もう過去の常識は通用しない！
「残念なセキュリティー対策」を回避せよ

　高まるサイバーリスクが企業の経営課題となっている。従来は効果的といわれていた対策や、これまでの常識が通用しない攻撃手法、インシデントが現在は数多く発生。時々刻々と変化する状況に対応することが、非常に難しい時代となっている。

　「もちろん、昔と比べれば対策ソフトの性能や防御のレベルは格段に向上しているため、対策を施した箇所を正面突破されることは少ないと思います。にも関わらず侵害が多発しているのは、脅威は『想定外』のところを突いてくるからです」とラピッドセブン・ジャパンの古川 勝也氏は指摘する。見えていないものは守ることができない。多くの企業が被害に遭っているランサムウエアも、最初のきっかけの多くは想定外のところで発生しているという。

　セキュリティー侵害の原因となる想定外には、大きく次の3種類がある。

　1つ目は「想定の範囲やレベルが間違っている」ことだ。想定するリスクの内容がアップデートされておらず古いままであり、現在は妥当といえなくなっているケースなどがこれに当たる。「セキュリティーインシデントの発生要因のうち、これが最も多くを占めていると当社は考えています」と古川氏は言う。

　2つ目は「実施した対策が想定通りに機能していない」ことだ。監視や対策の範囲は正しく定めているものの、ソリューションがインストールされていない機器の存在、パッチの適用漏れ、設定や運用の人為的ミスなどによって適切に機能できていないケースである。これはコントロール可能なリスクのため、抜け・漏れのない対応で抑えることが重要になる。

　そして3つ目が「想定を超えた手法による侵害」である。企業・組織の側は、社会的に果たすべきセキュリティー対策を実施していても、そのレベルを明らかに超えた攻撃によって被害に遭うケースがこれに当たる。これは事実上、防ぎようがない侵害とみなされる。

　「想定外をつぶすためには、セキュリティー対策の常識といわれてきた“樽の理論”を再考することが必要です」と古川氏。樽に水を入れる場合、水は樽板の最も低い部分までしか溜めることができない。樽の理論は、これをセキュリティー対策に当てはめたもので、「最も対策の手薄な部分がその組織のセキュリティーレベルを規定する」という考え方のことだ。

　「最近のセキュリティーソリューションは高性能なので、樽板の高さは十分です。一方、多くのインシデントが樽板の“継ぎ目”で発生しています。現在はこの継ぎ目から水が漏れるという視点でのセキュリティーが求められているのです」と古川氏は強調する。