熱海 徹
最近、大手企業へのサイバー攻撃のニュースが続いています。そのたびに、「これだけ対策している企業でも被害に遭うのか」と驚く人も多いのではないでしょうか。
私も同じようにニュースを見ながら考えることがあります。それは、今のサイバーセキュリティを理解するには、建物の警備に置き換えて考えると分かりやすいのではないかということです。大きな会社であれば、正面玄関には警備員がいて、防犯カメラも設置されています。入退室も管理されており、簡単に中へ入れるようには見えません。しかし実際の建物には、正面玄関以外にも通用口や非常口、地下駐車場、搬入口など、さまざまな入口があります。どれほど警備を強化していても、それらすべてを完璧に見張り続けることは簡単ではありません。
企業のシステムも同じです。一つの仕組みだけで動いているわけではなく、多くのソフトウェアやサービスが組み合わされ、その上で事業が成り立っています。そのため、どこかに思わぬ弱点が生まれる可能性があります。
最近報じられた事例も、私は「対策をしていなかったから起きた事故」だとは思っていません。むしろ、十分な対策を行っていても事故は起こり得るという現実を示しているように感じています。なぜなら、守る側と攻撃する側では条件が大きく違うからです。
守る側は、多くの入口を守らなければなりません。しかし攻撃する側は、その中からたった一つの入口を見つければよいのです。
私は、ここにサイバーセキュリティの本質的な難しさがあると思っています。
そして今、その状況に大きな変化が加わろうとしています。それはAIです。
AIというと、多くの人は便利な道具を思い浮かべるでしょう。文章を書いたり、調べものをしたり、情報を整理したりと、私たちの仕事を効率化してくれる存在です。実際に私自身も、その可能性を強く感じています。しかし、当然ながらその恩恵を受けるのは私たちだけではありません。攻撃する側もAIを利用できます。
ここで私が重要だと思うのは、AIによって突然まったく新しい犯罪が生まれることだけではないという点です。むしろ気になるのは、これまで時間や労力が必要だったことを、より速く行えるようになることです。以前であれば、攻撃者は多くの時間を使って情報を集め、対象を調査していました。しかしAIや自動化が進めば、その一部は大幅に効率化されるかもしれません。攻撃者が急に特別な能力を手に入れるというよりも、攻撃するために必要な手間が減っていくのです。私は、その変化の方が大きいと思っています。
これまでは「狙われるのは一部の大企業だろう」と考えることもできました。しかし攻撃に必要な手間が下がれば、企業規模はそれほど関係なくなります。インターネット上に弱点が見つかれば、それだけで攻撃対象になる可能性があるからです。
そう考えると、最近続いているサイバー攻撃のニュースも少し違って見えてきます。
個々の事件を一つの攻撃組織や一つの作戦として結び付ける根拠はありません。しかし私は、別の意味で大きな変化の始まりを感じています。それは、サイバー攻撃が特別な事件ではなく、企業経営の中で普通に起こり得るリスクとして捉えなければならない時代が始まっているということです。火災を完全になくすことはできません。それでも企業は消火設備を整え、避難訓練を行います。地震を止めることはできません。それでも耐震対策や事業継続計画を準備します。サイバー攻撃も同じではないでしょうか。侵入を防ぐ努力はもちろん必要です。しかし、それだけでは十分ではありません。侵入されたときに、どれだけ早く気付けるのか。被害が広がる前に止められるのか。一つのシステムが侵害されても、事業全体に影響を広げないようにできるのか。これから企業に求められるのは、そのような視点だと思います。
私はよく、これからのセキュリティは「城壁」ではなく「免疫」に近いと話しています。
人間の身体は、細菌やウイルスを完全に体内へ入れないことで健康を維持しているわけではありません。異変に気付き、反応し、広がる前に抑え込み、回復する仕組みがあるからこそ健康を保てています。企業のセキュリティも同じ方向へ向かうのではないでしょうか。
重要なのは、攻撃されない会社を目指すことだけではありません。攻撃を受けても致命傷にならず、事業を継続できる会社をつくることです。AIはこれから私たちの仕事をさらに速くしていきます。そして、それは攻撃する側にとっても同じです。だからこそ今後は、「どちらが強いか」という競争ではなく、「どちらが早く気付き、早く判断し、早く対応するか」という時間との戦いになっていくのかもしれません。
セキュリティに万能な答えはありません。だからこそ、侵入されないための対策だけでなく、侵入されたときに事業と顧客をどう守るのかまで考えておく必要があります。私は、それこそがこれからの経営に求められるセキュリティだと思っています。
そして今、相次いで発生しているサイバー攻撃については、個別の事件として消費するのではなく、官民を挙げて冷静に分析し、次の対策へ生かしていくことが重要ではないでしょうか。もし複数の事案に共通する攻撃手法や侵入経路が見つかれば、業界全体へ迅速に注意喚起し、対策強化を呼びかけることができます。また、業種ごとに被害の特徴や弱点を整理していくことで、それぞれの業界に適した防御策を積み上げることも可能になります。
サイバー攻撃との戦いは、個々の企業だけで完結するものではありません。攻撃に関する情報や被害の実態を共有し、社会全体で学習していくことそのものが、攻撃者に対する大きな防御力になるのだと思います。
同時に、企業は自社の足元も見直す必要があります。個人情報や機密情報はどこに保存されているのか。本当に必要な人だけがアクセスできる状態になっているのか。情報の保管場所や管理体制、権限設計は適切なのか。今回のような事例をきっかけに、改めて確認してみることをお勧めします。
最近相次ぐサイバー攻撃のニュースは、単なる事件の報道ではありません。それは、企業のセキュリティに対する考え方そのものを見直し、情報管理のあり方や事業継続の備えを再点検する時期が来ていることを、私たちに知らせているのかもしれません。