多くのCEOは自社のサイバーセキュリティが万全だと考えていますが、その責任を直接担っている人々の多くは確信を持てずにいます。
世界経済フォーラムの「グローバルサイバーセキュリティ見通し」に見られる、注目すべき知見の一つです。
このポッドキャストでは、アクセンチュアのサイバーセキュリティの専門家に話を聞いています。
また、フォーラムのサイバーセキュリティセンター長が、ランサムウェアがしばしば「ランサムウォー」と見なされる理由を説明しています。
「Radio Davos」を購読してください。
サイバー犯罪者にとって、コンピュータのデータを人質に取り身代金を要求することで、手っ取り早く大金を稼ぐ絶好の機会が訪れています。パンデミック中にオンライン勤務が急増すると、サイバー犯罪も同様に増加しました。ランサムウェア攻撃は151%増加しました（2021年）。世界経済フォーラムのグローバルサイバーセキュリティ見通しによると、270件のサイバー攻撃が、その年の組織1つあたり平均して発生しており、成功したサイバー侵害1件ごとに企業は360万ドルの損害を負っていました。
本ポッドキャストでは、アクセンチュアのシニア・マネージング・ディレクターで、セキュリティ・戦略・コンサルティング部門のリーダーであるジム・ギン氏にお話を伺います。アクセンチュアは昨年、広く報道されたランサムウェア攻撃を自社で受けた企業です。また、世界経済フォーラムのサイバーセキュリティ戦略リーダーであるアルギルデ・ピピカイテ氏にもお話を伺います。
さらに、ランサムウェアがしばしば「ランサムウォー」と見なされる理由について、世界経済フォーラム サイバーセキュリティセンター長のアレックス・クリムバーグ氏にお話を伺います。
フォーラムによる「グローバルサイバーセキュリティ見通し」（2022年版）もご覧ください。
以下は、Radio Davosのエピソードにおけるインタビューの書き起こしです：
「ランサムウォー」
アレックス・クリムバーグ、世界経済フォーラム サイバーセキュリティセンター長： ランサムウェアは、サイバー空間で台頭しつつある政治的兵器の一つです。私は自身の論考で、政治的なランサムウェア攻撃を「ランサムウォー」と呼んできました。ここ数年、サイバー紛争において最も好まれる兵器であることは確かです。
ランサムウェア攻撃は以前から世界的な状況の一部となっていますが、2015年から2016年頃にさかのぼると、サイバー攻撃者のグループ（犯罪ハッカーでもあるが、おそらく情報機関でもあった）が、NSAのサイバー兵器「EternalBlue」を入手しました。EternalBlueは大規模なWindowsのエクスプロイト、すなわちWindows OSにおけるセキュリティ上の脆弱性であり、当時はパッチを適用することが非常に困難で、未知のものでした。要するに、この脆弱性を持つ者は誰でも、あらゆるWindowsマシンにアクセスできたのです。
そして、米国の情報機関が管理していたとされるこのツールは、ハッカーコミュニティに盗まれ、インターネット上に公開されました。2016年の米国大統領選挙をめぐっては、ロシアの軍事情報機関が、米国の情報機関に恥をかかせるだけでなく、より多くのサイバー犯罪活動を引き起こして問題を生じさせようとしていた、との疑惑がありました。サイバー犯罪活動が増えるほど、サイバー防御側は多忙になり、サイバー犯罪、さらにはサイバー戦争やサイバー諜報活動への対応がより困難になります。つまり、一部のアクターにとってサイバー犯罪を増やすことは、ある意味で一石二鳥なのです。
そのため彼らは、EternalBlueという脆弱性を公開し、「ねえ、誰かこれを使ってみたい者はいないか」と呼びかけました。しかし、数年間、実際に誰も使いませんでしたが、これは少し不可解なことでした。
そして2017年、突如として北朝鮮と関係のあるアクターがWannaCryと呼ばれるものを公開しました。WannaCryは極めて破壊的なランサムウェア攻撃で、例えば英国の国民保健サービス（NHS）を襲い、一時は病院の4分の1が機能停止に陥るほど深刻でした。この状況を踏まえると、この攻撃によって多くの人が命を落としたことは疑いの余地がありません。これは、EternalBlueの脆弱性を実地で試すための試みであったことは明らかですが、同時に他のアクターに対してランサムウェアの魅力を知らしめようとしたものでもありました。基本的に、データの復号と復元に対価を支払えば、データが戻ってくるからです。WannaCryの場合、データは破壊されませんでした。
