39秒に1回発生するサイバー攻撃。政府はついに、これに対抗する準備を整えたのでしょうか？

本記事は VMblog に掲載された記事の転載です。内容を更新し、こちらに掲載しています。

‍

「サイバーセキュリティ意識向上月間」が何度訪れようと、どれほど優秀なセキュリティ専門家が投入されようと、あるいはどれほど巨額の資金がブラックホールに消えようと、大規模なデータ侵害の問題は年々悪化の一途をたどっているようです。今やデータ侵害は日常茶飯事となり、壊滅的な被害でもない限り、主要ニュースで取り上げられることさえ稀です。2020年には、360億件以上の記録が流出するという悪質なサイバー攻撃が発生しました。2021年にはどれほどのデータが奪われるのか、注視する必要があります。

脅威アクターは常に攻撃の機会をうかがっており、すべての攻撃が壊滅的というわけではありませんが、平均して39秒に1回の頻度で攻撃が発生しています。私たちは戦いに勝利するどころか、データ防衛側が攻撃者に対して圧倒的に不利な状況に置かれています。

しかし、変化の兆しは見えています。バイデン政権は就任当初からサイバーセキュリティを優先課題に掲げ、100億ドルの追加予算を投入しました。これは間違いなく正しい方向への一歩ですが、頻度と巧妙さを増すサイバー犯罪に対して、実際にどれほどの効果があるのでしょうか。

サイバー脅威の解決には（グローバルな）協力が不可欠

ますます強力になるサイバー攻撃に対する効果的な防御は、一握りの国だけで担えるものではありません。残念ながら、長らく全体的な統一戦略が欠如していました。しかし、国家主導の脅威が増大する中、多くの政府がようやく事態の深刻さに気づき始めています。

米国政府が被害を受けたSolarWinds攻撃は、何が可能かを示す明確な警告であり、重要インフラが侵害された場合の壊滅的な被害を予見させるものでした。最近では、FBIがフロリダ州の水道システムが攻撃を受けたと警告を発しました。脅威アクターは遠隔操作で給水システムを汚染しようとしました。深刻な被害が出る前に阻止されましたが、より高度な攻撃者であれば、人命を脅かすような大規模な破壊を引き起こしていた可能性があります。

世界各国の政府は、ゆっくりと、しかし確実にサイバー防衛への投資を増やしています。英国はサイバーセキュリティ分野に過去最高額の投資を行い、新たなタスクフォースを設立しました。オーストラリアはサイバーセキュリティ戦略を強化し（特にインフラ向け）、イスラエルやデンマークはサイバープログラムの模範と見なされています。日本はサイバー防衛で世界5位にランクインしています。これは、2018年に当時の桜田義孝サイバーセキュリティ担当大臣が「コンピュータを使ったことがない」と発言したことを思えば、歓迎すべき信頼の証です。シンガポール政府の最近の発表では、将来の通信インフラにおけるAIとサイバーセキュリティ研究に5,000万ドルの投資を約束しており、デジタル上の安全性と完全性を強固にするための先見の明がある動きと言えます。

私たちが急速に未来の技術へと進む中で、強力で調整されたグローバルなサイバーセキュリティ対応は不可欠であり、すべての政府機関がこれを重要な焦点として掲げるべきです。

資金が増えても問題が減るとは限らない

米国、英国、オーストラリアを例に挙げると、これらの国々はここ数年で政府主導のサイバーセキュリティと専門知識への投資を増やしました。ようやくセキュリティが優先事項となり、「善玉」が戦いに勝つために必要なものを手に入れているように見えるかもしれません。

確かにそれは助けになりますが、全体像の一部に過ぎません。その資金で専門家チームを編成し（バイデン政権の資金投入のように）、包括的なバグ報奨金プログラムを実施し、壊滅的な侵害が発生した際の最高レベルのインシデント対応や緩和策を講じることはできます。しかし、タスクフォースや脅威対応にどれだけ資金を投じても、このようなサイバー防衛へのアプローチでは、わずかな進歩しか望めないでしょう。

すべての政府は、事後対応型のセキュリティ対策を超えて、より予防的な戦略に真剣な努力（と資金）を注ぐ必要があります。成功したサイバー攻撃への対応にばかり注力し、そもそも攻撃を防ぐための取り組みを怠れば、どれだけ資金を投入しても増大するリスクを抑えることはできません。真にプロアクティブなセキュリティアプローチとは、インフラの強化に予算を割り当て、効果的なセキュリティトレーニングとスキルアップを展開し、最初から攻撃対象領域を可能な限り削減することを目指すものです。

サイバーセキュリティのスキル不足は解消されないかもしれないが、潜在能力は無駄にされている

高度な訓練を受けた専門のセキュリティ人材は世界中で非常に需要が高く、サイバーの達人が溢れかえるような状況は今後も期待できません。しかし、だからこそ政府や組織は、手元にあるリソースをより創造的かつ賢明に活用し始める必要があるのです。

真に予防的なサイバー防衛アプローチは、ソフトウェア開発やインフラプロセスに関わるすべての人が、自身の役割において可能な限りセキュリティ意識を持つことから始まります。特に開発者には、適切なセキュリティスキルアップと、業務に最適なツールが必要です。そうすることで、セキュアコーディングをプロセスに不可欠なものにできます。これは、一般的な脆弱性が明るみに出る前に対処する上で非常に有効です。これだけでも、ソフトウェア開発ライフサイクルの後半におけるプレッシャーや手戻りを減らす、強力かつ低コストな一歩となります。

私たちはサイバーセキュリティのベストプラクティスにおいて、人間主導のアプローチを強化する必要があります。自動化やツールへの過度な依存、そしてすでに組み込まれ発見された問題への事後対応に頼るよりも、その方が優れた結果をもたらすでしょう。今日の侵害件数を見れば、現在の戦略が機能していないことは明らかです。