい」と考える諸外国が、オリンピック・パラリンピックという大舞台で“日本に恥をかかせよう”として攻撃を仕掛ける可能性がある。

サプライチェーン攻撃の対策

　攻撃者の侵入を防ぐには、メールシステムやデータ交換サービスといった情報交換の出入り口を保護することが有効だ。それらを保護するエンドポイントへの脅威の侵入を未然に防ぐエンドポイント保護プラットフォーム（EPP）製品や、不正なトラフィックを遮断するファイアウォールが役に立つ。

サイバーセキュリティクラウドの渡辺洋司氏

　サプライチェーン全体のリスクを念頭に置いて、適切な対策を取るためのアセスメントやマネジメントも欠かせない。Webセキュリティベンダーのサイバーセキュリティクラウドで最高技術責任者（CTO）を務める渡辺洋司氏は「企業ごとにシステムの構造や組織体制が異なるため、自社に合ったセキュリティ製品／サービスを導入し、対策をする必要がある」と指摘する。自社スタッフだけで情報セキュリティのリスクアセスメントをするのが困難な場合は、リスク評価サービスを利用するのも一つの方法だ。アセスメントで得られた結果を基に、大企業であれば情報交換の経路に抜け漏れがないかどうかを確かめ、中堅・中小企業であれば保護すべき資産の優先度を決め、対策を講じるとよい。

対策がおろそかになりがちな企業Webサーバ

　2018年の第23回オリンピック冬季競技大会（平昌冬季オリンピック）では、大会公式サイトが攻撃を受け、開会式のチケットが印刷できなくなった。一般的に、国際的な大規模行事の開催期間中は攻撃が激化する傾向がある上に、企業のWebサイトが稼働するWebサーバは攻撃者の侵入口になりやすい。Webサービスを運営している企業だけでなく、Webサイトを公開している企業であれば、どこでもそうした被害を受けるリスクがあるため、注意が必要だ。「社内セキュリティにはリソースを割く企業は多いものの、Webサーバは対策が進んでいないのが現状だ」と渡辺氏は述べる。

Webサーバ攻撃の対策

　Webアプリケーションファイアウォール（WAF）は、Webサーバへの不正アクセスをアプリケーション単位で保護できる有力な防御策だ。WAFはブラックリストやホワイトリストといった一定のルールに基づき、攻撃の疑いがあるトラフィックを遮断する。このルールをメンテナンスすることが難しい場合は、マネージドサービスを利用するとよい。製品選定時の注意として渡辺氏は、「保護対象となるWebサイトの構造によっては、運用に不具合が生じる場合もあるため、トライアルにおいて優先的に保護すべきものは何かを検証するのが望ましい」と指摘する。

　後編は、ITを利用した、場所にとらわれない働き方であるテレワークに伴うリスクに加え、フィッシングサイトや悪質メールの危険性と対策を取り上げる。

印刷する