サイバー犯罪活動が増えるほど、サイバー防御側は多忙になり、サイバー犯罪、サイバー戦争、サイバー諜報活動への対応がより困難になります。
アレックス・クリムバーグ、世界経済フォーラム サイバーセキュリティセンター長
理論上は、金銭を支払えばデータを取り戻すこと、少なくともシステムを再び稼働させることは可能でした。しかしその後、ハッカーは一部の個人からのデータ解放の要請にほとんど応じないことが判明しました。そのため、これは金銭目的ではなく、むしろ政治的な攻撃であることが明らかになりました。攻撃者は金儲けよりも、被害を与えることに関心があったのです。
その攻撃は来ては去りましたが、非常に深刻なものでした。しかし、その後に起きたことはさらに悪く、それからわずか6か月後のことでした。それがNotPetyaです。NotPetyaは現在、史上最も破壊的なサイバー攻撃とみなされており、ウクライナから発生しました。ロシアの諜報機関またはサイバー作戦担当者が、世界中の多数の外部企業と取引関係にあったウクライナの業務ソフトウェア企業に意図的に感染させたとみられています。その企業との関係先には、例えばFedExやマースクなどが含まれていました。
このランサムウェアは2日間という極めて速いスピードで拡散し、マースクやFedEx、その他数十社の企業に深刻な混乱をもたらしました。被害総額は現在、20億ドル以上と見積もられており、これは途方もない額です。マースク1社だけでも、その期間の被害は3億と記録されており、これは記録に残るサイバー被害の中でも最も高額なものの一つです。
ウクライナは昔から、新たなサイバー兵器の実地検証の場となってきました。ランサムウォー型攻撃も、最初にウクライナで試されました。
アレックス・クリムバーグ、世界経済フォーラム サイバーセキュリティセンター長
この攻撃の特徴は、理論上は犯罪的な攻撃であったにもかかわらず、少額の身代金を支払えばデータを取り戻せるという主張があったものの、実際には支払う方法が存在しなかったことです。誰もメールに返信せず、データが復号されることもなかったため、これは偽のランサムウェア攻撃でした。つまり、「ランサムウォー」攻撃だったのです。主な目的は、被害と政治的混乱を引き起こすことでした。
ウクライナは昔から、新たなサイバー兵器の実地検証の場となってきました。ランサムウォー型攻撃も最初にウクライナで試され、現在国際的に見られる多くの活動は、金銭にしか関心のない実際のサイバー犯罪者によるランサムウェアとみなされることがあります。しかし、時には政治的な動機を持ち、混乱を引き起こすことを狙うアクターによるものである場合もあります。2017年から得たこの教訓は、政治的な不安定化を引き起こすうえでも、全体的な緊張を高めるうえでも、極めて効果的な兵器であるということです。つまり、大規模な混乱を引き起こしたい場合には、非常に効率的な手段なのです。
ロビン・ポメロイ：ウクライナ侵攻以降、その増加が見られているのでしょうか。
アレックス・クリムバーグ：現在見られるのは、侵攻以前から既に非常に高い水準で活動していたランサムウェアです。侵攻の警戒は、昨年10月にはおおむね既に始まっており、その時期以降、特に欧州でランサムウェア攻撃が増加するのを確認しました。欧州は長らく北米に後れを取っていました。これは、ランサムウェア攻撃の大半が犯罪ではなく政治的なものであったことを示すもう一つの兆候です。欧州も、ほぼ同様に魅力的な標的であったはずですが、政治的な理由から米国が主な標的となっていました。しかし、その焦点が突然移り始め、より多くの欧州企業が攻撃を受けるようになりました。
例えば、ドイツの燃料小売事業や、ロッテルダムの大規模な製油所に対する、かなり深刻な攻撃を確認しました。また、例えば運輸会社などでも、同様の攻撃が数多く報告されています。これらの攻撃には支払いの選択肢が提示されることもありますが、その支払い手段は偽物であるか、手続きに非常に時間がかかり事実上役に立たないかのいずれかです。あるいは、暗号化され復旧が必要なデータ量が非常に多く、実質的に無意味であることもあります。データは事実上破壊されているのです。
現在のサイバー兵器の主流はランサムウェアであり、その多くは政治的なもので、まさに「ランサムウォー」といえるものです。ただし、政治的アクターとサイバー犯罪者との境界は意図的にあいまいにされています。
