グーグルの「Project Zero」統括者が力説する「締切厳守のセキュリティ対策」

セキュリティ業界は社会的責任を負っている

　今回で21回目を数えるBlack Hat USAは、年々その規模を拡大している。今年の参加者は、昨年より2000人多い1万7000人と、過去最高を記録した。会期中は300人以上のスピーカーが登壇し、120超のセッションと80超の技術トレーニングプログラムが開かれた。さらに、スポンサー企業による90超のセッションや、250社以上の企業がブースを構え、自社製品とその戦略をアピールした。

　毎年、基調講演には、サイバーセキュリティの第一線で活躍する人材が登壇する（過去記事）。今回登壇したTabriz氏は、グーグルが提供するWebブラウザ「Chrome」のセキュリティエンジニアリングチームと、ゼロデイ攻撃対策を専門とする同社のプロジェクト「Project Zero」を統括する人物だ。

　冒頭、Tabriz氏は「セキュリティ技術は進歩しているものの、脅威の進化のほうが速い。既存のアプローチでは不十分だ」との見解を示した。さらに、「（現在注目されている）ブロックチェーンは、すべてのセキュリティ課題を解決する技術ではない」とも語り、新技術に過度の期待をかけることは危険であるとクギをさした。

　「今ほどセキュリティ担当者が、その職務において社会的責任を負っている時代はない」と同氏は指摘する。その背景には、IoT（Internet of Things）やスマートシティ、重要インフラに対するサイバー攻撃が顕在化し、人の生命／生活を脅かす存在になっていることが挙げられる。

　また、情報の不適切な取扱いが、政治的な問題に発展したことも大きい。ケンブリッジ・アナリティカは、約5000万人のフェイスブックユーザーのプロフィールを不正に収集し、2016年の米国大統領選挙でドナルド・トランプ氏が有利になるよう情報を操作をした。

　Black Hatの創設者であるJeff Moss（ジェフ・モス）氏も、「フェイスブックが打ち出した『ユーザーのプロフィールや嗜好性にマッチした広告を提供する』というビジネスモデルは、『個人情報の不正取得』という手段で悪用された」と指摘する。こうした不正を防ぐのはセキュリティ業界の責任であり、セキュリティベンダーとともに攻撃者に有利な現状を変えていくことが重要であると参加者に呼びかけた。