ファイア・アイは12月21日、2016年のセキュリティ予測を発表した。記者説明会にはファイア・アイ 執行役副社長の岩間 優仁氏が登壇し、詳細な説明を行った。

ファイア・アイ 執行役副社長 岩間 優仁氏

今回示された10の予測

予測の多くはここのところ、盛んに言われている「経営と情報セキュリティ」に関するもの。会社が保有する個人情報や重要情報が漏えいし、それが報道されることで会社の信用が低下し、回復するための費用も大きくかかってしまう。つまり、インシデントが発生することによってバランスシートに影響を与えかねないという。

このため、情報セキュリティはIT部門だけが関わるものではなく、「CISO(Chief Information Security Officer:最高情報責任者)を通じて経営課題として検討しなければならない」という経営リスクになりつつある。一方で、CISOやIT部門がただ存在するだけでなく、彼らの説明能力やIT部門が「どれほどの事態になったら、経営層に対してどのようにわかりやすく情報を説明するか」といったことを事前に検討する必要があるとしている。

ファイア・アイ以外でも経営とセキュリティに関する話は最近よく聞く話題。「経営層にどうやってわかりやすく説明するのか」がポイントだろう

また、セキュリティ関連の人材不足から、自社で人員を抱える事ができず、必然的に専門家に頼ることになるため、Security as a Serviceのニーズが高まるという。特に日本ではセキュリティ人材の不足が取り沙汰されており、2020年の一大イベントも控えているため、大きな問題になるとのことだ。

当初に指摘したインシデント関連の問題としては、「サイバー保険」がある。この保険に加入することで、インシデント発生時の追加負担を抑えられるようになる。単に復旧費用だけでなく、顧客や広報対策費用や裁判のための証拠集めの費用などがかさむため、保険の認知度は上がりつつあるという。

さらに、最近多いM&Aとセキュリティ侵害にも話は及んだ。M&Aは相手が抱える知財を取得する手段として有効だが、重要知財が流出していれば価値が落ちる。このため、買収前に対象会社のセキュリティ状況を確認する必要性を説いていた。

セキュリティ人材不足もよく聞く話題であり「優秀かつ最先端での経験豊富な人材を抱えるわれわれにお任せ」というのもよく聞くセールストークだ

保険という仕組みそのものが突発事態の負担軽減なので、当然インシデントに対する費用の負担軽減にもなるだろう

知財を抱えた企業を買収しても虫食いだらけでは価値が落ちてしまうので、事前検討の際は相手の防御態勢もチェックする必要があるだろう

攻撃手法が"移り変わり"?

具体的な攻撃の話では"パターン"が変わりつつあるという。比較的セキュリティレベルが高いとされるiOS/OS Xデバイスも、シェアが高まってきたことや、「(重要情報を持っている)エグゼクティブが使っている」ことで攻撃の対象になりつつある。さらに、IoT機器の普及が進みつつある現状だが、現在のIoT機器は"非統一な開発下"にあることから、セキュリティ上の危険性があるという。一方で、セキュリティが担保された統一環境を用意する動きもあることから、「杞憂に終わるかもしれない」という観測も示している。

また、「クラウド時代」というキーワードを引き合いに出し、攻撃グループが1カ所に集まって攻撃用機材を用意していた過去とは異なり、ソーシャルメディアを使ってチームを地理的に分散し、攻撃機材も盗んだVM管理キーを悪用してパブリッククラウドサービスを使う可能性もあると指摘していた。

シェアが高ければ攻撃が有効になる可能性が増え、重要情報を持っている人が利用しているなら狙う理由も高まる

数が多い機器も攻撃者が狙うため、IoT機器が標的となる。また、本来であれば閉鎖環境な場でも、攻撃できる可能性を指摘していた