AI時代のサイバー攻撃は防ぎきれない
レジリエンス向上に向けた具体策とは

　先日、Anthropicが発表したAI「Claude Mythos（クロード・ミュトス）」は、セキュリティー領域に大きなインパクトをもたらした。既知・未知の脆弱性をかつてないほどのスピードで検出し、自律的に修正もする。守る側に多くのメリットをもたらす一方で、悪用されれば大変な脅威になる。現在は限られたベンダーの防御目的利用に限定されているが、状況は引き続き注視していく必要があるだろう。

　「ビジネスは企業同士のつながりで成り立っているため、自社だけを守ればいいわけではありません。取引先が被害を受けると、影響はサプライチェーン全体に広がります。業務が停滞し、生産能力が低下すれば、顧客は他社の製品・サービスに乗り換えるでしょう。売上の減少に加えて復旧コスト、罰金、訴訟費用などの負担が生じるほか、長期的な信頼・競争力にも影響します」とNTTセキュリティホールディングスの関根 太郎氏は話す。実際、日本で昨年発生した飲料メーカー大手や事務用品販売大手のサイバー攻撃被害は記憶に新しい。同様のことが、どの企業で起こってもおかしくない時代になっている。

　サイバーセキュリティーはもはやIT部門の課題を超えて、全社の経営課題といえる。攻撃を水際で防ぐのはもちろんのこと、サプライチェーン全体で事業の早期復旧を図る「レジリエンス」の強化を図ることが肝心だ。

　サイバーセキュリティーを経営視点で考える。その役目を直接的に担うのは経営層やCISOだが、現在の企業・組織ではシステム環境が多様化し、リスクの把握が困難になっている。DXが進む中、既存のIT環境だけでなくクラウド、IoT、OT領域などのシステムが増加しているからだ。

　「様々なベンダーのシステムが相互に連携している環境では、個々のシステムを監視するだけではリスクの全容を把握できません。システムやデータをつなぐAPIが狙われたり、IoTデバイスのファームウエアがリスクになったりすることもあります。IT部門が関与せず、業務部門が独自にSaaSを利用するシャドーITのリスクも高まっています」と関根氏は述べる。

　また、日常的にシステムを扱っているIT部門や事業部門の担当者に比べて、経営層はITリスクに対する認識が十分ではない傾向がある。もちろん、IT専門家レベルの知識は不要だが、正しい意思決定を行うためには、必要最低限の知識を備えて現場業務を理解することが肝心だ。「そして、セキュリティーを『コスト』ではなく『事業継続のための投資』と捉えることが重要です」と関根氏は主張する。

　このような意識の転換を図る上では、経営指標のKPIにMTTD（平均検出時間）やMTTR（平均修復時間）などを組み込むことが1つの方策となる。また、報告やエスカレーションのルールを変更して権限を委譲し、危機時の迅速な意思決定と適切なアクションが可能な体制を整備することも重要だ。全社的なセキュリティー教育や演習プログラムを策定し、経営層が率先して取り組むことも検討すべきだろう。

　「ステークホルダーへの説明責任も果たさなければいけません。お客様や取引先、監督官庁やメディアに対する透明性を確保することで、信用やブランド価値の毀損を回避し、インシデント後の事業継続性を高めることにつながります」と関根氏は述べる。

　NTTセキュリティ・ジャパンは、このような経営視点のサイバーセキュリティー強化を包括的に支援している（図1）。「NISTのサイバーセキュリティフレームワークに基づき、攻撃を防ぐとともに事業を止めない仕組みを構築します」と関根氏は語る。 　具体的に、脅威の監視とインシデント対応を担うのが、MDRプラットフォームとセキュリティオペレーションセンター（SOC）だ（図2）。顧客企業のIT／OT環境やIoT環境、クラウドやリモート環境、サプライチェーン全体を幅広く可視化するMDRプラットフォームを用いて、SOCが活動する。「脅威インテリジェンスやAIをフル活用しながら、経験豊富なアナリストがログやアラートを分析します。優先度の低いアラートの排除、巧妙に偽装された攻撃の可視化などを可能にします」と関根氏は説明する。 　インシデント発生時にはCSIRTと連携し、感染端末の即時隔離や通信遮断を実施することで、被害の拡散防止と迅速な業務復旧を支援する。また、マルウエア感染による影響範囲の調査や証跡調査によって、再発防止と対策強化もサポートするという。

　「サイバー攻撃対策やレジリエンス強化の対象範囲にはサプライチェーン各社も含みます。また、単発で終わらず継続的に改善していきます。内部不正対策、グループガバナンスの確立など、中長期的な支援にも対応することが可能です」と関根氏は続ける。

　多くの企業が、NTTセキュリティ・ジャパンと共にサイバーレジリエンス強化を実現している。例えば、金融庁によるサイバー攻撃対策指針に準拠した地方銀行向けセキュリティープランニング、米国金融監督当局によるサイバーセキュリティー評価基準に基づく保険会社向けのサイバー攻撃対策アセスメント、中央省庁やエネルギーサービス事業者のCSIRT構築など多くの実績があるという。

　水際で防ぐ防御力を高めることは重要だが、AI攻撃を完全に防ぎきることは困難だ。たとえインシデントが発生しても、影響を最小限に閉じ込め、事業を継続するレジリエンス強化の視点が重要になる。

　NTTセキュリティ・ジャパンは、サイバーセキュリティーを経営課題と捉え、全社の意識改革から戦略策定、体制整備を進める企業を強力に支援する。取り組みの全フェーズをトータルに支援してくれる同社のようなパートナーと組むことで、AI時代に求められる防御力とレジリエンスを両立することができるはずだ。