サイバー攻撃にうまく向き合う方法とは

竹内氏　現在多くの企業では、グローバルに市場を捉えて事業を拡大していく、または新たな価値を創造していくといった取り組みが進められています。特に昨今ではデジタルトランスフォーメーションがキーワードになっていますが、その背景にはセキュリティリスクも伴います。このような昨今のセキュリティ対策について、NHK情報システム局、そしてICT-ISACの2つのお立場でご活躍されている熱海様にお話を伺いたいと思います。熱海様はどのような背景からセキュリティに深く関わるようになったのでしょうか。

熱海氏　私は技術職員としてNHKに30数年間勤務していて、2013年に情報システム局に異動しました。セキュリティについて考えるきっかけになったのは、異動する1年前に海外のテレビ局が標的型攻撃を受けた事件です。同様の攻撃を自分たちが受けるとどうなるのかと危機感を持ち、2015年にセキュリティ対策チームを立ち上げることになりました。現在はICT-ISACに出向し、放送業界全体のセキュリティについて考えています。

竹内氏　ICT-ISACは通信事業者や放送事業者、ソフトウェアベンダーなどが会員となり、業界の枠を越えてセキュリティ確保のために連携する組織ですね。

熱海氏　そうですね。サイバー攻撃に迅速かつ効果的に対応するために、攻撃情報の共有などを目的として企業間で連携を行っています。いずれかの企業でインシデントが発生した際、単独では仮に防御が成功するとそこで終わってしまいます。しかし防御に成功した事例を有効活用し、ISACを通して情報共有を図れば、ほかの企業でも同様のインシデントに対応できます。これがISACの大きな役割になっています。

ISAC（Information Sharing and Analysis Center）とは

竹内氏　熱海様は現在のようにセキュリティにかかわる以前、ヒューマンエラーを低減するための取り組みを進められていたと伺いました。それはセキュリティにおけるリスク低減にもつながる話ですよね。

熱海氏　私たちの放送の現場でも機械によるエラーは当然発生しますが、それを人がバックアップするときにミスを起こしてしまう、あるいは知識不足やうっかりミスに起因する人為事故が多発していた時期がありました。その中で私が気になったのは、それぞれの職場での情報の伝達です。

　セキュリティに置き換えて話すと、「この会社にマルウェアがたくさん来ています、みなさん注意しましょう」と周知するのは本当に適切でしょうかということです。何が一番危険で、自分のところに何が来ているのか。そういったことを知らずに、果たして自分たちは何に気を付けるべきか、何を守るべきかを把握することは難しいでしょう。

　ヒューマンエラーでもセキュリティインシデントでも、周知を的確に行い、何に注意すべきかという目的が明確になれば結果は変わります。このように自己責任で取り組む環境を生み出すことができれば、リスクを低減できるというわけです。

竹内氏　単に危ないから気を付けろというのではなく、具体的にどう危ないのかを周知し、それぞれが自分のことと捉えて取り組むということですね。

熱海氏　まさにそのとおりです。「セキュリティを守りましょう！」というスローガンを壁に張り出しても、一人一人の意識が低ければ達成できません。セキュリティリスクを低減するには、各々の人間が適切に脅威を認識し、スキルアップしていくことが不可欠だと思っています。

竹内氏　セキュリティにおけるリスク低減のために、NHK様で重視されていることを教えてください。

熱海氏　多層防御の考え方を採り入れ、さまざまなセキュリティ機器を利用していますが、それよりも基本に立ち返ったところで、どこでログを取得しているのか、ログが足りないところはないか、そういったことを考えるようにしています。マルウェアが侵入したときにどう対処すべきかに注目すると、やはりログの管理とチェックは重要です。自社でできないということであれば、外部の専門家に依頼することも検討すべきではないでしょうか。

竹内氏　一方、攻撃手法はどんどん巧妙化しているため、ちょっとした異変に気付いて対応することが必要になっています。その小さな異変に気付く力を付けるためには、どのような取り組みや考えが必要でしょうか。

熱海氏　私はセキュリティ対策に完璧はなく、侵害すべてを回避する術はないと思っています。そのため、サイバーインシデントの対策や方針を練り、定期的なシミュレーション演習を通じて計画を検証し続けることが必要です。

　さらにインシデント対応計画では、会社全体を巻き込むことが非常に大事です。ITやセキュリティの専門家が対策に力を入れても、社員が十分にセキュリティの重要性を認識していなければ努力が無駄になりかねません。サイバーセキュリティの最前線にいるのは、実はこの社員一人一人です。その社員が油断することなく、用心深く侵害を速やかに通報すれば、大抵の被害は軽減できるでしょう。

竹内氏　ありがとうございます。最後にサイバーセキュリティにおける情報共有の価値について伺えますか。

熱海氏　情報共有では、とにかく発信することが大事です。そのため、こんな情報を流したら迷惑を掛けるのではと考えて発信をためらうといったことがないようにしたいですね。その上で発信された情報を仕分けする仕組みがあり、情報を受け取る側にとって役に立つ形で提供する。将来的には、仕分けの自動化やAIの活用といったこともあり得るでしょう。こうした取り組みにより、各企業が連携してサイバー攻撃を防御することにつなげていければと考えています。

これからのリスクマネジメントに要求される5つのポイント

竹内氏　組織間の情報共有を活性化し、チームで守っていく、そういった考え方がこれからは重要になっていくのは間違いなさそうですね。熱海様、本日はありがとうございました。

※掲載されている内容は公開日時点のものです。
※掲載されているサービスの名称、内容及び条件は、改善などのために予告なく変更することがあります。