2014年情報セキュリティ予想

かなり長期間、ブログ更新をサボってしまいました。今年はもう少し真面目にあれこれ書いていこうと思っていますが、とりあえず、今年（を含めた今後）の傾向をちょっと占ってみましょう。

2014年情報セキュリティリスク予想

犯罪のIT化

・これまで、ITによる犯罪は「サイバー犯罪」というカテゴリに分類されてきたが、近年顕著になっている傾向として、従来からの犯罪形態においてのIT利用（悪用）が進んでいる点がある。今年は、それらが一層顕著になっていくだろう。また、それに伴って、「サイバー犯罪」というカテゴリ自体が「犯罪」全体の多くのポーションを占めることになり、カテゴリとしての意味が薄れていく可能性もある。これに伴って、犯罪の防止や取り締まりにおいても、全般的にIT活用を進めていくことや、ITと従来型の犯罪対策や捜査手法を組み合わせていくことも必要が高まるが、現在の「サイバー」を特別扱いしている風潮のもとでは、対応が後手に回る可能性も高い。

マルウエアの進化と隠れ感染の拡大

・犯罪のIT化が進むことにより、その道具としてのマルウエアのニーズがさらに高まると思われる。一方で、対策も従来型に加えて、通信やコンピュータの挙動を監視する技術などが進化していくため、こうした技術との競争が激化すると考えられる。通信検知を避けるために、内部に入り込んだマルウエアが外部との通信なしで自律的に活動できるような仕組みの開発も進むと考えられ、検知はさらに困難になっていくと考えられる。これに伴い、一般のITユーザや企業の情報システム内のPC、サーバに潜伏したまま発見されないマルウエアの数が激増し、社会全体にとって潜在的な脅威となる可能性がある。

人材育成の偏り

・昨今、セキュリティ人材育成のかけ声は高いが、その内容は、「高度な技術者」育成に偏っている。一方で、複合的な原因によるセキュリティインシデントへの対応においては、各分野の「高度な技術者」をいかに、適切に現場にアサインし、全体の状況判断をしながら対応全体を管理していくかを考える指揮系統が不可欠となる。とりわけ、大企業や社会をまきこんだインシデント対応では技術者同士の自律的な連携には限界があり、対応が十分に行えない可能性が高い。今後発生するであろうインシデントでは、こうした問題から対応が十分でなかったり、結果として何度も再発を繰り返すようなことが頻発する可能性がある。

・また、こうした指揮系統をになう人材抜きで専門人材のみを大量に育成すれば、（専門技術者を活かす力の欠如によって）結果的に供給過剰が生じかねず、生活に困った余剰人材が犯罪側に流れてしまう可能性も出てくる。

不十分な対策が原因となるインシデントのさらなる顕在化

・ここ数年で話題となったセキュリティインシデントの多くが、古くから提唱されてきた基本的なセキュリティ対策の欠如を切り口として発生している。一方、こうした基本的な対策は、セキュリティ人材ではなく、IT人材全般のセキュリティに関する意識と知識を底上げしなければ実現しない。現在、こうした取り組みはきわめて遅れており、今後もこうした問題から発生するインシデントの数は、「セキュリティ人材」の増加にもかかわらず減ることはないだろう。

・また、結果として、高度な教育を受けたセキュリティ人材が、こうした基本的な事項が問題のセキュリティインシデント対応にあたるケースも増加すると思われ、こうした技術者自身のモティベーションやモラルを低下させてしまう危惧もある。そこにダークサイドのつけいる隙が生まれる。

サイバーテロリズムの活性化

・サイバー攻撃は、きわめて非対称戦向きの手法であり、これまで以上に、テロリストが大規模なサイバー攻撃を仕掛ける危険性は高まるだろう。周到な準備により、極論すれば、たった一人でも国家を相手に戦えるサイバー戦では、同時多発的に問題を顕在化させることによる社会的混乱を発生させることを主目的とする。一人の攻撃者が、あらかじめ仕掛けた多数のマルウエアを制御できる一方で、対応側は個別対応を余儀なくされる。こうした事件が発生する可能性は、一層高まっていくだろう。

正直言うと、あまり明るい見通しではありません。こうした状況を防いで行くには、ITサイドとしてIT全般を見据えたセキュリティを考え、ユーザ、IT技術者、セキュリティ専門家という階層構造で対応を考えていくことだろうと思っています。また、ITのみではなく、防衛や犯罪対策における従来からの手法とITの融合も加速していく必要があるでしょう。なかなか簡単ではありませんが、微力ながらこうした部分でも役に立っていけたらと思っている次第です。

