ポーランドのエキスパートに聞く「社員のスキル向上に投資したら、学ぶだけ学んで転職してしまうではないか」：サイバーセキュリティマネジメント海外放浪記（1/2 ページ）

これから来るであろう攻撃に備えて、企業はサイバーセキュリティに投資しなければない。特に重要なのは、「自社のネットワークやシステムで何が起きているのか」を知ることだ。

[鎌田敬介，ITmedia]

※本記事はアフィリエイトプログラムによる収益を得ています

　ここ最近、サイバーセキュリティに関する取材を受けると、必ず質問されるのが「リモートワークになってサイバー攻撃の影響はどのように変わったのか」です。これについては統計的、データ的にいえるものはあまり多くなく、リモートワークだからといって特別なことはあまりないようです。

　データ観測をしている海外の友人などに聞いても、コロナ以降活動が活発になったという全体的な傾向は見られるとしても、「リモートワークだからこれ」というものは特に見られないというのが多くの意見です。

　ただ、リモートワークになってVPNを含むリモートアクセス周りのインシデントや脆弱性は注目されるようになりましたし、家庭内LANでのマルウェア感染などはまだまだ全容が明らかになっていない側面もあります。取材への対応でこういうふわっとした回答をすると、当然のように記事には使われないので、この機会に目に触れるかたちにしておきたいと思い紹介ました。

パウエルのセルフィー

　さて、この連載では、海外のサイバーセキュリティ分野の友人にインタビューする形で、サイバーセキュリティのエキスパートがどのように育ってきたのか、サイバーセキュリティはなぜ難しい課題なのか、企業がサイバーセキュリティと向き合う上でどういったことが重要なのかなどさまざまな考え方を紹介しています。

海外エキスパートインタビューシリーズ第3回は、ポーランドの友人パウエル・ヤツェヴィッチ（Pawel Jacewicz）の話を紹介します。

筆者注：彼のポーランド語の正確な発音は以下で確認可能です

パウエル、ヤツェヴィッチ

　海外のサイバーセキュリティ友達の中でも、ポーランド人は何名かいるのですが、「ポーランドにはサイバーセキュリティの専門家が育ちやすい事情があるのではないか」と個人的には考えています。

　パウエルに会ったのは、ポーランドの首都ワルシャワに訪れた際、国立研究所のリサーチプロジェクトの紹介を彼がしてくれたときのことでした。彼は話をするのが大好きなので、プロジェクトの説明を延々としてくれて、いつまでたっても話が終わらないので、彼の上司に中断されていたのが印象に残っています。それ以来、ポーランドに行ったときや、彼が来日したときには一緒に食事をしています。

その時に訪れたポーランド、ワルシャワの床屋さん

　彼はご覧の通り、とっつきにくく見えるかもしれませんが、実際には面白い人物です。数年前、私がヨーロッパ出張に行ったとき、帰りのトランジットがポーランドのワルシャワだったので、彼とランチをしました。私は日本に到着してすぐに講演をする予定があったことと、ワルシャワで少し時間が余っていたので髪の毛でも切ろうかと、彼に床屋を紹介してもらおうとしたところ、「俺が床屋に行くと思うか？」と聞かれて2人で爆笑したのを思い出します。

　その後、彼が友人にお勧めの床屋さん（主に英語が話せそうという観点）を聞いてくれて一緒に行ってみました。全体的なスタイルは床屋というよりは美容院に近い感じでしたが、同行してくれたパウエルも「自分は床屋に行く機会がないから、とても勉強になった」と言ってくれたのも彼の人柄を表しています。

では、内容に入ります。（元のやりとりは英語で行われていますが日本語に意訳しています）

筆者　パウエル（以下P）、今日はありがとう。まずは簡単に自己紹介をお願いします。

P　私の名前はパウエル・ヤツェヴィッチです。現在はスタンダードチャータード銀行のグローバル・サイバーセキュリティ・センターで働いています。サイバー脅威のハンティングを主な仕事にしており、銀行のサイバーセキュリティの中でも、サイバー攻撃の予兆などをプロアクティブに発見する仕事を主にしています。他にもいろいろな仕事はしていまして、人材育成や、内部むけのコンサルティング、自分の能力開発、新たなITの学習なども行っています。

筆者　ありがとうございます。これまでに、どのようにITやサイバーセキュリティを学んできたか教えてください。

P　自分は小さい頃から、モノがどのように作られているのか、どのように動くのかといったことに興味を持っていました。このスタンスは自分の職業人生のなかでも非常に重要な意味を持っていると思います。

　私がサイバー空間で冒険を始めたのは、1990年代後半に初めてPCを手にして、56kのモデム（筆者注：その昔、電話回線を利用してインターネットに接続するときに利用していたデバイスのことです）でインターネットに接続するようになってからです。インターネットに触れはじめて、書籍や友人達からは得られないほど膨大な知識を得られるようになったことに驚きました。

　時間をかければかけるだけ急速にいろいろなことを学びました。特に力を入れたのは、コンピュータやネットワークがどのような仕組みで動いているのかということですが、そのなかでもLinuxを使い始めてからDebianに恋に落ちました（筆者注：DebianとはLinuxディストリビューションの一つで、どちらかというと玄人に好まれる傾向があるように思います）。

