《特別座談会》 "セキュリティ三銃士"がそろい踏み!　セキュリティ対策「今、私たちが本当に伝えたいこと」 第3回

常にどこかで被害が報じられているといっていいほど、ここに来て発生頻度を増している不正アクセス事件。どうしてここまで攻撃者の増長を許しているのか──なかなか語られることのないその真相について、セキュリティの専門家たちが本音で議論を繰り広げるパネルディスカッション(9月13日・東京、9月25日・大阪「マイナビニュース WEBセキュリティセミナー ～あの不正アクセスはなぜ起きたのか!?　セキュリティ専門家が事件の裏側を徹底討論～」)が開催される。

これを受けて、まずはパネルディスカッションの"前哨戦"として、登壇予定の3人のセキュリティのプロに、最新のトピックや企業の取り組みの課題などについて意見をぶつけ合ってもらった。ここでは興味深いネタが満載となったこの特別座談会の模様を、全3回に渡ってご紹介。第一回は今そこにある脅威について、第二回では脅威へどのように対策を行えばよいのかを紹介してきた。最終回となる今回は、パネルディスカッションに登壇する3名とモデレータの目線から、「今、私たちが本当に伝えたいこと」についてお届けする。

サイバー攻撃は、甘く見ても怖がりすぎてもダメ！

これまで2回に渡り、セキュリティ上の脅威の最新事情についてや企業のセキュリティ対策の現状について、NTTデータ先端技術 セキュリティ事業部 辻 伸弘氏、インターネットイニシアティブ セキュリティ情報統括室、根岸征史氏、HASHコンサルティング 代表取締役 徳丸浩氏の3人の専門家に繰り広げてもらった。パネルディスカッション前哨戦も"最終戦"を迎える今回は、本番でモデレータを務めるITジャーナリスト／メディアアドバイザー、河原潤氏にも輪に加わってもらい、当日ぜひ聞いてもらいたい内容などについて、来場者へのメッセージを送ってもらった。

──パネルディスカッションで特に伝えたいのはどういったことでしょうか。

根岸氏：きっと、今度のセミナーに足を運んでくれるような方々は、セキュリティの情報に対する感度も高いと思うのですが、もう一度初心にかえって、攻撃者に狙われやすいソフトウェアや脆弱性が存在するんだということ、なぜそれらが狙われやすいのか、そして自社がどういったソフトウェアを使用しており、それにどのような脆弱性が存在しているかによって、守る側の対策も変わってくるのだ、ということを真に理解してもらえればと思っています。そのためには実例を交えて、昨今の情報セキュリティを取り巻く現実を伝えるようにしたいですね。

それと今、攻撃者たちがどのような動向を見せており、どういった情報が出回っているのかについて、きちんとキャッチアップして理解できるよう、情報を受け取る側にも、常に高い意識を持ってほしいと思っています。

現在横行している不正ログインにしても、これだけ流行っているにもかかわらず、次々と被害にあう企業が続出しています。その理由のひとつは、自分の会社も攻撃者に狙われるかもしれない、という意識を抱いていないからではないでしょうか。来場者の方々には、ぜひ"そうではないんだ"という事実を、単に知識にとどまらず、実感としてとらえてほしいです。

河原氏：やはり、これまで報道されたサイバー攻撃によるセキュリティ侵害事件の当事者は、名だたる企業ばかりでしたから、自分の会社は関係ないと考えてしまいがちなのでしょうね。だけど、そこはかなり違っていて、ここまで脅威は迫っているんだぞ、という危機感は、ぜひ来場者の方々に持ち帰っていただきたいですね。それと共に、本当に効果的な対策方法についても、専門家の意見に耳を傾けることで学び、ぜひ自社に持ち帰ってほしいです。

なんといっても、セキュリティを侵害されて一番の被害を被るのは、企業やコンシューマーなのですから。だから私たち消費者としても、企業にはもっとしっかりしてもらいたいというのが本音なんです。

徳丸氏：根岸さんと河原さんが言ったように、"対岸の火事"を決め込む企業が多い一方で、自分の会社がサイバー攻撃を受けるのではないかと、日々ものすごく心配していながら、じゃあ何をやればいいのかわからない、と頭を悩ませている企業もまた数多く存在していると思います。なぜそのように悩むのかというと、そうした企業の人たちは、最新の脅威から組織を守るためのセキュリティ対策と聞いたときに、ものすごく高度なことをしなければならないと誤解してしまうからだと思います。なので、そうじゃないんだよと「まず基本的なことだけでもしっかりとやっていれば、脅威はかなり防げるんだ」ということを知ってもらいたいですね。

辻氏：そういう部分を知ってもらうのは、とても大事だと私も思いますね。なんというか、サイバー攻撃をむやみに怖がってほしくはないんですよ。どういった危険があるのかをちゃんと知っていれば、じゃあこうすればいいよね、というのもわかって、かなり安心できるようになりますから。

今は、SNSの普及やこうしたセミナーが頻繁に開催されることなどで、10年前と比べて専門家の意見がとても聞きやすい状況になっています。セキュリティに関する日本語の記事も増えましたし、ツイッターもありますしね。そういったところから自分たちに必要な情報を拾ってこられるのも、今の時代だからこそできることです。

ただ、自分で情報を集めるのには限界もありますから、それなりに共感できる何人かの専門家のブログやツイッターをチェックして、"この人も、そしてこの人もこのニュースに食いついている!　ならば相当に気をつけたほうがいいな"といった判断を、自ら下せるようにするのもアリなんじゃないでしょうか。大事なのは、1つのメディアの報道をそのまま鵜呑みにするのではなく、複数のソースを俯瞰して自分なりに状況を把握することだと思いますね。

──ここで伝えられたメッセージの具体的な内容は、まもなく開催されるWEBセキュリティセミナーのパネルディスカッション第一部「"ここだけの話"で具体的に解説! Webサイト攻撃事件、3つのパターンと基本対策」と、第二部「コストと効果も考慮した現実解を提示! サイバー攻撃対策の『今できること・できないこと』」において言及される予定だ。本音トークを信条とする顔ぶれがそろったパネルディスカッションだけに、同じ空間を共有した人間にしか伝えられない、生々しい現実も明らかにされるかもしれない。少しでも当日の内容に興味を持ったならば、ぜひ会場の扉を開いていただきたい。