サイバーセキュリティマネジメント海外放浪記

年明け東南アジアで見た、自律的に学び続ける組織に不可欠なもの（1/2 ページ）

公開 2020年02月12日 10時13分

著者

鎌田敬介

[ITmedia]

印刷する連載新着通知を受け取る

※本記事はアフィリエイトプログラムによる収益を得ています

いよいよ2020年の到来

　2020年になりました。サイバーセキュリティのさまざまな取り組みの中には、東京オリンピック・パラリンピックを目指して推進されてきたものが多々あるかと思います。本番が近づくにつれて、大会運営中どんなことが起きそうか議論する場に参加する機会も増えています。そこに参加する人たちは、セキュリティやITの仕事をしている人たちばかりでなく、一般的な業務部門や、監査部門、法務部門など多岐にわたっており、「サイバーセキュリティは経営課題」という考え方が広く浸透してきていることの現れなのかもしれません。私も海外に行った際には、過去のオリンピックや各種ワールドカップ、そしてスポーツに限らず大規模イベントにおいてどのようなサイバー攻撃があったか、現地の当事者から話を聞いてくるように意識しています。

2019年7月にロンドンを訪問した際に、ロンドンオリンピックのサイバーセキュリティチームと意見交換した場所

　さて、私自身の印象ですが、最近のサイバー攻撃の傾向を見ると、攻撃側の工夫にも広がりが出てきていることを感じます。技術的な進化よりは、攻撃対象となる企業の業務プロセスをよく分析した上で攻撃シナリオを組み立てている様子が見られたり、サプライチェーンの周辺から攻めていたり、サイバーだけでなく物理世界での活動もセットで考えられていたり、といった具合です。2020年はそれらがさらに進化するだろうと予想していますが、これまで以上に、技術だけでなく全方位を意識したサイバーセキュリティへの取り組みが必要になるでしょう。

　サイバー攻撃の技術的なトレンドを追いかけるにはそれなりのモチベーションと技術的な知識や経験も必要ですが、技術的な枠の外側にあるさまざまな情勢も含めて情報収集と分析が必要です。インテリジェンスという言葉が一時はやりましたが、技術的な視点に特化しない中長期的な視点でのインテリジェンス（いわゆる情報機関のインテリジェンスオフィサーの視点）がより必要になってくるかもしれません。情報機関出身のサイバーセキュリティのインテリジェンスアナリストと会話をすると、彼らが注目しているのは攻撃に使われるツールやマルウエアなどの技術的な要素ではなく、むしろ攻撃者のモチベーションや国際動向、政治動向などを多角的に捉えて分析していることが分かります。そういった情報機関の分析官向けの情報分析の書籍に目を通すと、本当にさまざまな視点をもって情報を扱っていることが分かります。特に印象に残っているのは、「いかに主観的な立場から脱却するか」が何度も強調されていたことでした。

日本の良いところ？

　この連載を始めてから、「内容に共感しました。うちの会社もまったくその通りで……」といったようなコメントがあちこちからくるようになりました。日本のダメなところを強調しすぎているように見えますが、グローバルで比較して日本の良いところもたくさんあります。

　例えば、世界中の国々と比較して東京のすごいところはどんなところか。土日でも深夜でもコンビニエンスストアや飲食店が開いており、休日も小売店が開いていて必要なものは簡単に手に入るし、宅配便も優秀で、頼んだ物がすぐに届く、公共交通機関が発達している。こんなに便利な都市はなかなかありません。海外の友人たちに日本の魅力を聞くと、おいしい食事、世界中の料理が食べられる、買い物が便利で観光地も豊富、どこにいってもきれい、電車などの公共交通機関が充実しており、時刻が正確、人が親切なことなどが挙がります。東京に住んでいると当たり前のことが、海外の人からは魅力的に映るということがよく分かります。