　サイバーセキュリティに関わるようになったのは2009年からで、その年からポーランドのナショナルサートであるCERT.PL（筆者注：日本におけるJPCERT/CCのポーランド版です）働き始め、結局8年間そこで勤めました。サイバーセキュリティの仕事に深く関わることで、ネットワークセキュリティやサイバー攻撃の検知などかなり詳しく学ぶことになります。

　その間、世界中のセキュリティカンファレンスに参加し、サイバーセキュリティ業界で最も輝いている人たちに会うことができました。そういった経験が、自分の今の専門性を維持したり継続的に学び続けたりする姿勢を作り上げてくれました。

　CERT.PLの次は、ポーランド最大手の銀行のインシデントレスポンスチームで働き始めました。そこでは、企業におけるセキュリティ対策はどのようなものか、金融業界がサイバー攻撃の脅威とどのように向き合っているかを学ぶことになります。

　リアルタイムで起きている攻撃がどのようなものかを知りましたし、また実企業におけるサイバーセキュリティというのは、アドホックに臨機応変に構築するのが難しく、決められたプロセスに従って時間をかけてちょっとずつ改善と変化を積み重ねていくしかないということも学びました。

　銀行を辞めた後、いわゆるBig4と呼ばれる大手コンサルティング会社のインシデントレスポンスチームに加わりました。そこでは、大企業も中小企業もそれぞれの悩みをもってサイバーセキュリティの対策に取り組んでいることを知りました。

　大企業は既に構築されたサイバーセキュリティの取り組みを改善する方法を模索していますし、中小企業はごくごくわずかなリソースでサイバーセキュリティという強大な敵にたちむかうにはどうしたらよいのかということに悩んでいました。そこでの経験で、ポーランドにおけるサイバーセキュリティの課題は何かを深く学ぶことができました。

　今のスタンダードチャータード銀行に転職したのは2019年のことです。非常に優秀なサイバーセキュリティチームのメンバーたちと共に働くことができて大いに満足しています。

写真：ワルシャワの広場（Photo taken by Pawel's friend, Komura Seiichi-san.）

筆者　サイバーセキュリティをよりよいものにするためには何が重要でしょうか？

P　一昔前のサイバーセキュリティは誰にも注目されず、いわば会社の地下で何をやっているのか誰も知らないような仕事でした。誰にも邪魔されず自分たちの好きなことをやっていられたのです。

　けれども、今は社長をはじめ役員もサイバーセキュリティに意識を向けるようになり、ウイルスとはなにか、サイバー攻撃とはどういうものか、ランサムウェアとは何か、データが漏えいしたらどのような影響があるのか、といったことを日々聞いてくるようになりました。

　今日、サイバーセキュリティは望むとも望まずとも、全ての人の生活に深く浸透しています。サイバーセキュリティの課題を長期的に無視していれば、深刻な問題を引き起こすことは間違いありません。これは国という単位でも、企業や個人という単位でも同じ事です。現代の戦争はサイバー空間で発生しています。これは、われわれサイバーセキュリティの専門家が何年も言い続けていることです。

　これから来るであろう攻撃に備えて、企業はサイバーセキュリティに投資しなければなりません。特に重要なのは、「自社のネットワークやシステムで何が起きているのか」を知ることです。

　何か攻撃が起きていることを見つけた場合、企業は積極的に攻撃に関するデータを他社と共有すべきです。これがいわゆるインテリジェンスといわれているものです。これによって、同じ攻撃が大規模に成功することを防ぐことができますし、被害の範囲を最小化することができます。データの共有は非常に重要なのですが、法律や規制などが原因で難しい場合もあります。法律や規制は刻一刻と変化する脅威に適合し続けることが難しいのです。

　企業では、インシデント対応とモニタリングを所管するブルーチームの運営が一般的になってきました。そこに、脅威ハンティングのチームを加え、サイバー攻撃の予兆を早期に発見するようになり、さらに企業の防御システムを実際に攻撃することによってテストするレッドチームも加わってきています。

　最近ではパープルチームとしてブルーチームとレッドチームのせめぎ合いを調整する取り組みも見られます。このような取り組みはとても効果的ですが、中小企業が自力でやるにはコストがかかりすぎます。

　中小企業でサイバーセキュリティの専門スタッフを抱えられるところはごく限られています。現実的には、そういったところは外部のコンサルタントに依頼して、セキュリティサービスを購入しています。

　しかし私見を述べると、それは長期的な観点で効果的とはいえません。なぜならば、内部のスタッフが能力を身につけて、自社内でできるようになったほうが費用対効果の観点で効果が高いからです。もちろん短期的に問題を解決したい場合は外部のコンサルタントは非常に有効ですが、長期的な視点で捉えたときには違うと考えています。

　私が最初の銀行に勤めていたとき、常に外部のコンサルタントを活用していました。しかし、コンサルタントが何をしているのかを学び、その能力を時間をかけて身に付けることで、内製で実施できるようになり、結果的に外注コストが大幅に下がったという経験があります。

　私が推奨したいのは、業界ごとに固まって、監督官庁が主導する形で企業間の実務的な演習を企画、実施する方法です。そうすることで中小企業でもスタッフの教育を効果的に行うことができるでしょう。

　世の中では机上演習がよく行われています。机上演習は組織の意思決定の訓練にはなりますが、実際に手を動かして作業する人たちの訓練にはなりません。具体的にどんな作業をどのようにするのか、どういった環境や機材が必要なのかということを知る機会が必要です。