2011年4月、ソニーに対する大規模なサイバー攻撃が発生した。そして、これを契機として各企業や多くの組織など自組織のサイバー攻撃対策を再考する所もあるのではないかと思う。しかしこの事件から教訓を得るためには、より多くの正確な情報から事件の経緯を把握し教訓を得る必要があるが、事件発生に至るまでの経緯についてはあまり報道されていないのが現状である。世間や、一般紙、経済誌の論調では、本事件の推定原因を「情報セキュリティ管理体制の不備」や「脆弱性の放置」などとし、取るべき対策としては「被害に遭うことを前提にした対策や対応体制の確立」や「個人情報保護に関する規制強化」としているものが非常に多い。しかしながら、それらの論拠のほとんどが「2011年4月に発生した大規模な情報漏洩とその後のソニーの対応」という事実情報となっているところに、筆者は大きな違和感を覚えている。どうもハッカーからのサイバー攻撃が自然災害の一つのように捉えられ、あらゆるリスクを想定すべきという、従来のサイバーセキュリティ専門家の主張が繰り返されているように見えて仕方がない。サイバー攻撃は、直接的にも間接的にも「人」或いは「組織」が行なって発生する事象にしか過ぎないことを忘れてはならない。また、特定の集団や不特定多数の者が行なうサイバー攻撃には、それらの実施主体が人間である以上、何かしらの合理的な理由や背景を伴うことが多い。この「サイバー攻撃発生の合理的な理由や背景」をしっかりと分析及び把握することこそ、本事件の正確な理解のための重要なポイントになりうると考えている。そこで、今回、本事件が発生するに至るまでのさまざまな事象を、事件発生の経緯として分かりやすいようにまとめた。これらの経緯の中に、教訓とすべき点がいくつも存在していることに気付かれるのではないかと期待している。その上で、在り来りな教訓ではなく、攻撃側の理解から得られる教訓を見出すことにより、より確度の高い対策を検討できるのではないかと考える。それぞれの組織のサイバー攻撃対策の一助となれば幸いである。（株式会社サイバーディフェンス研究所 上級分析官 名和 利男）