(ISC)2コングレス参加報告

24日からシカゴで開催されていた(ISC)2 Congress に参加してきました。このイベントは、ASISという古くから物理的なセキュリティを含めて取り組んでいる団体のイベントと共催されているものです。どちらかといえば、60年近い歴史のあるASISの存在感が大きなイベントで、かなり大規模な展示会も、監視カメラやセキュリティゲート、はては防弾チョッキといった物理セキュリティ（警備）関係の製品が大半を占めています。しかし、こうした製品も、最近ではコンピュータ制御され、IPネットワーク、さらにはワイアレス接続されていて、我々、サイバーサイドのセキュリティ屋としては、一抹の不安を覚えるのも事実です。この2団体が協力関係に至った理由の一つがそういうことなのだろうと思います。

今回は、標的型攻撃やマルウエア関連のセッションを中心に聞きましたが、だんだん、こうした攻撃への対応事例が詳しく語られるようになってきています。実際、その対応はなかなか大変なもので、数万人の利用者がいるActive Directoryのシステムをすべて再構築したりと、リカバリのためのコストも相当なもののようです。ウイルス対策ソフトでも検出できず、派手な動きもしないマルウエアが、内部に入り込んでしまった場合、それを発見することも簡単ではありませんが、とりわけ高度な技術を扱う企業や重要インフラ企業などでは、様々な角度から対応を求められる状況になってきていると思います。最終日のパネル（上の写真）でパネリストがみな危惧していたものに、株式市場などへの不正介入がありました。取引時や証券会社のシステムがターゲットにされ、市場が混乱することで、経済に多大なダメージを与える可能性があります。

今回は割と具体的な事例の話なども聞くことができ、貴重な経験でした。なかなか日本では、こうした具体的な話を聞くことができるイベントやベンダーから独立したイベントで、かつマネジメントも含めて全体をカバーしてくれるものがないのが残念です。日本でもこうしたイベントが増えるといいのですが。

ということで、コンファレンスのあとは夕暮れのシカゴの街を夜景を見ながらあるいていました。

CSA APAC Congress / Cloud ASIA 参加報告

ちょっと遅くなってしまいましたが、先月下旬にシンガポールであった、Cloud ASIA と同時に行われたCSA（Cloud Security Alliance） Asis-Pacific Congress のトピックスをいくつか書きたいと思います。

５月１３日の羽田発夜行便で早朝にシンガポールに到着。それから、CSA APACリージョンのリーダーシップミーティングに参加しました。これは、Congressの前日に、CSA APACの各支部の代表が集まったもので、各支部の活動紹介や今後のAPACの活動の方向などの議論がありました。

現在、CSAとしては、OCF(Open Certification Framework）というクラウド事業者のセキュリティ・ITガバナンスに関する業界主導の認証制度の確立に向けて活動を進めています。これは、CSAがリリースしているCCM(Cloud Control Matrix）をベースとしたもので、現在、事業者の自己評価を公開登録する制度として機能しているSTARをさらに進めて、第三者監査と認証の制度にし（STAR Level2）さらに、それを継続的にモニタリングしていくという三段階の階層からなります。CCM自体は、クラウド事業者に必要なセキュリティ上の要求事項をISO/IEC27001やPCIDSS, FISMAといった様々な国際、業界、政府標準とのクロスリファレンスとして定義し、さらにクラウド固有の問題を追加した形となっています。従って、既にこうした既存の認証を取得済みの場合、STAR Level2認証はその差分についてのチェックのみでよくなるという利点があります。

現在、アジアでも一部の国の行政機関や地方政府などで、クラウド利用者側からの要求事項としてこれを採用する検討が行われており、CSA　APACとしても、今後、プロモーションを強化していく方向にあるようです。

ただ、世界的に見ても、この動きはまだ始まったばかりで、今後、CSA全体としての認知度向上や、現在、クラウドを意識して策定されているISO/IEC 27017やサプライチェイン管理でのクラウド固有の問題を規定するISO/IEC 27036 Part4、その他 ITU-Tなどの国際標準化活動との折り合いをどうつけていくかなど、まだまだ課題が多いのが現状と言えそうです。特に、日本に置いては、ISO/IEC 27017を重視する動きが強く、これとうまく統合できていくことが、普及の条件と言えるでしょう。ただ、CSAもそのあたりは十分意識していて、これらの標準化の場にキーパーソンを送り込んでいます。そのため、遠からず、こうした国際標準との整合は取れていくだろうと思います。あとは、各国で立ち上げられようとしている同種の認証制度との競合が大きなもんだとなりそうですが、このあたりは、うまく相互認証とか互換性の確保ができればいいのですけどね。こうした部分は、各国の支部や地域の努力だけでなく、CSA全体として大きな枠組みを作っていかなければいけないでしょう。

翌日のCongressでは、日本のセキュリティ監査協会から永宮事務局長が登壇し、現在日本で考えているクラウド監査制度の枠組みについて紹介されていました。それを最前列で聞いていたのが、CSAのOCFを統括している Daniele Cattedduでしたので、彼らもこのあたりは多いに関心を持っているということでしょう。講演終了後、Dannieleと永宮さんを引き会わせて少し議論をしてもらいました。今後、CSA日本支部とJASAで、あれこれ調整を進めていく上で有意義な議論だったのではないかと思います。

