日本企業が直面するサイバーリスクとレジリエンス戦略の重要性、取るべき対策とは？

キンドリルジャパンは12月5日、オンラインで国内企業が直面するサイバーリスクの現状と「レジリエンス戦略」の重要性に関する説明会を行った。米Kyndryl セキュリティ&レジリエンシーグローバルプラクティスリーダークリス・ラブジョイ氏が解説した。

冒頭、ラブジョイ氏は「現在、世界のサイバーセキュリティにおいて歴史的な転換点にある。何十年もの間、“個別の脅威”に対してセキュリティ対策を行ってきたが、こうした時代は終わりを迎える。これからの脅威は体系的なものとなり、防御することが難しくなるだろう」との認識を示す。

米Kyndryl セキュリティ&レジリエンシーグローバルプラクティスリーダークリス・ラブジョイ氏

サイバーセキュリティに関するコストは、グローバルで2030年までに20兆ドルと予測されており、中国のGDPを上回る規模となる。脅威が変革しつつある要因として自律型AIによる攻撃や地政学的リスクによる分断などを挙げている。

自律型AIによる攻撃

まず、AIについてラブジョイ氏は“人間に使われるツール”からAIエージェントとして“人間を代替する攻撃者”になると予測し、こうした問題は現実のものになるまでに時間はかからないという。

実際、Anthropicは11月に9月中旬に中国国家支援グループが「Claude Code」悪用し、AIエージェントによる攻撃を受けたことを報告している。攻撃者は、攻撃中に重要な意思決定が必要な時だけ数回介入するだけだった。

ラブジョイ氏は「このインシデントの重大な事実は、防御に関してスケール感を大きく変更するものになることだ。人間では限界があるが、AIは限界がなく同時並行で複数の行為を仕掛けることが可能であり、今回のインシデントにより人間が人間と戦うサイバーインシデントは終わりを告げたと言っても過言ではなく、これからは機械vs機械になる。自律型のAIエージェントに対しては、自律型の防御が必要」と話す。

地政学的リスクによる分断

地政学的リスクによる分断に関しては、インターネットはデータプライバシーやローカライゼーション、アクセスに関する規則が国家間で異なり、複数のブロックに分断されつつあると指摘。こうした分断により、組織のリスクサーフェスは自社の境界内だけで定義されるものではなく、デジタルサプライチェーン全体で規定されるようになっているという。

同氏は、10月にF5がBIG-IP製品の開発環境やナレッジ管理プラットフォームからソースコードや未公開の脆弱性情報が流出したことを認めた事例を挙げている。このインシデントは直接的なサプライチェーンの改ざんは確認されていないものの、F5製品はFortune 500企業の8割以上で利用されているため、広範な企業ネットワークに影響が波及する恐れがあると指摘。

ラブジョイ氏は「今回のインシデントによる攻撃者は、F5のネットワークに対する攻撃を数年かけて準備してきたことが判明している。ソースコードを窃取し、未公開の脆弱性を把握しており、サプライチェーンリスクを考える際に恐ろしいシナリオだ。ソースコードを窃取することで企業のセキュリティ対策の根幹を分析することが可能になり、ゼロデイ攻撃につながる可能性がある」と警鐘を鳴らしている。

多くの日本企業はグローバルのテック企業に依存していることから、透明性を担保していくことが重要だという。ソフトウェアベンダーはオープンソースのリポジトリ上にシステムを構築しており、こうしたベンダーのセキュリティ対策を額面通りに受け取るべきではないとのことだ。

11月に発生したGitHubのnpmレジストリでのサプライチェーン攻撃では、バックドアからマルウェアを結び付けて攻撃を仕掛けることが難しいものではないことが証明されたという。同氏は「ソフトウェアを理解し、どこで開発され、セキュリティがどのように担保されているのかを深いレベルで理解することが透明性の担保につながる」としている。

日本企業が取るべきレジリエンス戦略

では、実際に上記のような事象が発生した際にどのような対処が現実的なものになるのだろうか？ラブジョイ氏は「昨今の攻撃者は、明確な意志を持って攻撃を仕掛けてくる。AIエージェントを使う場合は、システムの中に入ってきてしまう恐れがある。従来、防御が機能しているという指標は過去の実績で評価してきたが、現在ではどれだけ素早く復旧できるかが指標になっている。これを最も如実に示しているものがアサヒグループホールディングス(アサヒグループHD)への攻撃だ」と話す。

アサヒグループHDを攻撃したランサムウェアグループは、欧州を拠点とした「Qilin」であり、特徴として対象者の選定に倫理観を持ち合わせていないこと、そしてRaaS(Ransomware as a Service)グループであるという点だ。

同氏は「アサヒグループHDへの攻撃は、サーバを暗号化して物流システムを凍結させ、影響は目に見えるほど大きなものとなった。ビジネスを継続するためにアナログのプロセスに戻す対応を行った。こうした対応は、組織として脆いという事実を露呈してしまった。結果的に91万件の個人情報が漏えいした可能性が高い」と話す。

そこで、日本企業が取るべきアプローチは、マインドセットをサイバーセキュリティから「サイバーレジリエンス」にシフトすることだ。システムは必ず不具合を起こすという前提のもと、システムを設計するとともに復旧までの演習を行う必要があるとのこと。

ラブジョイ氏は「システムに近代的なバックアップの機能を組み込み、インシデントが発生した際でもサービスを継続可能な状態にしておくことが望ましい。レジリエンスを一言で説明すれば、たとえ殴られたとしても立ち続けられる状態だ」と説く。

こうした目の前に見える危機的状況を超えてもなお、2つの脅威が存在するという。1つは量子における脅威であり、国家支援型グループで攻撃を仕掛ける国々は、量子コンピューティングに関する情報を収集し続けている。F5のインシデントと同様に情報を数年かけて収集し、その後の解読につなげる可能性があるとのことだ。

同氏は「量子コンピューティングの技術が利用可能になるのは2020年代後半以降であり、組織は今まさに準備すべき。なぜなら多くのシステムで利用している古い暗号化のアルゴリズムの書き換えは現在では書き換えることが不可能であり、強固にすることが難しいからだ」と力を込める。