企業のリーダーはサイバーリスクに対して過信しているのでしょうか？
アルギルデ・ピピカイテ、世界経済フォーラム サイバーセキュリティ戦略リーダー：実のところ、今おっしゃった統計に驚いたと言えたら良いのですが、残念ながら、サイバーセキュリティのコミュニティにとっては驚くべきことではないと考えています。むしろ私たちは、多くのCEOや取締役会メンバーを驚かせたと考えています。彼らは、自社のレジリエンスや、インシデントが発生した際の対応能力について、はるかに強い自信を持っているのです。ジム、その点についてどう思いますか。
ジム・ギン、シニア・マネージング・ディレクター（セキュリティ・戦略・コンサルティング部門リーダー）、アクセンチュア：まさにその通りです。重要インフラ組織の安全確保を支援してきたこの長年の中で、同様の傾向を何度も見てきました。その傾向とは、サイバーセキュリティという問題があり、私たちはそれを理解しているし、経営層のレベルで克服できるという思い込みです。しかし、日々その問題と向き合わなければならない組織の現場に目を向けると、人々は攻撃を阻止する能力について確信を持てずにいます。なぜなら、脅威は絶えず進化し、常に変化し続けていることを知っているからです。
そのため、取締役会への報告やアップデートを、大局的かつ非常に高い次元で行い、「現状はこうです。サイバーレジリエンスを高めるためにこのような取り組みを行ってきました。今後もこの道を歩み続けるための計画はこうです」と説明したとします。しかし、3週間もすればその状況は変わっているかもしれず、報告書は既に出ています。経営幹部はそれを見て、「ああ、この問題はしっかり把握できている」と強い自信を持つでしょう。ところが、気候や環境が変化したり、東欧の二国間に緊張が生じ、すべての国のリスクレベルが高まったりします。サイバー空間では物事が非常に速く起こるため、上級幹部がある時点のサイバーセキュリティ態勢に大きな安心感を抱くことと、実際に組織が非常に強靭であることは、必ずしも常に結びついていません。それらは時期によって増減するものであり、それが今日私たちが生きている世界の残念な現実なのです。
アルギルデ・ピピカイテ：私たちがこれほど大規模に接続されているために、この現実が訪れていると考えますか。新型コロナウイルスも何らかの役割を果たしていますか。あるいは、パンデミックの終息が見えてくれば、サイバーセキュリティの状況は改善すると予想しますか。この点についてどうお考えですか。
添付ファイルや接続の数を増やせば、攻撃対象領域も拡大します。そして攻撃対象領域が拡大すると、悪意のある攻撃者に侵入経路を探る機会をより多く与えることになります。
ジム・ギン、シニア・マネージング・ディレクター（セキュリティ・戦略・コンサルティング部門リーダー）、アクセンチュア
ジム・ギン：時計を2019年頃に巻き戻してみましょう。2019年には、継続的に発生する重大なサイバー事象が数多くありました。Stuxnet、WannaCry、Wannacryptoなど、さらにさかのぼれば、世界で発生した重大なサイバー事象は数えきれないほどあります。そして世界が、2019年頃の働き方から現在の働き方へと移行しなければならなくなった際には、自宅のネットワークや携帯端末を通じて、また安全でない可能性のあるネットワークを通じて企業の資産と通信する形へと、大きく接続性が高まりました。その接続性の高まりだけで、サイバー活動の増加が見られたのです。
私は、2019年頃の働き方や業務のあり方に二度と戻ることはないという考えを持つ一人です。今後はリモートワークが進化し、あるいは継続的なリモートワークが常態化していくでしょう。それによって、最も単純に言えば、IPアドレスを持つ資産の数が増えていくはずです。IPアドレスを持つ資産、つまり人が何かを使い、何かに接続し、業務を行う場合、接続や接続先の数が増えれば、攻撃対象領域も拡大します。そして攻撃対象領域が拡大すると、悪意のある攻撃者に侵入経路を探る機会をより多く与えることになります。メタバースや、責任あるAI、5Gなど、技術の普及をさらに幅広く加速させるものへと移行していけば、この問題は悪化する一方でしょう。容易になったり、改善したりすることはありません。進化を続けるでしょうから、私たちは今日の組織におけるサイバー対策に対して、非常に慎重に取り組まなければなりません。
