2020年は何を信じよう？ サイバーセキュリティのゆく年くる年：半径300メートルのIT（1/2 ページ）

2019年のサイバーセキュリティを振り返ると、「これまで信じていたものの崩壊」が印象に残っています。来年は、一体何を信じればいいのでしょうか。セキュリティベンダー各社の予想から、2020年の「信用と対策」について考えてみました。

[宮田健，ITmedia]

　あっという間に1年が終わり、間もなく2020年になります。2019年もサイバーセキュリティの世界にはさまざまな事件がありました。編集部からは「この1年を振り返る何かを」と振られているのですが――過去だけではなく、未来を見てみましょう。セキュリティベンダーが次々に、2020年の予測を発表しています。

本連載でもさまざまな事件を取り上げてきました

各社が「ディープフェイク」「サプライチェーン」への攻撃の激化を予測

　まず、筆者が見かけたセキュリティベンダー発表の「2020年脅威動向予測」を振り返ってみましょう。各社が自社の知見を基に発表した脅威予測を俯瞰（ふかん）し、大まかな傾向を見てみたいと思います。

「ディープフェイク」による詐欺やサプライチェーン攻撃に警戒：2020年の脅威動向を予測 | トレンドマイクロ セキュリティブログ

マカフィー、2020年の脅威動向予測を発表| McAfee Press Release

2019年の振り返りと2020年の脅威予測（パロアルトネットワークス）

Avast Press | アバスト2020年版脅威予測レポートを発表

2020年のビジョン：来年のサイバーセキュリティ予測｜チェック・ポイント・ソフトウェア・テクノロジーズ株式会社のプレスリリース

2020 年のサイバーセキュリティトレンド 5 カ条 - News Center Japan

Top 5 Cybersecurity Trends to Prepare for in 2020 | Imperva

　ベンダー各社が発表した上記の予測を見ると、多くのベンダーが人間の心を攻撃する「ディープフェイクによる詐欺」と、関連会社や組織内の人間の中で弱い部分を狙う「サプライチェーンに対する攻撃」を指摘しています。特にサプライチェーンに関しては2019年12月、廃棄物処理業者の従業員がHDDを不正に転売していた事件が記憶に新しいでしょう。

防ぎようはあるのか　HDD横領転売事件から見える「サプライチェーン・リスク」 (1/2) - ITmedia エンタープライズ

バズワードにとどまらない未来予測――ベンダー独自の視点にも注目を

　ここまではセキュリティベンダー各社が共通して述べる注意点といえます。筆者が興味深く感じているのは、特定のベンダーが独自の視点から指摘する脅威です。

　McAfeeやCheck Point Software Technologiesは、個人や企業組織を苦しめてきたランサムウェアの被害が「2段階の脅迫攻撃に進化する」と指摘しています。これは、従来の標的型ランサムウェアの攻撃にとどまらず、まずファイルを暗号化して脅迫し、さらにシステム復元中の被害者に対して機密データの開示を迫るというもの。ランサムウェアは現在進行形で、しっかりとした対策をしなければならない脅威です（ランサムウェア単体の対策ではなく、バックアップを含む基礎的な対策を！）

悪質ランサムウェアでシステムがダウン！　どうすればいい？　――専門家が語る“意外な対処法” (1/3) - ITmedia エンタープライズ

　Palo Alto Networksは、サイバー犯罪の「分業体制」が整い、攻撃者グループ間の協力や連携によって、過去にマルウェアに感染したマシンの二次被害が増える動きを指摘しています。日本においては、2019年末に大きな話題となっている「Emotet」がその代表例といえるでしょう。

猛威を振るうEmotet……これは単なる「種まき」だ？　辻伸弘氏の危惧する近未来 (1/2) - ITmedia エンタープライズ

　そして、ImpervaとMicrosoftの脅威予測レポートには「ゼロトラスト」という言葉が出ました。ゼロトラスト、日本においては「2段階認証」同様のバズワードとして耳にした方も多いのではないでしょうか。私自身も最初はバズワードと捉えていたのですが、識者にいろいろと教えていただくうちに、「この考え方はもはや避けられない」と思うようになりました。

　ゼロトラストは、特定の製品やソリューションを指すものではなく、セキュリティの概念で、よく「性悪説で考える」と説明されます。通信の安全性を守るために、従来の「壁」だけを信じずに、個別のアクセスがあるたびにその信頼性を最新ポリシーに基づいて判断し、ユーザーやデバイスを常に認証するというもの。「Trust, but Verify（信じよ、しかし確認せよ）」から「Never Trust, always Verify（信じるな、常に確認せよ）」へ、考え方をシフトさせることをいいます。

　関連会社から納品されるプログラムモジュールや物理的な部品、協力会社の開発思想に、ゼロトラスト――Never Trust, always Verify――という考え方があれば、それこそが最強のサプライチェーンリスク対策になり得るでしょう。ゼロトラストは2020年、私が最も注目するバズワードです。