過去12か月間に、プロスポーツ団体の84%がサイバーインシデントを経験しました。
ワールドカップはスタジアム、放送局、決済システム、交通網、そして何百万人ものファンを、ダウンタイムが一切許されない、単一の一時的なデジタル経済圏につなぎます。
この一時的なデジタル経済圏は重大なサイバーセキュリティリスクをもたらします。そのリスクへの対処方法から、世界中の組織が教訓を得られます。
FIFAワールドカップといえば、世界中に届けられる体験、つまりチーム、スタジアム、観客、ゴールを思い浮かべます。そのすべてを実現する舞台裏には、今年は3か国、16の開催都市、104試合にまたがる一時的なデジタル経済圏があります。そこではスタジアム、都市、放送局、スポンサー、チケット販売プラットフォーム、決済システム、交通網、宿泊・接客事業者、そして何百万人ものファンがつながっています。
すべての試合は、驚くほど多くのシステムと組織の連鎖に支えられています。放送局にはライブ映像が必要です。ファンにはチケット、決済、アプリ、交通情報、会場への入場手段が必要です。スポンサーやサプライヤーには稼働するプラットフォームが必要です。都市には、需要の急増に対応できる公共サービスが必要です。スタジアム運営者には、建物、安全、通信、運営に関するシステムが想定どおりに機能することが求められます。
インフラの幅広さ、運営の規模、相互依存性に世界中からの注目が加わることで、ワールドカップはスポーツ界をはるかに超えたリーダーたちが学ぶべき、デジタルレジリエンスの事例となります。
ビジネスとスポーツにおけるデジタルリスクとサイバーセキュリティ
今や多くの組織が、ワールドカップを特徴づける基本的な条件のもとで事業を運営しています。期限は決まっており、価値の高いデータを扱い、顧客向けシステムを稼働させ、サプライヤーと接続し、ダウンタイムはほとんど許されません。ブラックフライデーに備える小売業者、市場の変動に対応する銀行、患者の流れを管理する病院は、いずれも同じ問いに直面します。デジタルシステムに負荷がかかったとき、事業を継続できるでしょうか。ワールドカップでは、これらすべてがさらに大規模かつ迅速になり、世間の注目を集め、地政学的要因も重なります。
今年の大会では、すでにその状況が見られました。独立系のセキュリティ研究者が、FIFAに登録されたサッカー代理人向けのログインを設定し、クライアント側のブロックを回避する方法をすぐに見つけ、FIFAのストリーミング管理パネルにアクセスして、試合のライブデータや映像配信の制作に関わるツールを露呈させました。これは高度で特殊な攻撃ではありません。多くのセキュリティチームが経験してきた種類の、基本的なアクセス制御の問題です。しかし今回は、攻撃者が世界各地への試合中継に干渉する事態につながりかねませんでした。2018年のオリンピックでも、オリンピック・デストロイヤーが同様の教訓をもたらしました。このマルウェアは、冬季オリンピックの開会式をめぐるITシステムを妨害しました。
Darktraceの最新の調査によると、過去12か月間にプロスポーツ団体の84%がサイバーインシデントを経験し、57%は複数回の被害に遭いました。脅威の多くは、ほとんどのセキュリティチームにとっておなじみのものです。フィッシング、マルウェア、アイデンティティの悪用、サードパーティリスク、脆弱なアクセス制御です。スポーツ界では、多くの組織が直面するのと同じ状況が、より明確に、より大きく表れています。
AIが新たな層を加えています。攻撃者はAIを使って、外部に露出したシステムを調べ、より信ぴょう性の高いメッセージを作成し、実際の出来事や経営幹部に合わせて詐欺を仕立て、攻撃の初期段階をより迅速に進められます。Darktraceの調査では、プロスポーツのサイバーセキュリティチームの83%が、過去1年間に自組織へのサイバー攻撃でAIが使われたと検知したと回答しました。また、72%は今後12か月間にAIによってサイバーリスクが高まると考えています。
