サイバーセキュリティ
株式会社カスペルスキーのパートナーカンファレンス【春】が、東京にて開催されました。新緑の眩しいこの季節は、グリーンをコーポレートカラーとする当社の恒例行事にふさわしい時季です。
Kaspersky Lab取締役会長兼最高責任者のユージン・カスペルスキーが訪日して基調講演を行うのも、この時季の恒例です。日本が今後直面するであろう状況を見据える意味で、今回の講演内容を振り返りたいと思います。
サイバー犯罪のトレンド
サイバー攻撃の数は、増加の一途にあります。Kaspersky Labのクラウドネットワーク「Kaspersky Security Network」（KSN）の統計によると、2015年中に1度でもサイバー攻撃を受けた当社ユーザーは62％と半数以上。検知された悪意あるアプリケーションのユニーク数は、昨年1年間で3億4400万、1日に発生する悪意あるファイル数は31万に及びました。
サイバー攻撃は、サイバー犯罪者によるもの、国家レベルの支援を受けたもの、いずれをとっても高度に進化を続けています。のみならず、サイバー犯罪の市場規模が拡大しています。市場拡大の要因の1つは、サイバー犯罪の国際化。もう１つは犯罪者間における技術取引の活発化、すなわちビジネス化の傾向であり、「Crime as a Service」（サービスとしての犯罪）とも呼べるものです。さらにもう1つの要因は、従来型の犯罪にサイバー要素が加わっていることです。ソマリアの海賊の活動が、その一例です。従来は、船舶を拿捕して身代金を取るのが主なやり方でした。現在は、船舶の積荷のデータベースに不正アクセスして積載物を把握し、金銭的価値の高い積荷を海賊行為によって奪い取るという、効率の良い方法がとられるようになりました。
いずれ来たる「サイバーテロ」の時代
高度化するサイバー攻撃と拡大するサイバー犯罪市場。その先に来るものとしてユージンが数年来警戒しているのが、重要インフラに対するサイバーテロ、あるいはサイバー妨害活動です。この種の攻撃といえば、イランの核施設に侵入したStuxnet（2010年）が有名です。Stuxnet以降もインフラに対するサイバー攻撃が現れましたが、約1年に1度のペースでした。しかし、ここ最近は発生頻度が上がっています。過去半年間だけでも、サイバー攻撃による停電とデータ消失（2015年12月、ウクライナ）、病院の医療データをアクセス不能にして身代金を要求したランサムウェア攻撃（2016年、米・豪・独）、ダムを制御する物理システムへの不正なリモートアクセス（2016年、米）と、タイプの異なる3件の事例がありました。
なぜこのように脅威が跋扈する状況となっているのか。技術イノベーションのサイクルは、「技術革新」「実運用」「問題発生」「改善」で構成されます。現在は、技術の運用に何らかの問題が発見される「問題発生」のフェーズにあるのです。「改善」のステップに進み、セキュリティが組み込まれた状態にしていかねばなりません。
求められる対策
では、セキュリティが組み込まれた安全な世界はどのように実現できるのか。
究極の理想は、安全なOS、安全なアプリ、そして安全に設計されたデバイスをもってサイバー世界全体を再設計することです。しかしながら、産業システムは異なるOSをベースとしており、またOSの上に展開されるアプリケーションやネットワークは実に複雑かつ高価でもあります。これらをすべて再設計するというのは、大変な困難を伴います。
そこで、現在のセキュリティ戦略としてユージンは3つのステップを提案しました。第1は、デフォルト拒否型（Default Deny、許可リスト方式とも）セキュリティの導入です。稼働を許すアプリケーションを明示的に指定し、それ以外のものは許可しないかぎり動作しないようにする方式です。この方式には、リスク抑制とともに、攻撃側のROIを引き下げる効果も期待できます。当然ながら、運用は産業に適合した形であることが求められます。許可リスト方式（アプリケーションコントロール機能など）を採用している従来のエンドポイントセキュリティで実現可能なため、技術面でもコスト面でも実装しやすい方法です。
第2のステップは、トラフィックモニタリングシステムの導入です。信頼できる稼働シナリオどおりにシステムが稼働しているか常時監視することで、異常を迅速に捕捉します。たとえば発電所を例にとると、タービンの回転数、油の消費量、気圧などのデータに通常とは異なる数値が現れれば、何かが起きたと考えられます。こうしたモニタリングシステムの構築には、その業界に精通したエンジニアの力が不可欠です。したがって、セキュリティ技術を提供する側と、業界のエンジニアとの共同プロジェクトとして取り組む必要があります。
ここまでは既存の産業システムに適用可能な施策ですが、技術の進歩に伴い新規導入されるシステムもあります。第3のステップはこうした新規導入システムに関するもので、セキュリティが組み込まれたプラットフォームに基づいて産業アプリケーションを開発し、産業システムを設計していくことです。これは一朝一夕に成るものではなく、少しずつたゆまなく歩を進めてゆかねばならない、とユージンは訴えました。
「これまでKaspersky Labは、コンシューマー向けセキュリティ、企業向けセキュリティの会社として知られてきました。今や、我々は産業系システムへセキュリティを提供する準備が整いました。決して平易な道のりではありませんが、志を同じくするパートナーの皆様と共に歩んでいきたいと望んでいます」。
ヒント