オーストラリア政府はいかにして国家のサイバーセキュリティレジリエンスを構築し、脅威に立ち向かうべきか

2020年にはリモートワークが急増し、大規模なデータ侵害が続き、オンラインでのプライバシー侵害がもたらす結果への関心が高まったことで、サイバーセキュリティに対する世間の注目はかつてないほど高まっています。その結果、世界各国の政府は、私たちが最も大切にしているデジタルリソースを扱う際に企業が遵守すべき戦略や規制を含め、サイバーセキュリティ計画とインフラストラクチャの再構築と更新に乗り出しました。

サイバーセキュリティのための戦略的保護ガイドラインは新しい概念ではなく、NISTのような組織は長年にわたり、世界各国の政府機関の政策に指針を与えてきました。デジタル化が急速に進む中、絶えず変化する状況下で、脅威の数や攻撃の可能性、コンプライアンス要件のすべてに対応し続けることは、多くの組織にとって困難になっています。

最近、サードパーティサーバー上の設定ミスによりS3バケットが容易にアクセス可能な状態となり、ニューサウスウェールズ州の運転免許証5万4000件が流出するという事態が発生しました。これにより数千人の個人情報が侵害され、報告を行ったセキュリティ研究者は、データがすでにダークウェブで売買されている可能性があると指摘しています。悲しいことに、これは容易に防げる問題であり、キャッシュの設定時にセキュリティが十分に考慮されていれば、そもそも発生しなかった可能性が高い事案です。

オーストラリア政府は最近、「オーストラリア・サイバーセキュリティ戦略2020」を発表しました。これには、今後10年間で16億7000万ドルの資金を投入する新たな取り組みが盛り込まれており、「オーストラリア国民、企業、そして私たちが依存する不可欠なサービスのために、より安全なオンライン世界を構築する」というビジョンの実現を目指しています。これは非常に歓迎すべき見直しであり、更新された計画と言えます。特に、その主要な目的の一つが以下であるためです。

"企業が自社の製品やサービスを保護し、既知のサイバー脆弱性から顧客を守るための行動"。

政府機関は（当然のことながら）国家の重要インフラに関するセキュリティ対策、つまり壊滅的な組織的攻撃を受けやすい領域に注力する傾向がありますが、これまで欠けていたのは、私たちが日々利用するデータを収集・活用する企業向けのガイドラインでした。

さて、このような公式戦略に関しては、すべてが順風満帆とはいきません。解釈が難しく、詳細が曖昧な場合もあり、結局は組織のセキュリティチームが非具体的なガイドラインに基づいて計画を組み立てなければならないこともあります。この問題はオーストラリア政府に限ったことではありませんが、今回発表された最新の戦略を分析してみましょう。

予防ではなく、事後対応への焦点。

更新されたオーストラリア・サイバーセキュリティ戦略は、2016年の前回発表時よりも関連性が高く、企業、特に中小企業（SME）向けの包括的な計画となっています。この戦略では以下が概説されています。

"政府および大企業は、中小企業（SME）の成長とサイバーセキュリティへの意識および能力向上を支援する。オーストラリア政府は大企業やサービスプロバイダーと連携し、脅威ブロック、ウイルス対策、サイバーセキュリティ意識向上トレーニングなどの「安全なサービスバンドル」の一部として、中小企業にサイバーセキュリティ情報とツールを提供する。"

これにより、中小企業はサイバー脅威からビジネスを守るための基本的な基盤を整えることができますが、これは大部分が事後対応的なアプローチであり、サイバーセキュリティの全体像から見れば比較的小さな部分である検知ツールに重点が置かれています。

また、大企業がどのように自らを守り、攻撃対象領域を削減できるかについての情報が驚くほど少ないのも事実です。多くの企業は（通信や交通などの）重要インフラ保護計画の一部に含まれているかもしれませんが、金融サービス、小売、その他多くの業種は、サイバー攻撃を受けた際に失うものが非常に大きいです。おそらく今後の法整備で補完されるのでしょうが、それでも企業レベルで綿密なサイバーセキュリティのベストプラクティスを徹底することの重要性を強調することは、大きな変化をもたらし、データ侵害やサイバー犯罪を減少させるために不可欠です。

全体として、この戦略は事後対応的なアプローチに基づいています。サイバー攻撃への対抗、現役のサイバー犯罪者の妨害と訴追、そして国際的な同盟国とのインテリジェンス共有はすべて重要な要素ですが、もし国家レベルの保護基準が「予防」に重点を置いていたらどうでしょうか。重要インフラの保護対策に加え、すべての企業でセキュリティが最優先事項となり、デジタル世界を構築するコードに触れるすべての人が攻撃を未然に防ぐための適切な備えを持っていれば、被害者が費やす時間、金銭、そして精神的な苦痛を計り知れないほど軽減できるはずです。