アルギルデ・ピピカイテ：では、AI、ブロックチェーン、5G、そして拡張現実やメタバースのような、私たちが導入しつつある新たな技術や新たな現実について、さらに掘り下げてお聞きします。さらに、昨年2021年にランサムウェア攻撃が少なくとも150%、場合によってはそれ以上増加したという状況もあります。暗号資産も、支払いとその追跡のために膨大な規模で利用されています。お伺いしたいのは、今後も基本的な攻撃によるランサムウェア被害に苦しむと考えますか。それとも、私たちが使用する新たな技術や技術の組み合わせによって、非常に高度な攻撃が生まれると予想しますか。
国家や関連組織から資金提供を受けた侵入者であれば、その侵入を阻止することは不可能でしょう。
ジム・ギン、シニア・マネージング・ディレクター（セキュリティ・戦略・コンサルティング部門リーダー）、アクセンチュア
ジム・ギン：私は両方だと考えますし、歴史がそれを証明してきました。よく見られる共通の問題は、常にではありませんが、さまざまなデバイスで多要素認証のような基本的な対策が有効になっていないことです。そのため、別の手段で認証情報を盗み取られた人物が侵入してしまうことがあります。
基本を徹底できるまで、例えば企業全体での多要素認証、つまり、制御技術（OT）の資産から企業のITの資産、モバイル端末、そしてすべてのエンドポイントに至るまでの対策が実現できるまでは、洗練度の低い攻撃者が侵入し、被害を与え続けるでしょう。サイバーギャングは、手っ取り早く稼ぐことを狙っています。
二つ目は、すべての国に敬意を払った上で言えば、どれほど資金が豊富で、非常に強力なサイバー能力を持つ国家であっても、国家主体や関連組織を通じて害を与えようとするならば、その行為を止めることはできません。それは単に時間の問題です。
最近、多国間にまたがる「ゼロデイ」攻撃が数多く発生しています。誰もその到来を予想しておらず、国家の関連組織や、国家そのものが直接関与して大きな混乱を引き起こしています。そして、それを防ぐことはほぼ不可能です。国家や関連組織から資金提供を受けた侵入者であれば、その侵入を阻止することは不可能でしょう。それは時間の問題です。
つまり、両方が存在すると考えています。認証情報の窃取などを利用して手っ取り早く稼ごうとする、洗練度の非常に低いギャングが侵入してくる一方で、世界に混乱を引き起こすことを望む、非常に高度な国家主体も存在するでしょう。
ロビン・ポメロイ：それはかなり恐ろしい話ですね。最初のカテゴリーでは、いわば漏れのある船のように、あらゆる穴を塞がなければならないということです。ネットワークへのアクセス経路となる穴をすべて塞げば、犯罪的なランサムウェアギャングを止められるはずです。しかし、今話題になったもう一つのカテゴリー、つまり国家主体については、私の素人の知識では、10年以上続いているとされています。それを止めることは不可能だとおっしゃっています。では、医療サービスが機能停止に追い込まれたり、国のエネルギー網が遮断されたりするのを防ぐために、私たちは何をすべきでしょうか。事後的に対処するしかないのでしょうか。それが現状なのでしょうか。
ジム・ギン：はい。あなたの比喩を使わせてください。とても良い例で、よく使われるものでもあります。ある偉大な哲学者はこう言いました。「船が造られた瞬間に、難破も生まれた」。つまり、船を造って航海に出せば、いずれどこかで沈むものであり、それは悲劇です。私はキャリアの初期に洋上や船舶で働いていましたが、そこで最初に学ぶのは、緊急時に船から脱出する方法です。つまり、安全計画とセキュリティ計画を持ち、集合場所を把握し、全員が自分の役割を理解していることが必要なのです。
私たちは常に、サイバー空間の難破を避けようと努めています。しかし、それが起きてしまった場合、重要なのはそれが起きたことではなく、どれだけレジリエンスを持ち、どれだけ迅速に隔離、封じ込め、復旧、対応できるかです。あなたの比喩の船で言えば、もし船で大惨事が起き、全員がパニックに陥ったら、それは非常に悲劇的なものになるでしょう。大切なのは、計画を立てること、実行すること、そして慎重に行動することです。そうすれば、自分が所属する組織にどのような形でそれが起きても、非常に入念にテストされた確かな計画を持つことができ、より強靭になり、迅速に回復できるのです。
