「日本のセキュリティ信仰は構造的にズレてる」 コスパよく、すぐ救われる“左側”の防衛術：特集：ID・パスワードから始める「引き算」のセキュリティ（2）（3/3 ページ）

「高額な製品を導入すれば安心だ」――そんな日本のセキュリティ信仰は、構造的にズレているのかもしれない。攻撃者エコシステムが拡大し、勢いを増す中、セキュリティ担当者はわざわざ不利な戦場で戦わされている。東京大学 先端科学技術研究センターの西尾素己氏が、認証情報保護に関する新たな視点と、防御側が「絶対的に優位」に立てる“左側”の戦場について明かした。

[宮田健，＠IT]

防御側が「絶対的に有利」な「左側」に投資する方が、コスパがよい

――セキュリティ対策の高度化・複雑化を打開するために、生成AIによる自然言語を使ったログ分析や、AIエージェントによる検知・対応の自律化など、セキュリティ運用をシンプルにする製品も出てきていますが、こうした防御側のAI活用については、どう見ていますか？

西尾氏　攻撃側がAIを活用してくる現在、防御側のAI活用では、ネットワークの境界でリアルタイムにAIとAIを戦わせるという絵が浮かびやすいかもしれませんが、そこには誤解があると思います。

　防御を有利に進めるには、攻撃が発生する前の段階にリソースを集中させるシフトレフトの考え方が重要です。多くの企業は、防御や検知・対応といったセキュリティフレームワークの「右側」に当たる、攻撃者が圧倒的に有利なフィールドでわざわざ戦おうとしています。しかし、本当に戦うべきは「左側」、すなわちソフトウェアの開発や管理、そして「特定・識別」というガバナンスの領域です。

　なぜなら、ここには「コンテキスト情報の圧倒的な差分」が存在するからです。

　攻撃者は、ネットワークの外側からスキャナーで見える範囲しか把握できません。一方で、守る側のITチームは、自組織の中にどんなアカウントや認証情報が存在し、どのサーバがどこで動き、どのようなネットワーク構造になっているかを、収集さえすればくまなく把握できます。この情報量の差は圧倒的であり、守る側が絶対的に優位に立てる唯一のフィールドです。

右側よりも「左側」に投資する方が効果が高い（提供：西尾氏）

　企業のAI活用戦略としては、コンテキスト情報の非対称性を利用し、システム構成、アカウント権限、脆弱性のデータをAIに入力し、AIを用いてアタックパスを予測しておくことが重要です。予想される攻撃シナリオをあらかじめシミュレーションして、重み付けされた脆弱な経路を事前にふさぐことができます。

アタックサーフェス情報を基に「アタックパス管理」を（提供：西尾氏）

IT資産の棚卸しを行い、その情報から攻撃者が狙うであろうアタックパスを事前に分析すれば、攻撃される前に対応できる（提供：西尾氏）

　このような情報の収集と自動化は、オンプレミスでは実行が困難です。アセットの把握や自動マッピングを確実にするためにも、セキュリティ対策としてクラウドへの移行を進める必要があるでしょう。

「特定のセキュリティ製品を入れておけば安心だ」という信仰

――最後に、セキュリティ対策に悩む企業に向けてアドバイスを頂けますでしょうか。

西尾氏　経営層は「特定のセキュリティ製品を入れておけば安心だ」という信仰から目を覚ます必要があります。セキュリティは製品を一度購入して終わるものではなく、ガバナンスと足元の運用の継続性が命なのです。

　私自身の身近な体験として、ある小規模な保険代理店の経営者である知人がサイバー攻撃を受けた事例があります。従業員のPCがインフォスティーラーに感染し、Webサイトの管理情報を抜かれて詐欺サイトへのリダイレクトが行われました。これにより、取引先の大手保険会社から即座に取引停止を告げられ、ビジネス自体が廃業の危機にひんしたのです。幸いにも、フォレンジック調査で個人情報へのアクセスがなかったことを証明できたので、取引を再開することができました。

　これは報道されない、世の中に数多く埋もれているインシデントの一つに過ぎません。大企業であっても、長年会社に貢献してきたCISOや役員であっても、重大なセキュリティ事故が発生すれば、その地位を即座に失うのが現実です。

　もし何から手を付けるべきか迷っているのであれば、まずは基本中の基本、「自社の認証情報の棚卸し」と「多要素認証の徹底」から始めてください。足元の地盤が緩んでいては、どれほど高価なシステムを導入してもその効果を発揮させることは不可能です。

　防御側が圧倒的に有利な「左側」のフィールドに立ち返り、賢いガバナンスを構築してください。

――ありがとうございました。

「信じるものは救われる」なら

　「どうせなら、防御側が有利なフィールドでリソースを使いませんか？」という西尾氏の提案には、圧倒的不利に思えたサイバーセキュリティ戦争に一筋の光明を感じる方もいることだろう。

　一方で、EDRをはじめとする特定の製品だけで守れると信じたい経営者も多いこと、「何から始めればいいか分からない」という現場の声も無視できない。同じ「信じるものは救われる」ならば、西尾氏の言葉を信じ、まずはIT資産の棚卸し、認証情報の現状を把握することの有効性を確認してみれば損することはないはずだ。

　さらに、アタックサーフェス管理やAI活用が浸透しつつある現在、西尾氏が解説した「アタックパス管理」も取り入れやすくなっている。圧倒的に有利な「左側」での戦い方を知り、これを実践してみてはいかがだろうか。

特集：ID・パスワードから始める「引き算」のセキュリティ

---

セキュリティ業界では「サイバー攻撃の高度化・複雑化」という決まり文句がしばしば使われます。それ自体は間違っているわけではありませんが、企業を悩ませている真因は「攻撃の高度化・複雑化」ではなく「セキュリティ対策の高度化・複雑化」にあるのではないでしょうか。本特集では近年発生したランサムウェア攻撃の多くが認証情報の窃取から始まる状況を踏まえ、基礎中の基礎である認証情報（ID／パスワード）保護を基点にしたセキュリティ対策の見直しの重要性を提言し、そうした基本の対策さえ不十分になっている現状から抜け出すための指針を提供します。