レジリエンス（回復力）は可能ですが、それには計画が必要です。

オーストラリア政府がサイバーセキュリティを本格化させていることから、これが国家レベルの主要なリスク領域として認識されていることは明らかです。私たちの生活を脅かす可能性のある他の悪意ある攻撃と同様に、レジリエンスは極めて重要です。それは単に攻撃に耐えるだけでなく、攻撃そのものを抑止する役割も果たします。結局のところ、脅威アクターでさえ怠惰になることがあり、成功への障壁が高すぎれば、彼らは目標を達成するために、より簡単な標的へとターゲットを変えるものです。

現在、私たちは世界的なサイバーセキュリティ人材不足に直面しており、これは世界中のCISO（最高情報セキュリティ責任者）を悩ませる種となっています。何十億行ものコード、絶え間ない大規模データ侵害、そしてかつてないほどの罰則リスク（マリオット・インターナショナルは2018年のデータ侵害で1億2300万米ドルのGDPR制裁金を科されましたが、今年に入っても再び侵害が発生しました）により、セキュリティ専門家に対する需要の溝は、現実的に埋まる見込みがありません。コードが多すぎる一方で、あらゆる角度からそれを強化するためのリソースが不足しているのです。

では、サイバー脅威に対して私たちが真に立ち向かえるという考えを諦めるべきでしょうか？決してそんなことはありません。レジリエンスには、利用可能なすべてのリソースを活用し、一歩先を考えることが必要です。多くの企業にとって、開発者はコードを書くその瞬間に、強力な防御手法を組み込むことができます。これをビジネス全体に浸透した目に見える前向きなセキュリティ文化と組み合わせることで、攻撃者が揺さぶりをかけたり突破したりすることが困難な強固な基盤が築かれます。ただし、この手法を成功させるには、オーストラリア・サイバーセキュリティ戦略のような提案を参考にしつつ、自社のビジネスに有効な変化をもたらすために、それらをどのようにカスタマイズできるかを深く掘り下げる必要があります。

そのために、いくつかのヒントを詳しく見ていくことが重要です。

• セキュリティ意識向上トレーニング：これは中小企業向けに特に推奨されているもので、レポート全体としては、全スタッフに基本的なセキュリティ衛生（フィッシングメールの見分け方、不明なリンクをクリックしないなど）を教えることを主眼としています。しかし現実的には、それ以上に踏み込み、特にコードを扱う開発者など、役割に応じた内容にする必要があります。セキュリティ意識向上トレーニングは、予防措置およびレジリエンス構築の不可欠な要素でなければなりません。
• 教育：今後10年間でサイバーセキュリティ人材不足を解消するため、小中学校から高等教育に至るまでサイバーセキュリティ教育を重視するという包括的な計画が示されたことは、非常に喜ばしい変化です。将来のセキュリティのスペシャリストを育成するためには不可欠ですが、現在のビジネスニーズに対応するという観点からは、開発者向けの実践的なセキュアコーディング研修が、一般的な脆弱性を減らすために絶対的に必要であり、機能的なセキュリティプログラムの一部として組み込まれるべきです。

セキュリティの専門家として、私たちは世界中の企業が、単なる基礎的な意識向上対策を超えた社内セキュリティプログラムを構築することの重要性を理解できるよう、さらなる支援を行う必要があります。開発者のスキルアップに時間を割くことは、多忙なAppSecスペシャリストの負担を軽減します。また、組織全体がそれぞれの役割において可能な限りセキュリティ意識を持つことは、ソフトウェアにおける攻撃対象領域を削減するために極めて重要です。

開発者のスキルアップは有意義な投資であるにもかかわらず、なぜ多くの企業がそれを無視しているのでしょうか？

DDLSによる最近の調査では、オーストラリアの組織においてサイバーセキュリティ研修の優先順位が非常に低いことが明らかになりました。実際、研修の優先順位トップ3にも入っていません。それにもかかわらず、回答者の77%がサイバーセキュリティ意識をビジネスにおいて「極めて重要」または「非常に重要」と評価しています。

そのため、オーストラリアが拡大するスキルギャップの解消に苦戦し、インフラのレジリエンス強化に向けて、インフラサービスから小売業に至るまで、あらゆる分野で取り組むべき課題が残されているのも不思議ではありません。

ここには、政府がセキュリティスキルの基準となる認定制度や規制を策定する大きなチャンスがあります。戦略でも、限られたリソースを活用する方法としてこれに言及しています。しかし、これもまた将来的な提案に留まっているようです。影響の大きい分野から優先的に着手すれば、もっと早く始められるはずです。私にとっての希望の光は、各組織内の開発チームにあります。彼らに成功のためのツールと知識を与えれば、一般的な脆弱性を未然に防ぎ、組織内でのデータ侵害リスクを大幅に低減できるはずです。

2019年には、全データ侵害の24%が人的ミス、具体的にはセキュリティ設定の不備によって引き起こされました。これらは通常、コードレベルで比較的簡単に修正できるものです。もしここで研修を優先し、全社的なセキュリティ意識向上と組み合わせれば、何千人もの顧客が被害を受けたという通知に署名するCISOは減るはずだと私は確信しています。