私たちは皆、病気になります。インフルエンザにかかることもあれば、風邪をひくこともあり、あるいは、もし不幸にもCOVIDにかかることもあるでしょう。しかし、私たちは皆、病気になるものです。ただ、適切な計画があれば、皆回復できるはずです。適切な医薬品の能力があれば、私たちは皆回復できます。サイバーも同じです。それは必ず起きます。だからこそ、どのように回復するかを、論理的かつ体系的に話し合いましょう。そうすれば、将来、組織や顧客、サプライヤーへの影響を最小限に抑えることができるのです。
アルギルデ・ピピカイテ：冒頭でロビンが述べたように、組織がインシデントを特定して対応を開始するまでには、平均で約280日かかります。つまり、1月1日にハッキングされた場合、その事実を把握できるのは、早くても10月中旬頃になる可能性があるということです。
レジリエンスを最優先の理念とするならば、私たちは280日間もネットワーク内にとどまりうる攻撃者を、どのように防止し、どのように対処できるのでしょうか。攻撃者は、9、10か月ものあいだネットワーク内を移動しながら偵察を行い、機密データ、脆弱性、アクセス管理などを特定します。その手際は驚くべきものです。では、これはまだ勝てる戦いだと考えますか。それとも、いったんそれを見つけてから、その状況を防ごうとする形になるのでしょうか。
サイバー攻撃に対する予防策
ジム・ギン：それが一部の組織の戦略かもしれません。「見つけたら防ごう」という戦略です。しかし、私たち自身の経験に照らしても、それを推奨するわけではありません。
重要なのは備えです。事前に計画を立てることです。なぜなら、影響に近いところで、つまり侵入が発生した初日、悪意のある攻撃者が侵入した時点で対処できるほど、被害を抑えられるからです。今必要なのは、時計を数百日から数日程度にまで巻き戻し、影響を減らすことです。
私たちにできることは数多くあります。このポッドキャストを聴いている方々、あるいはそれ以外の方々とも、喜んで良い参照アーキテクチャを共有したいと思います。実行するのは非常に難しいものの、非常にシンプルな考え方がいくつかあります。それを用いれば、影響が発生してから排除、すなわち攻撃者をネットワークから取り除くまでの時間を実際に短縮できます。
例えば多要素認証です。すべてのデバイスに複数の認証情報が必要であれば、ネットワーク内を水平移動するのは非常に困難になります。
ゼロトラストです。ゼロトラストとはどういう意味でしょうか。ネットワーク上にいる誰も信頼しない、ということです。そのため、ビジネスの文脈で特定の資産群を保護するために、複数の認証方法を用意する必要があります。そうすることで、知的財産や データの喪失を防ぐことができるのです。
非常に基本的な事項もいくつかあります。もちろん、それらは実装が容易ではなく、時間と費用の両方がかかります。しかし、私たちが見てきた中で最も「華々しい」サイバー事象、ここで言う「華々しい」は肯定的な意味ではなく否定的な意味で使っていますが、それらは、フラットなネットワーク上で、多要素認証がなく、環境を可視化できず、何が起きているか把握できない状態で発生したものです。
私たちはこれを簡単な言葉で表現しようとしています。見えなければ守れない、ということです。文字通り、見えなければ守ることはできません。だからこそ、環境全体を可視化し、イベントを相関させて分析できる能力があれば、滞留時間を数百日から数時間程度にまで短縮できる可能性が高まります。
私たち自身のケースでも同様です。昨年、LockBitランサムウェアギャングが、設定の不備があった特定のサーバー群に侵入する事案がありました。率直に言えば、5時間未満で彼らを締め出すことができました。ですから、それは可能なのです。私たちが多要素認証の設定ミスによって経験したことからしても、脅威アクターを5時間未満で特定し、隔離し、排除することができました。
アルギルデ・ピピカイテ：在宅勤務が一般化し、多くの人が業務用デバイスを私生活や私用の用事に使い、個人用デバイスを業務に使う中で、非常に多くの異なるデバイスが接続され、また企業のセキュリティで保護されていない、ホームセキュリティ用、あるいはそもそも保護されていないルーターなど、多くの機器が社内ネットワークに存在しています。その状況では、侵入者がネットワークに入り込んだときに、それを容易に特定できるのでしょうか。どのように特定しているのでしょうか。また、特定した後、どのような手順で対応し、インシデントを封じ込めるのでしょうか。そして、ネットワーク上にいるのがジムでもケリーでもダイアナでもないと、どのように判断するのでしょうか。
