【新連載】セキュリティインシデントが繰り返される理由:日本型セキュリティの現実と理想(2/3 ページ)
セキュリティ対策をしているにもかかわらず、標的型攻撃による情報漏えいなどのインシデントが後を絶たないのはなぜか――。業界通の筆者が、その理由を歴史からひも解く渾身の新連載。
サイバー攻撃の現状
しかし、攻撃側の手法が大きく進化した現在の環境では、そう簡単に対策はできない。これまでのアンチウイルスソフトやファイアウォールなどから始まった情報セキュリティ対策のための各製品は、もちろんそれぞれに有効な対策だ。しかし、攻撃側はそれら単体では無効化してしまう手法をすぐに見つけてしまう。
また、攻撃手法というより効率面での観点になるが、簡単に攻略できる弱い箇所を見つける方法も進化している。これを裏付ける傍証としてセキュリティ業界の著名人で友人でもあり、ソフトバンク・テクノロジーのエバンジェリスト、辻伸弘氏(ちょうど本記事公開日が誕生日だ)の講演では以下のような話があった。
辻氏は、「ゴーストシェル」という国際的なハクティビストと個人的な興味からコンタクトをとった。その中でこの集団の中心人物の1人とTwitterで会話しているうちに、何かの弾みのような感じで“国内の政府系webサイトの脆弱性情報を貰った”という話をされていた。この事からも分かるように、脆弱性(弱い箇所のリスト化したもの)の情報はサイバー攻撃をしているハッカーたちの間でやり取りされているのだ。しかも、こんなに手軽で日常の出来事のように扱われているというのは、非常に驚きである。なお、辻氏は入手した情報をしかるべき機関へ速やかに連絡し、きちんと対処されたとのことだ。
サイバー攻撃をしているハッカーたちは、わざわざ堅固に防御されている箇所ではなく、脆弱性を持っているWebサイトやサーバを見つけ、それを足がかりに堅固に防御された重要情報にたどり着く。それは重要な情報を猪突猛進で狙っているのではなく、弱い場所を見つけ、それらの足がかりにしたいだけだ。つまり、あなたのいる組織に重要な情報がなくても、ただ単に対策が不十分なだけで踏み台としての利用価値があるから狙ってくる。
オンラインのデバイスであれば、全世界に張り巡らされたネットワークがつながっており、知らないうちに情報が漏れる。また、オフラインのデバイスだからと安心していると、USBメモリといった記憶媒体などから、やはり情報が漏れる。これらの攻撃から未来永劫、逃げることは難しい。
つまり、サイバー攻撃とセキュリティを取り巻く環境はかなり悲観的な状況なのである。
関連記事
- 「標的型攻撃ブーム」で騒ぐより先にやること
日本年金機構での情報漏えいを皮切りに、標的型攻撃に関する報道が相次ぐ。長年対策を呼び掛けてきたセキュリティ業界からは、「今度こそ適切な対応を」と願う声が上がる。 - 相次ぐサイバー攻撃被害 考え直したいセキュリティ対策
多くの組織がセキュリティ対策へ取り組んできた“はず”なのに、サイバー攻撃などの被害が止まないのは、なぜだろうか。セキュリティ対策の本質を考え直してみたい。 - 年金機構の漏えい事件は対岸の火事ではない
日本年金機構の情報漏えい事件は、対岸の火事ではない。明らかになった数々の管理体制の不備は、マイナンバー制度で危ないとされる企業のリスクと同じだからだ。 - 年金機構の情報漏えい、組織の問題点を探る
6月1日に約125万件もの情報漏えいを発表した「日本年金機構」。情報セキュリティなどの状況がどうだったのかについて考察してみたい。
Copyright © ITmedia, Inc. All Rights Reserved.