組織内部のAIリスクも、外部からの脅威に匹敵するほど高まっています。当社の調査では、スポーツ界のサイバーセキュリティ専門家の47%が、従業員によるAIエージェントの作成に伴うリスクを懸念していました。その懸念はもっともです。AIエージェントにはシステム、データ、ワークフローへのアクセス権を与え、迅速な処理を指示できますが、人間が備える裁量や、行動の結果を理解する力はありません。プロスポーツ団体は、リスクと利点のバランスを取っています。3分の1を超える団体がスタジアム運営にAIエージェントを導入済み、または導入を計画しています。一方、セキュリティ専門家が、侵害された場合に最も大きな影響が生じると考える領域もスタジアム運営です。
サイバーセキュリティに生かすワールドカップの教訓
FIFAから金融サービス企業まで、組織が直面する課題は、より迅速でつながりの強い環境にサイバーセキュリティをどう適応させるかです。ワールドカップ規模で運営するセキュリティチームはほとんどありませんが、どの企業もそこから3つの実践的な教訓を得られます。
1. レジリエンスはエコシステム全体で確保する。
大規模イベントは、放送局、クラウドプラットフォーム、チケット販売事業者、決済会社、請負業者、公的機関、地域のインフラに依存しています。現代の企業の多くも同じです。リーダーは、どのパートナーが重要システムにアクセスできるのか、パートナーに障害が起きた場合に何が起きるのか、重要な接続が途絶えたときに事業をどう継続するのかを把握する必要があります。Darktraceが2022年のカタール・ワールドカップで取り組んだ際には、厳格なベンダー監査とアクセス制御を組み合わせることで、どれほど複雑なサプライチェーンも安全にできるかを確認しました。
2. アイデンティティの管理対象には、人、機械、そして今やエージェントも含める。
多くのサイバーインシデントは、盗まれたパスワード、過剰な権限を持つアカウント、信頼されたサードパーティとの接続、あるいはユーザー認証はしても許可された操作を徹底できないシステムから始まります。AIエージェントが組織内のデジタル主体となるにつれて、企業には承認済みユーザーと権限の一覧だけでは不十分です。どの人間およびAIのアイデンティティが活動中なのか、何にアクセスできるのか、通常どのように振る舞うのかを把握する必要があります。そこで行動の検知が重要になります。警告の兆候はアイデンティティそのものではなく、通常の役割にそぐわない行動かもしれません。たとえば、通常と異なるデータ要求、予期しないシステム変更、不適切なタイミングで起動するワークフローです。セキュリティチームには、その異常が無害か、リスクを伴うか、緊急対応を要するかを判断し、迅速に調査するための十分な状況把握が必要です。
3. 実際の運用上の圧力を想定して対応を検証する。
書面上は機能する計画でも、試合中、製品の発売時、販売の繁忙期には失敗することがあります。そうした場面では人々がプレッシャーのなかで働き、攻撃者はすでに動き出している可能性があり、小さな遅れから封じ込めたはずのインシデントが拡大しかねません。調査と修復は引き続き人間のチームが主導する必要がありますが、インシデントの進行中に、リスクのある接続、アカウント操作、システム変更を一つ残らず手作業で封じ込める必要はありません。リーダーは、どのシステムが最も重要か、誰が迅速に判断できるか、手動の代替手段がどこにあるか、そして人々がより深い対応にあたる間、自動的な封じ込めで被害の拡大を食い止められる箇所はどこかを把握すべきです。
ワールドカップは、デジタルリスクが今後どこへ向かうのかをリーダーに示します。AIの導入、サプライヤーとの接続、固定された期限、世間の厳しい目、そして失敗の余地がほとんどない状況。これらが世界規模で一堂に会し、実際の運用上の圧力のもとに置かれます。そうした圧力が重なる前に備えることが教訓です。そのためには、最も重要なシステム、影響を及ぼし得るパートナー、アクセス可能な人間およびAIのアイデンティティを把握し、何かが機能しなくなった場合に事業をどう継続するかを明確にする必要があります。