脅威アクターに対する最良の防御は、自社の人材です。サイバー事象への対応において、私たちの人材はおそらく最大の強みであると同時に、最大の弱点にもなり得るものです。
ジム・ガン（Jim Guinn）、シニア・マネージング・ディレクター - セキュリティ、戦略・コンサルティング部門責任者、アクセンチュア
ジム・ガン： サイバー戦略には多くの要素がありますが、利用パターンを理解すること、あるいはペルソナと、そのペルソナが何をすべきか、業務でどのように関わるかを理解することは、いわゆる「役割（ロール）」、すなわち、組織の中で自分の役割は何か、誰と関わるべきか、どのデータに触れるべきか、通常いつそのデータに触れるのか、を把握することにほかなりません。
私たちが活用できるものは数多くあります。データ分析やAI、そして責任あるAIです。責任あるAIとは、その仕組みを理解したうえで、不正な利益のために使用しないことを意味します。さらに、人間が技術や機械とどのように関わっているかを観察するだけでも、自社の環境について多くのことを学ぶことができます。
ゼロトラストのような考え方の基本は、特定の方法で一連のシステムと関わる一連の役割、ペルソナ、IDを明確にし、それがどのようなものかを把握したうえで、「信頼せず、検証する」という仕組みを通じてそれらへのアクセスを許可することにあります。
そのため、組織にとって残念なことに、報告書でも触れたとおり、エコシステムにとって非常に重要でありながら規模の小さい組織の多くでは、複数のデバイスを使って企業資産に接続している社員がいます。また、導入に費用と時間がかかるため、サイバーセキュリティの体制が高度とは言えないことも少なくありません。たとえば、耐久消費財や医薬品のサプライチェーンの一部として非常に重要な役割を担う、従業員100名の組織があるとします。その組織に脆弱性があれば、誰かがそこに侵入し、そこを足がかりにお客様の組織に到達する可能性があります。これらを完全に防ぐことは不可能ではありませんが、非常に困難です。
結局のところ、個人がネットワーク上で何をすべきかを把握していなければ、その人が何をすべきかを予測することはできません。つまり、「見えなければ守れない」、あるいは「把握していなければ守れない」ということに行き着きます。簡単なことではありませんが、不可能ではありません。ただし時間を要し、企業資産や知的資産、そして人材の両方に投資するための覚悟が必要です。
従業員を忘れてはなりません。脅威アクターの侵入を防ぐ最善の方法は、自社の従業員です。従業員が注意深く行動し、リンクをクリックせず、業務用コンピューターと同じ端末で個人のウェブメールを読むような共有環境を作らないことが重要です。面白いと称する動画が送られてきて、それにマルウェアが仕込まれていれば、企業資産にマルウェアが入り込み、ネットワーク内を移動して侵入されてしまいます。したがって、サイバーインシデントに関して言えば、従業員こそが私たちの最大の強みであり、同時に最大の弱点にもなり得るのです。
ロビン・ポメロイ： ランサムウェア攻撃の被害者になるとはどのようなことか、お話しいただけますか。人々はランサムウェアと聞くと、新聞から切り抜いた文字で書かれた脅迫状がドアの下から差し込まれ、「あなたの子犬を預かっている。20万円を払えば返す」と書かれているような状況を想像します。ある意味では、それと大きく違わないのではないでしょうか。昨年あなたが経験した攻撃について読んだのですが、画面の壁紙に「我々はこのコンピューターを乗っ取った。ここにいる。ははは。金を送れ」といった文章が表示されたというのは本当でしょうか。つまり、それくらい単純なものなのですか。そうした表示によって、攻撃を受けていると最初に気づいたのでしょうか。
ジム・ガン： そうならないことを願っています。その段階では、攻撃者はすでにネットワーク全体を横方向に移動し、複数のデバイスに侵入し、事実上インフラに対する締め付けを行える状態になっています。その時点で状況は非常に深刻です。本当に、非常に深刻です。理想を言えば、攻撃を実行している最中に検知することです。通常とは異なるネットワークトラフィックや、正常ではない活動を把握する必要があります。
たとえば、MXDRプラットフォームを使うことです。私たちは世界最高水準のプラットフォームの一つを保有しており、何百社ものお客様に利用しています。異常を検知して警告が発せられたら、直ちに何が起きたのかを調査します。ですから、通知を受ける前に攻撃を発見できればよいのです。しかし通知を受けた場合は、自社、従業員、お客様、取引先のいずれにとっても望ましくない、新たな一連の対応を進めなければなりません。したがって、そうした事態になる前に対処できるのが理想です。ご理解いただけましたか。
