「日本のセキュリティ信仰は構造的にズレてる」 コスパよく、すぐ救われる“左側”の防衛術：特集：ID・パスワードから始める「引き算」のセキュリティ（2）（1/3 ページ）

「高額な製品を導入すれば安心だ」――そんな日本のセキュリティ信仰は、構造的にズレているのかもしれない。攻撃者エコシステムが拡大し、勢いを増す中、セキュリティ担当者はわざわざ不利な戦場で戦わされている。東京大学 先端科学技術研究センターの西尾素己氏が、認証情報保護に関する新たな視点と、防御側が「絶対的に優位」に立てる“左側”の戦場について明かした。

[宮田健，＠IT]

　近年発生したランサムウェア攻撃の多くが認証情報の窃取から始まる状況を踏まえ、基礎中の基礎である認証情報（ID・パスワード）保護を基点にしたセキュリティ対策の見直しの重要性を問う本特集「ID・パスワードから始める「引き算」のセキュリティ〜ゼロトラスト狂騒曲の果てに」。初回は、「サイバー攻撃の高度化・複雑化」という決まり文句を見直し、その奥にある「複雑化のわな」について整理した。

　第2回となる今回は、攻撃側と防御側の実態をよく知る西尾素己氏（東京大学 先端科学技術研究センター 客員研究員）に「高度化・複雑化」の真相、認証情報保護における費用対効果を高める方法、セキュリティ対策見直しのポイントを聞いた。

東京大学 先端科学技術研究センター 客員研究員 西尾素己氏

「サイバー攻撃は、高度化はしているが、むしろシンプル」その理由とは

――セキュリティ業界では、「サイバー攻撃の高度化・複雑化」という決まり文句がしばしば使われます。しかし、問題は「攻撃の高度化・複雑化」ではなく「セキュリティ対策の高度化・複雑化」にあるのではないかと編集部では考えていますが、西尾さんはどのように見ていますか？

西尾氏　一部同意するところがあります。これは“ストラクチャー”で考える必要があると思っています。

　ひと言でいえば、攻撃側はよりシンプルになり、守る側は複雑になっています。「攻撃側はシンプル化」と言える理由は、高度な分業が進んでいるからです。攻撃者は個別のチーム内で分業しているわけではなく、アンダーグラウンドの専門業者、MaaS（Malware as a Service）提供業者に作業を外注しています。こうなると、例えばマルウェアを開発する業者は、純粋に機能の開発や利便性の向上に注力できます。開発されたマルウェアは、検知を回避する難読化専門業者に送られ、制御を行うC2（Command＆Control）サーバも、C2aaS（C2 as a Service）のような専門の提供業者が存在します。C2aaS業者は、いかに検知されにくいインフラを維持するかという点のみを考えればいいわけです。

　このように、攻撃のエコシステム全体で細かな分業が進んでいる上に、個々の業者はAIを有効利用しています。攻撃を構成する個々の要素は、それぞれの専門業者が本気で作り込んだ、高い品質を確保できるのです。攻撃実行者が受け取る成果物、つまり最終的な攻撃パッケージだけを見ると、非常に高度に作り込まれた、複雑なものに見えます。しかし、攻撃側一人一人の作業負荷は、分業化によって著しく低くなり、むしろシンプル化していると言えるのです。

――一方で、守る側の企業が複雑さを抱え込んでしまうのはなぜでしょうか？

西尾氏　守る側の最大の課題は、いまだに強固な“人依存”から脱却できていない点にあります。

　企業の規模を問わず、情報システム部門の担当者は、あらゆる対策を自分たちだけで実施しなければならない状況に置かれています。確かに自動化をうたうような便利なセキュリティ製品も出てきました。しかし、それを導入すればするほど、担当者は「あれもこれも対応しなければならない」と、追い詰められた状態に陥ります。

　それぞれのセキュリティ製品を適切に運用するにも、個別の専門知識が求められるでしょう。一人の担当者が習得できる知識には限界があり、十分なスキルを持つ人材を確保できる保証もありません。

　さらに、多くの経営者は、セキュリティ予算を単なるコストと捉え、予算を制限します。攻撃側は自らの行動を投資と見なし、高いモチベーションで取り組みますが、守る側はコスト削減の圧力とも戦わねばなりません。

　向き合い方の根本的な違いが、構造的な非対称性を生み出しているのです。

攻撃者の高いモチベーションを支える国家の影

――攻撃者のモチベーションが異常に高い背景には、どのような構造があるのでしょうか？

西尾氏　ランサムウェアなどの攻撃を主導する、主要なハッカーグループの背後には、特定の国家によるお墨付きが存在します。例えば、ロシア政府とハッカーグループの間には、ある種の協定が存在することが、「ContiLeaks」のリーク情報によって明らかになっています。その内容は、ロシア国内で活動しない代わりに、国外でのサイバー犯罪については、実質的に免罪符を与えるというものです。加えて、有事の際には国家のサイバー部隊として協力することを求めていました。

　国から合法的なお墨付きを得た犯罪グループは、制限が外れたように効率的な運営と、利益の最大化を追求しています。その結果、各プロセスに特化した専門業者が生まれ、アンダーグラウンドでの激しい業者間競争も起こっています。現在はRaaS（Ransomware as a Service）を提供する小規模な業者が急増しています。背景には、AI活用による参入障壁の低下があります。

　この政策は、税金を1円も投入せず、世界最高峰のサイバー攻撃能力を獲得したことを意味します。ロシアのような政府にとっては大成功と言えるでしょう。

　これに対し、守る側の多くの企業・組織は、サイバー攻撃を自然災害のように捉える傾向から、いまだ脱却できていません。インシデントが発生した直後は一時的に予算を投じるものの、時が経てば元の状態に戻ってしまいます。真剣に対策を講じようとしても、リソースが不足しているか、扱える人材がいないのが現状です。

日本企業におけるガバナンスとインセンティブの課題

――日本国内の法制度や市場環境における課題については、どのようにお考えですか？

西尾氏　民間企業がセキュリティ対策に巨額を投資する明確なインセンティブが存在しない点にあるのではないでしょうか。

　米国では、証券取引委員会による適時開示の義務化や、厳格な規制、株主代表訴訟の存在によって、サイバーインシデントが株価に直接反映されます。国防総省を中心にセキュリティ調達基準「SP 800-171」が定められています。このSP 800-171を満たさなければ防衛産業での受注を獲得できないので、企業がセキュリティ対策を講じる強力なインセンティブとして機能します。

　一方、日本ではサイバー攻撃を受けた企業を、単に被害者として扱う風潮が強く残っていると考えています。企業に求められる善管注意義務を満たしていたかどうか、客観的に評価する基準が整備されていません。ペナルティーを科す法的な罰則規定も存在せず、対策を怠った場合の経営リスクが具体的にイメージしづらい状況です。

　その結果、多くの経営者はセキュリティ対策への本質的な投資を渋り、「特定の製品を導入すれば安心」という考え方に依存しがちです。