企業だけでなく個人への脅威も増加
スマートフォンやタブレット端末などの普及で、サイバーセキュリティの脅威が増大している。特に、昨年からはコロナ禍ということもあり個人、企業に対するサイバー犯罪も増えてきている。その状況下で本年度、最高検察庁は「先端犯罪検察ユニット（JPEC）」を新設した。
最高検のユニットには検事5人を配置し、全国の高等検察庁にも同様のユニットを設置することで情報通信技術（ICT）を用いた犯罪捜査や公判を支援することが公表されている。他にも、東京地方検察庁や大阪地方検察庁にデジタルフォレンジック[※1]を担当する部署が設けられているなど、日本の犯罪捜査という側面からもサイバーセキュリティを巡る動きは活発化していることがわかる。
では、日々サイバーセキュリティ対策を行っている企業にとって、デジタルフォレンジックはどのように関わり合いがあるのか。そして、JPEC設立で何が変わるのか。今回は、『スマホを落としただけなのに 囚われの殺人鬼』（志駕晃著、宝島社文庫）の取材協力や、警視庁・捜査機関などにも協力しているという、デジタルデータソリューション 取締役COO 上谷宗久氏に話を伺った。
同社は、データリカバリーやフォレンジック、サイバーセキュリティを軸とした事業を展開しており、複数の大手保険会社のセキュリティインシデント調査業者に指定されているという。また、サイバーセキュリティ分野において、鑑定事務所とともに調査が妥当に行われているかの鑑定業務も請け負う。
まず、上谷氏はデジタルフォレンジックで調査するインシデントは、サイバー攻撃やマルウェア感染といったサイバーセキュリティ領域と、人的要因による不正調査の大きく2つに分けることができると説明する。たとえば、サイバー領域では、マルウェアに感染した場合、なぜ感染したのか、被害範囲がどこまで及んでいるのかを調査する。一方、不正調査の場合はメールやPCの操作履歴を調査することで、社内不正の証拠をみつけることが主になってくるという。
実際に昨年同社に寄せられた問い合わせをみてみると法人では“情報漏えい”、個人からは“ハッキング・不正アクセス”に関する相談件数が増加している。これまで法人からの問い合わせでは、社員による情報の持ち出しや残業代請求に関するものが多かったが、年を追うごとに情報漏えいの相談が増えているという。また、個人からの問い合せでも同様にデータが不正取得されていないか、バックドアが仕掛けられていないかなどの調査が増えてきていることも最近の特徴的な傾向だとしている。
さらに、実際に事故鑑定の依頼を業種別でみたときに、サービス業や人材派遣業、地方自治体、大学などがマルウェアに感染していることが多いという。一方で、システム会社や金融業、航空・鉄道などの交通インフラに携わる業種は感染事例が少ない。上谷氏は、「これらの傾向は、セキュリティ製品の成約率と反比例しています。当然のことながら、製品の導入やリテラシー教育などセキュリティへの関心が高い業種の方が、マルウェアの感染や情報漏えいを起こさないといえます」と指摘する。
もちろん、昨年6月の個人情報保護法改正による罰金上限額の引き上げなどを受けて、何かしらの対策をしなければいけないと考える企業も増えてきているが、実際には何をやっていいかわからない場合も多いという。実際に、攻撃を受けたとしても莫大な金銭的リスクから内密にする企業も多く、知見が共有されないことも問題だと上谷氏は述べる。