その翌日に、今度は DanieleがOCFのプロジェクト紹介をやったのですが、以下がCSAが関与している国際標準化活動のスライドです。

その他のトピックとしては、Trend MicroのKen Low（CSA APAC Exective CouncilのChair）のプレゼンで、こんなスライドが出てきたことなど。

いわく、ウイルス対策ソフトを正しく運用していても、実際９０％の組織が、内部にマルウエア感染したPCを持っているという話。対策ソフトベンダ自身からこうした話が出てくるというのは時代が変わったなという印象です。それだけ、脅威が複合化し、単一のソリューションではもはや対応が難しくなっているということなのでしょう。

Cloud ASIAの最後のセッションでは、クラウド利用についてのパネルディスカッションがあり、ここにはCSAのFounderであるJim Reavisもパネリストとして参加しました。パネリストは、どちらかといえば、クラウド推進派ばかりでしたが、モデレーターがあれこれ鋭い質問を投げかけて、場を湧かせていたのが印象的です。会場からの質問なども総合して考えると、アジア各国でも、ITガバナンスとセキュリティ問題にユーザの関心が集中しているようです。ここにきちんとした答えを出し、それを保証していく枠組みが、やはりクラウド普及の鍵となっていくのでしょうね。

情報漏えいを防ぐためのモバイルデバイス等設定マニュアル

検討委員として協力させていただいた「情報漏えいを防ぐためのモバイルデバイス等設定マニュアル」がIPAさんよりリリースされました。

とりわけモバイルデバイスでは、紛失・盗難などの際に暗号化による保護が有効とされていますが、どのような暗号方式をどのように使えば安全だと言えるのか、という点についての具体的なマニュアルがありませんでした。

こんかいのマニュアルは、そうした具体的な内容を提供するための物です。より保護レベルの高い暗号利用に役立てていただければと思います。

IPAプレスリリースへ

Infosecurity Europe 2013に参加しています

現在、ロンドンで開催中のセキュリティイベント Infosecurity Europe 2013 に参加しています。このイベントは、日本で言えばセキュリティEXPOのような、実質的に入場無料の展示会主体のイベントですが、キーノートやテクニカルセッションなどが有料コンファレンス並に充実しているので、そちらを目当てにやってきました。

昨日のキーノートセッションの冒頭では、政府の内閣府担当相がスピーチするなど、政府としてもセキュリティ強化に力を入れていることがうかがえます。たとえば、政府機関であるBIS（Department of Business Innovation & Skills）がPWCに委託して行ったセキュリティ事故調査レポートはなかなか面白い内容で、そのサマリーを紹介するセッションなどもありました。このレポートは、以下の政府サイトから入手できますので、英文ですが一読されるといいでしょう。

このレポートの中でも述べられていますが、標的型攻撃の対象が、従来の大企業から、有望な技術を有する中小企業にも広がってきているようです。そうした傾向を受けて、英国政府は、サイバー攻撃情報共有の枠組みをこうした中小企業にも広げつつあります。このあたりの状況はおそらく日本でも同じだと思われるので、とりわけ人的にも資金的にも乏しい中小企業をどう守っていくのか、行政が早急に考えていくことが必要だろうと思います。いわゆるSIやセキュリティ企業は、あまり儲けにならない、こうした会社を無視する傾向があります。残念なことですが、ここは行政の出番でしょうね。

UK（ロンドン）に行って来ます

今月２３日～２５日にロンドンで開催される Infosecurity Europe に参加するため、来週、一週間不在となります。

このイベントは、展示会主体の無料イベントではありますが、キーノートやワークショップが充実しており、なかなかお得なイベントみたいです。CSA（Cloud Security Alliance）のワークショップも開催され、CSAが現在進めているクラウド事業者のセキュリティ認証制度（STAR Level2）とその枠組みであるOCF（Open Certificate Framework）についての話が中心のようですので、また内容はフィードバックする予定です。

＃ついでに、初ロンドンの観光も・・・・（笑）こちらでも、来週マラソン大会があるので警備は厳重だと思いますが・・・

COMPUTERWORLD連載最終回が公開されました

COMPUTERWORLD Webに執筆中の連載記事の最終回

第４回「セキュリティをITの価値に変える」

が公開されました。セキュリティ対策は、ともすれば「コスト」とされがちですが、考え方次第で「価値」に変わると考えています。とりわけITにおいては、セキュリティはIT活用における価値創造の一部にほかなりません。IT部門やCIO自身がこうした感覚で取り組むことで、セキュリティを兼ね備えたITのビジネス活用ができるはずです。お読みいただき、ご意見を頂戴できれば幸いです。