「パスワード平文保存」が今なお繰り返される真因 徳丸浩が警告する「形だけのセキュリティ」：特集：ID・パスワードから始める「引き算」のセキュリティ（3）（2/3 ページ）

[石川俊明，＠IT]

「取りあえず受けること」が目的に　「形だけのセキュリティ」

徳丸氏　脆弱性診断の現場でも、象徴的な実態を目にします。そもそも脆弱性診断にお金を払う組織であれば、一定以上の高いセキュリティ意識を持っているはずです。しかし、診断結果で出てきた脆弱性を修正するかどうかというと、その対応は企業によって本当にまちまちです。

　中には、定期診断で重大な脆弱性が指摘されていても対応せず、「あれ、これ前回も前々回の診断でも全く同じ指摘が出ていますよね？」という状態で放置されているケースが珍しくありません。

――えっ……。なぜ診断コストをかけて発見した重大な脆弱性に対応しないのでしょうか。

徳丸氏　対応しない組織は、「これはインターネットに公開していない閉域網のシステムだから直さなくていい」といった、対応しないための「言い訳」を一生懸命探している印象があります。

　結局のところ、そうした組織は「セキュリティを向上させること」ではなく、会社のポリシーや業界のガイドラインで義務付けられているから、「取りあえず脆弱性診断を受けること」自体が目的になってしまっているのです。

　このような形だけの意思決定やプロセスも、セキュリティの基本に立ち返る上で見直すべきです。

「はやりの製品依存」から脱却し、まずはビジネスの脅威分析を

――本特集では、EDRやゼロトラストといった「はやりのセキュリティ製品」を導入することで安心したがり、結果として組織におけるセキュリティ対策が複雑化する「足し算のわな」に陥っていると問いかけています。

徳丸氏　ゼロトラストという言葉は、本来は非常に抽象度の高い概念です。しかしそのままでは売れないため、セキュリティベンダーが自社製品にゼロトラストというラベルを貼って販売しました。その結果、企業は「このラベルのついた製品を導入したから、セキュリティ対策は完了だ」と、ユーザー側も「やった気分」になってしまうのです。

　しかし、高価なセキュリティソリューションを導入したからといって万能ではありません。攻撃者によって真っ先にセキュリティ製品を無効化されることもあります。EDRを導入しているとしても、組織内の全てのサーバにEDRが導入されているわけでもないでしょう。

　アサヒグループホールディングスやアスクルのサイバー攻撃事例を見ても、彼らが何も対策をしていなかったわけではありません。それでも、取引先との接続機器やネットワークの弱点を突かれて侵入されてしまったのです。

　セキュリティ製品を導入して終わりにするのではなく、「自社のシステム構成において、どこが本当に脆弱な経路（アタックパス）になっているか」を棚卸しし、把握し続けることが何より重要です。

　一時、「アタックサーフェス管理」（ASM）という言葉が注目され、経済産業省も導入ガイダンスを出しました。しかし、そこで定義されている内容の多くは「外部脅威」に絞られていました。ですが現実のインフラを考えると、「取引先とのVPN接続」は外部なのか内部なのか、境界線が極めて曖昧です。

　外部に露出している部分だけをスキャンするような対策だけでは、このような境界のリスクを取りこぼしてしまいかねません。外の流行ばかりを追うのではなく、自社内部の構造と弱点（コンテキスト）を徹底的に把握・棚卸しし続ける必要があるのです。

――「自組織にとっての脅威を分析する」といえば「脅威インテリジェンス」を思い浮かべるセキュリティ担当者が多そうです。

徳丸氏　私が「脅威分析が重要だ」という話をすると、X（旧Twitter）での反応を見ていても、脅威インテリジェンスと脅威分析の2つが混同されているのをよく目にします。そこには誤解が存在します。

　脅威インテリジェンスとは、「どこそこの組織がランサムウェア攻撃を受けた、それはどの攻撃グループが、どのような技術的手法で仕掛けたのか」といった、外部の攻撃者側のトレンドを追う情報です。もちろんその情報自体も重要ですが、私が提唱している脅威分析は、もっと「自組織の内部」（マクロな事業リスク）に目を向けるものです。

――「外」ばかり見るのではなくて「中」をもっと見ましょうということですね。では、経営層や事業責任者も巻き込んで、自組織のビジネスリスクを再認識するための具体的な手法はありますか。

徳丸氏　現在執筆を進めている「徳丸本」（『体系的に学ぶ 安全なWebアプリケーションの作り方』の第3版で紹介予定の「EBIOS（エビオス）」というリスク分析手法が非常に有効だと考えています。

　EBIOSは技術的な詳細を並べるものではなく、事業責任者や経営層が会議に参加し、「事業活動において本当に困るセキュリティ被害は何か」をビジネスの文脈で分析するフレームワークで、フランス国家サイバーセキュリティ庁（ANSSI）が提唱したものです。

　製薬会社なら、「新薬の極秘情報が競合他社に漏えいする」「サプライチェーンの取引先から情報が漏えいする」「内部にデータを持ち出そうとする人物がいるかもしれない」といった、経営的・マクロ視点での脅威を数日間かけて洗い出します。

　私が新著の中で「EBIOSを用いた脅威分析」を解説しようと思い立った際、日本語で参考にできる本やこなれた入門書がほとんど存在しないという現実に直面しました。これは、日本企業において「自社の中を見つめる脅威分析」という取り組みがこれまでほとんど行われてこなかったという現状を象徴しているのではないかと見ています。

　だからこそ、こうした実績のある方法論を用いて、「自組織がビジネス遂行する上で直面している真のセキュリティリスクはどこにあるのか」を棚卸しして、ステークホルダーの間で合意形成することが、セキュリティ投資の優先順位を正しく決めるための第一歩になると考えています。

経営層の「フロンティアAIへの危機感」は基本に立ち返る好機

――経営層とそうした脅威分析を通じて合意形成したくても、そもそも予算やリソースが下りないという現場の悩みもありそうです。一方で経営層は「Claude Mythos Preview」といったフロンティアAIが脆弱性を自動で発見して攻撃してくるといったバズワード的な外部脅威には敏感に反応しがちです。

徳丸氏　AIによるサイバー攻撃の脅威が騒がれる中、金融庁や日銀が日本の金融機関向けに「セキュリティ対応をスピード感を持ってやれ、人員と予算を確保しろ」という通達を出しました（関連記事）。しかしその通達の中身をよく見ると、書かれているのはAI対策ではなく「基本的な脆弱性対応を徹底せよ」という、基本の徹底に尽きるのです。

　実際、AIを持ち出すまでもなく、既存の脆弱性を放置している段階で、既存の攻撃手法によって容易に侵害できる状態です。まさに「Mythos以前の問題」だと言えます。

――AIの脅威を認識している経営層を前に、現場はどう動くべきでしょうか。

徳丸氏　現場にとっては「黒船」として利用できる大きな好機ともいえます。経営層から「AIの脅威があるが、うちは大丈夫か」と聞かれた時、気が弱い担当者やつい個人で頑張ろうとしてしまう人は「できる限り頑張ります、大丈夫です」と取り繕ってしまうことがあります。

　しかし、それは組織全体にとって良くないことです。そこは勇気を持って、「いや、全く大丈夫ではありません。現状の体制とリソースでは無理です」と正直に伝えるべきです。

　これを機に、基本的な認証情報保護や脆弱性対応をやりきるための人員や予算、そしてレガシーな仕様と決別するための決断を経営層から引き出す材料にする。それくらいの姿勢が求められます。