ロビン・ポメロイ： はい、まさにそのとおりです。ただ、この頭字語には戸惑いました。MXDRとはどのようなものか、説明していただけますか。
ジム・ガン： 「Manage（管理）、Extend（拡張）、Detect（検知）、Respond（対応）」の略です。これはネットワーク全体で行われているあらゆる活動を、いわば大きな万華鏡のように捉える技術群であり、何が起きているかを可視化することを可能にします。
また、特定の事象を管理・拡張し、検知して対応する能力でもあります。それは異常かもしれませんし、問題のないものかもしれません。あるいは悪いものかもしれません。しかし、通常とは異なるものであるため、調査する必要があります。つまり、ネットワーク全体を覆う一種の網のようなもので、さざ波のような兆候を見つけ出します。そして、そのさざ波を調べて、それが何であるか、なぜ他の領域と相関しているのか、なぜ別の場所にも現れているのかを突き止めます。つまり、インシデントや、その可能性がある状況をより的確に検知するための手段なのです。
ロビン・ポメロイ： 昨年のこの攻撃について話せる範囲で教えていただけますか。ランサムウェア・グループのLockBitについては広く報道されていますので、彼らが誰なのか、あるいは誰である可能性があるのかを教えていただけるとよいのですが。彼らは5,000万ドルの身代金を要求したとされています。では、あなたの立場から、事態はどのように進展したのでしょうか。
ジム・ガン： 私たちはすべてのお客様に対して、非常に透明性を保ちました。事件が発生したのは7月30日で、確か日曜日だったと思います。記憶をたどっているので確信は持てませんが、日曜日だったはずです。月曜日の朝、当時の上司からメッセージが届いていたのを覚えています。朝5時から5時15分ごろに起きたのですが、普段は起きると犬を散歩に連れて行きます。そのときもまだ、犬の散歩に出たときの服装のままでした。ときどき携帯電話を持たずに出かけることがあり、オフィスに行ってから画面に触れると、メッセージが届いていたことに気づくのです。そして、そんな時間にメッセージが来るのは決して良いことではない、と思いました。
そこでメッセージを読んだとき、世界が変わってしまいました。
そして、脅威アクターの言うことを、すべて信じてはいけません。その理由はいくつかあります。まず、要求額は5,000万ドルではありませんでした。要求額は公表していませんが、はるかに少額だったとだけお伝えしておきます。また、封じ込めには5時間もかかりませんでした。誰かが侵入し、アラートが作動して、何か異常があると分かり、調査しなければならなくなった時点から、5時間以内に隔離することができました。そのため、データを持ち出す能力については、最終的に判明したように、そして多くのお客様にも広く共有したとおり、主に座席表や社内のメール、公開されていたベンチマークデータ、そしてその他の一連の情報でした。データそのものに価値はありませんでした。
脅威アクターは、LockBitであれ他の組織であれ、自分たちが持っているものを誇示したがります。標的の組織から入手できなければ、データの価値を高く見せかけてダークウェブで売ろうとするのです。今回の場合は、金色にスプレーで塗られた岩のようなものでした。確かに何かは存在していました。それは素材ではあったものの、財務的な意味で重要なものではなく、データにすぎませんでした。しかし、彼らはそれを重要で大きなものに見せかけるために金色に塗ったのです。それが本当に重要でも大きくもなかったことは幸いでした。そうでなければ、まったく異なる状況になっていたでしょう。ただ、彼らは自分たちが持っているものを理解し、私たちが支払わないと伝えると、その情報は広く公になりました。私たちが何を把握しているのか、そして封じ込めと隔離が完了したと確信できた後は、交渉というよりも時間稼ぎの手段となりました。つまり、社内のCERT（コンピューター緊急対応チーム）や、社内のCISO（最高情報セキュリティ責任者）が状況を把握しようとしている間に、私たちが何を知っているのかが公になるのを遅らせるためのものでした。ですから、身代金の額がそれほどのものではなかったのは確かです。そして、誤解のないように明確に申し上げると、私たちは支払っていません。
