第16回 標的型攻撃が生んだセキュリティビジネスの“光と影”：日本型セキュリティの現実と理想（3/4 ページ）

[武田一城，ITmedia]

脅威の顕在化で拡大したセキュリティ市場

　大きな事件や事故でマーケットが活性化するのは、セキュリティ業界に限らない。地震などの大規模災害が発生すると、地震保険や耐震用の部材などが売れ、それを見越して株価なども跳ね上がる。これは、潜在的な需要が何かのきっかけで顕在化する経済のプロセスに過ぎない。

　標的型攻撃事件に限らず、セキュリティの業界や市場も多くの事件や事故によって潜在的な脅威が顕在化し、その脅威の本質を業界として伝え、人々や企業などを守るための対策を普及啓蒙することで拡大してきた。

　しかし、セキュリティをビジネスとしている立場の人がこの構造に気づき、利用しようとした場合には、話が変わってくる。煽られた情報を真に受け、実際には期待した効果がそれほど得られないセキュリティ対策にも関わらず、「対策済み」としてしまうことがしばしばあるのだ。

　繰り返しになるが、本来の意味での標的型攻撃の対策は非常に難しい。本質的な対策とは、多層防御に代表されるような攻撃者が侵入しにくい構造による時間稼ぎと、攻撃者がその防御構造の突破に手間取っている時に的確に対処するセキュリティのマネジメントだ。

　しかし、セキュリティ業界の企業でも、それらの本道では収益を上げられない企業も出てくる。そのため、本質的な脅威の対策と直接は関係無い製品が“プロモーション活動”によって標的型攻撃対策に効果があると市場に捉えられてしまうことがある。

　そのプロモーション活動でよく見られるのが、限りなく製品営業に近い立場ながら、“エバンジェリスト”と称してセミナーなどで脅威の動向を話してから製品を紹介する手法だ。話の構成も練られ、講演者の巧みな話術もあり、本来の機能や範囲より多くのことができると聴く人に思わせてしまうのだ。ここ数年間でセキュリティ業界には、非常に多くの限りなく営業に近いこのような “エバンジェリスト”の肩書きを名乗る人が増えた。その背景には、上述のようなプロモーション活動が一般的に行われるようになったことがあるのだ。

　本来のエバンジェリストは、日本語の直訳である「伝道師」の通り、世の中に問題の本質部分や対策を伝え、導く存在であるはずだ。残念ながら、エバンジェリストとは言い難い活動をしている人がみられた。その結果によっては、重要機密はもちろん、場合によっては日本の将来までも失われているかもしれないのだ。

　そして、この自称“エバンジェリスト”が紹介する製品の多くは、残念ながら本当の意味での標的型攻撃の対策になることはない。

　もちろん、製品自体に全く効果がないということはないのだろうが、その対象は本当の意味での標的型攻撃ではない。標的型攻撃の一部とされる幾つかの手法――いうなれば、普通の攻撃にも使われる手法への対策である。これでは、攻撃と対策の本質を理解している人々から羊頭狗肉と謗られても仕方がないだろう。

　私の周りにもこのエバンジェリストという肩書きを持つ人が多くいる。それらの方々の多くは正しく伝えるための創意工夫をしながら、懸命にその「伝道師」としての役割を全うしている。しかし、一定割合でこのような自称“エバンジェリスト”の人々がいることも事実であり、そこは自分で真贋を見極める眼を養うか、それを判断できる頼れるセキュリティ専門家と日ごろから情報交換する手段を手に入れることが重要だ。つまり、正しい情報収集がセキュリティ対策の最大の武器や防御策になり得るのだ。