　一般の生活範囲ではなく、企業活動で考えたときにも、内部犯行を心配している大企業はほとんどなく、社員を信頼しています（今まではそれで良かったが、これからもそれでいいのかどうかは考える必要がありそうですが）。海外の企業幹部とサイバーセキュリティの議論をすると、内部犯行に対する向き合い方が話題に出ることが多くあります。今後の日本企業の課題は、昔ながらの日本の良いところをかたくなに続けることがプラスになるのか微妙な中で、どうすべきかというところだと思います。

今年初めての海外出張

　先日、今年になって最初の海外出張で東南アジアの某国に行ってきました。今回はこの訪問について少し詳しく紹介します。

　私の国際仕事の師匠と呼べる人の一人に黒田さん（59歳）という人がいまして「来年の3月でおれも還暦だ」とよく言っています。彼は20代前半から国際仕事ばかりをしています。主にODAの分野での活動が中心ですが、本人が所属している企業の性質やミッションに捕らわれず、世の中のためになると自身が思う活動を続けているような人です。2008年にカンボジアで一緒に働いてから、さまざまな彼の国際プロジェクトに協力する機会をもらっています。

　今回の訪問も彼が担っているさまざまなプロジェクトの一部で、サイバーセキュリティのワークショップを開いてほしいというものでした。気になるお相手は東南アジアのとある政府機関。これまでITを中心にした業務環境ではなかったところ、昨今の情勢から、業務もサービスも一気にIT化が進んだという背景を持っています。その国では政府機関のWebサイトが改ざんされるようなサイバー攻撃が頻繁に起きています（ちなみに、Web改ざんの原因の多くは単純な脆弱性管理の不備であることが多いようです）。

　彼らの中でセキュリティに詳しい人はもちろんおらず、どこから手を付けてよいかも分からない。どんなリスクや脅威が潜んでいるかも分からないといった状況です。ワークショップの依頼はIT部門の部門長Mさんからのものでしたが、実際により高い問題意識をもっているのは業務部門の長を担い、COOに相当するAさんでした。ITもセキュリティもよく分からないが、IT化をすすめるにあたり、やはりセキュリティが気になるということです。

　まず、このワークショップのアレンジ段階の話題を少し紹介します。ワークショップの日程が決まったあと、何時スタートなのか、メインの幹部の他にどういう人が何人くらい参加するのか、どういうトピックを含めてほしいか、などさまざまな質問を投げかけましたが全く返事がありません。出張の手配は完了しているので行かないわけにもいきません。現地に到着してから「明日は8時半スタートでいいか？」と改めて連絡すると、Mさんから「オッケー」とくる感じです。一応私個人の情報収集活動として、対象の政府機関のことをよく知っていそうな知り合いに聞くことで彼らの状況を把握して資料やコンテンツを準備しておきました。

次ページへ人から学ぶこと、自律的に学び続けるということ

印刷する

サイバーセキュリティマネジメント海外放浪記

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

鎌田敬介

Armoris 取締役CTO、『サイバーセキュリティマネジメント入門』著者元ゲーマー。学生時代にITを学び、社会人になってからセキュリティの世界へ入る。20代後半から国際会議での講演や運営に関与しながら、国際連携や海外セキュリティ機関の設立を支援。2011～14年三菱東京UFJ銀行のIT・サイバーセキュリティ管理に従事。その後、金融ISAC創設時から参画し、国内外セキュリティコミュニティーの活性化を支援。並行して12年間に渡り、国内外でサイバー攻撃演習を実施するなど、経営層・管理者・技術者を対象に幅広く実践的なノウハウをグローバル目線で届けている。金融庁参与も務める。

SpecialPR

ITmedia エグゼクティブのご案内

「ITmedia エグゼクティブは、上場企業および上場相当企業の課長職以上を対象とした無料の会員制サービスを中心に、経営者やリーダー層向けにさまざまな情報を発信しています。入会いただくとメールマガジンの購読、経営に役立つ旬なテーマで開催しているセミナー、勉強会にも参加いただけます。勉強会のスケジュールはこちら

ぜひこの機会にお申し込みください。

入会希望の方は必要事項を記入して申請ください。審査のうえ登録させていただきます。