ランサムウェア：支払うか、支払わないか
アルギルデ・ピピカイテ： 支払うか支払わないかの判断は、どれほど難しいものなのでしょうか。企業は通常、支払って問題を終わらせることを選ぶのでしょうか。それとも、支払わずにネットワークを再構築する方が単純なのでしょうか。二つの異なる考え方があると思います。あなたは通常どちらに傾きますか。また、市場ではどちらのケースがより多く見られますか。
健康、安全、または環境に影響が及ぶ可能性がある場合は、支払うかどうかを判断するための意思決定プロトコルを用意しておく必要があります。
ジム・ガン、シニア・マネージング・ディレクター - セキュリティ、戦略・コンサルティング部門責任者、アクセンチュア
ジム・ガン： 非常に良い質問です。そして簡単に答えられるものではありません。常に支払うべきだと考える人もいれば、決して支払うべきではないと考える人もいます。私が、特に重要インフラにおいて、私とチームがサービスを提供しているお客様に対して整理して伝えていることがあります。健康、安全、または環境に影響が及ぶ可能性がある場合、これは明確にしておきたいのですが、健康、安全、環境に関わる場合には、支払うかどうかを判断するための意思決定プロトコルが必要です。非常に深刻で、環境に極めて悪影響を与えかねない場合、あるいは従業員や他者の安全に極めて悪影響を与えかねない場合、患者の健康や患者ケアに深刻な悪影響を与えかねない場合には、支払うとどうなるのか、支払わないとどうなるのかについて、卓上演習や経営陣での議論を通じて何度も検討した意思決定ツリーを、あらかじめ用意しておく必要があります。そうすれば、その場でいきなり判断する必要はなくなります。
私個人としては、何が支払い対象となる事象で、何がそうでないのかを、実際に事象が発生するずっと前に決めておくべきだと考えています。そして、そのような事態に実際に直面した場合には、そのプロトコルに従い、自分たちが下した決定に従わなければなりません。サイバー事件の最中で感情が高ぶっているときに、極めて重大な判断をリアルタイムで行おうとすると、一般的に言えば、最善の判断はできないかもしれないからです。
ですから、平時を考えてみてください。人々が動揺しておらず、パニックや緊急事態にも陥っていないときです。戦争に備えることは、必ずしも計画そのものではなく、備えておくことそのものが重要です。サイバー事件でも、事業上の重要業務においても、その計画を実際に検証しておくことで、その時点で最善の判断を下せる可能性が高まります。
ですから、私はどちらの考え方にも与しません。むしろ中道に立っています。すべての企業は、健康、安全、環境への懸念による影響を踏まえ、事業を行う管轄の法的要件の範囲内で、支払うべきか支払うべきでないかを判断できる能力を持つ必要があると考えています。
ロビン・ポメロイ： では、企業は実際にそうしたシナリオ、いわゆる戦争ゲームを実施しているのでしょうか。それは大企業で、そのための体制を整えられるところだけだと思いますが、そうした取り組みを行っている企業があることはご存じですか。
ジム・ガン： はい、実施しています。新しい技術が急速に広がり始めた2000年代初頭、つまり1998年、1999年、2000年、2001年、2002年の頃から、取り組みは大きく進化してきました。今では、十分な予算を持つ非常に大規模な組織は、レッドチーム演習や卓上演習、意思決定プロセスを通じて、特定の事態にどのように対応するか、そしてその判断を導くためにどのようなプロトコルを定めるべきかを検討しています。
また、より小規模な組織にも、オーストラリア、シンガポール、EU、米国、カナダなど、多くの国の政府を通じて、そうした能力を活用できる仕組みが整いつつあります。もちろん、その時点で必要としている、あるいは求めているすべての組織に対して、同じ規模や能力で提供できるわけではありません。
しかし、状況は改善しています。実際に準備を行っている組織は、潜伏期間だけでなく、知的財産、データ、その他の重要な資産が失われる可能性のある期間を縮めるうえで、最も有利な立場にいると思います。
すべてのポッドキャストはこちらからご覧いただけます。
購読： Radio Davos； Meet the Leader； Book Club； Agenda Dialogues。
参加はこちら： World Economic Forum Podcast Club（Facebook）.
