数億円被害と事業停止を防ぐインシデント対策　オラクルのセキュリティファースト設計は何がすごいのか

複雑化する攻撃対策にはデータを中心としたゼロトラストセキュリティが必要

　2021年7月、ある国内製造業の企業がランサムウェアの攻撃を受け、サーバーや端末が同時多発的に暗号化され使えなくなる被害が発生した。このときグループ企業にまで被害が広がりバックアップデータまで暗号化されたという。

　人見氏によれば「決算報告が遅れる被害が発生しています」という。他にも病院がランサムウェア被害に遭い、復旧までに2ヵ月かかり、一部診療科での新規患者の受入を中止する事態も発生したとのこと。

　このようなインシデントが発生すれば、損害は広範囲に拡がり対応コストもかなり大きくなる。事業が止まることによる損害、第三者への賠償、法令違反による罰金など損害は多岐にわたり、日本国内でも1社あたり数億円の損失が発生すると試算されている。

　今やセキュリティインシデントは「単なる情報システムの問題ではなく、企業の経営層として取り組むべき課題です」と人見氏は指摘。

　脅威に対処するために米国では、1990年代の境界防御に始まり、2001年の米国同時多発テロ事件以降の縦深防御、その後は被害から迅速に復旧するサイバーレジリエンスのセキュリティモデルで取り組んできた。

　「米国では昨今、ゼロトラストおよびデータ中心型防御に注目が集まっています」と人見氏。ゼロトラストセキュリティについては、2020年くらいから米国のNIST（National Institute of Standards and Technology（米国国立標準技術研究所））がガイドラインを出し、米国国防総省はそれに倣いリファレンスアーキテクチャを出している。米国国防総省でも、ゼロトラストセキュリティに注力しているのが現状だ。

　人見氏によれば、ポイントはデータ中心のセキュリティモデルにシフトしていることだという。クラウドなど様々なIT環境の変化があり、守るべきITリソース環境が分散しているため、ネットワーク中心のセキュリティでは守れなくなっている。ゆえに「もっとも守るべき資産であるデータへの侵害を防ぐために、ゼロトラストのモデルで対応しているのです」と指摘する。

　ゼロトラストではデータにアクセスする度に、その正しさを検証する。あるいは重要なデータがきちんと守られているかを、モニタリングすることが重要となっている。

　これらの流れを背景に、2022年のセキュリティトピックとして以下の5つが挙げられている。

• ゼロトラストセキュリティの実装
• 事業継続視点での完全性、可用性の対策強化
• AI／機械学習を活用したインテリジェントな対策
• セキュリティ向上のために必要となる状況の可視化
• CISO（Chief Information Security Officer）の役割と責任範囲

　まず1つ目の「ゼロトラストセキュリティの実装」と2つ目の「事業継続視点での完全性、可用性の対策強化」については、ランサムウェアの被害に遭うと、平均的なダウンタイムは19日間におよび、復旧コストは1億円以上かかる。身代金を払っても、すべてのデータを取り戻せた割合は8％しかない。つまり事業継続の視点では、データをどう守っていくかが重要な観点になる。

　3つ目として、セキュリティを強化する際に有効となる「AI／機械学習を活用したインテリジェントな対策」が挙げられている。IT環境が複雑化する中では、監視すべきログやコンポーネントが数多くある。それらをきちんと正しく保つには、膨大なデータをうまく扱えなければならない。その上でパッチ適用の自動化も進める必要があり、多岐にわたる対応にはAIを用いたインテリジェントな対策が必要だ。

　そして4つ目として挙げられているのが「セキュリティ向上のために必要となる状況の可視化」だ。既に重要な情報の30％はクラウドにあり、それを守るためには、情報が守られているかを明らかにする可視化が必要となる。またクラウドを使う上で大きな脅威となるのが、人為的な設定ミスなど。環境をセキュアに保つための管理の自動化だ。もっとも、そうすると最初から高いセキュリティ性のあるクラウドも求められるであろう。

　高いセキュリティを組織として実現する際に重要なのが、5つ目のトピックの「CISO（Chief Information Security Officer）の役割と責任範囲」だ。さらにビジネス観点から情報セキュリティに責任を持つ、ビジネス情報セキュリティ責任者の採用も必要となっているという。