ソリトンシステムズのサイバーセキュリティ 第4回 「究極のサイバー攻撃対策はIT退化なのか？増え続ける 『何もしないことのリスク』 」
究極のサイバー攻撃対策は、IT依存度を下げることではないかという皮肉さえ聞こえてくる。サイバーリスクの高まりを受けて、IT依存度を低減し、IT退化することは、果たして賢い選択なのか？
特集
特集
しかし、ITを積極的に利用し、インターネットを活用することが、グローバルな市場競争の中で日本企業が戦う力となっているのも事実だ。モバイルやクラウドを活用することで、圧倒的なビジネススピードやイノベーションを手にした企業も多い。
サイバーリスクの高まりを受けて、IT依存度を低減し、IT退化することは、果たして賢い選択なのか？ 攻めのITの一つである『モバイルワーク』の観点で、ソリトンシステムズ 荒木氏に話を聞いた。
●先進的かどうかの議論ではなく、リスクの変化
「業種・業態のご事情もあるので100%とは言いませんが、冷静にリスク分析していけば、IT依存度を下げることだけがサイバーリスク対策ではないという結論に達する企業・組織のほうが多いのではないでしょうか？
『モバイルワークなんて、うちの会社にはまだ早い』といったお声も時々聞きますが、これは、先進的かどうかの議論ではなく、環境が変化したことによるリスクの変化であって、サイバーセキュリティの文脈で考えるべき重要な検討項目です。（荒木氏）」
●IT依存度を下げることが逆にポリシー違反を助長する？
たとえば、個人のスマートデバイスに無断で打ち合わせのための機密情報をコピーしたり、個人のメールアドレスに訪問予定の顧客情報を転送するといったことは、セキュリティポリシーで禁止されていても、実はかなりの確率で行われていると考えたほうが良いという。
「もしモバイルワークがビジネスニーズとしてあるなら、こうしたリスクに対応するには、正規の安全な代替手段、つまりセキュアなモバイルワーク基盤を提供するのが一番です。厳しくモバイルワークを禁止し、IT依存度を下げる手段を取っても、隠れたポリシー違反を助長し、かえってリスクを高めてしまうおそれがあるため注意が必要です。（荒木氏）」
●逆転の発想が必要だったBYOD
では、セキュアなモバイルワークを実現するにはどうすれば良いのだろうか？
スマートフォンやタブレットなどのモバイルデバイスを積極的に活用させるために、私物端末を業務に活用させるBYOD（Bring your own device）を検討する企業も少なくない。しかし企業資産の端末と異なり、BYODは安易に端末初期化出来ず、また様々な種類の端末が想定されるため、検疫やポリシーチェックのアプローチは難しいと言われる。BYODをポリシーチェックしようとすると膨大な種類の端末に対応しなければならず、きりがなくなる可能性があるためだ。
「私たちもBYODにおけるセキュリティ確保に悩まれるお客様からご相談をいただき、検疫とは逆転の発想で企業の機密データを守るソリューションが必要だと考えました。つまり、モバイル端末内に安全な領域を作り、企業の機密データはその領域内だけで利用する、利用終了後はキャッシュ含めて機密データを削除するという考え方です。（荒木氏）」
そうして生まれたのが Soliton SecureBrowser/SecureGateway だという。
●スマートデバイスに合わせたリスク対策
スマートデバイスは、PCに比べて紛失率が高い。VPNで社内ネットワークやクラウドに接続させ情報参照させると、スマートデバイスにデータをダウンロード出来てしまう。つまりデータが残存したデバイスの紛失によって、情報漏洩する可能性が高くなってしまう。
機密情報をスマートデバイスに残さず、それだけを確実に削除する為には、VPN機能とデータ削除可能なセキュアな領域が一体化したソリューションが必要だった。
「さらに、ユーザー認証だけでなく、デジタル証明書ベースで端末認証出来るソリューションにするべきだと考えました。スマートデバイスで利用される情報は、機密性の高いケースも多いのに、端末識別ID等を利用した端末認証は、詐称が可能だったり、OSやデバイスメーカーによって仕様が異なるなど、様々な観点で課題があったためです。
端末を紛失した場合には、管理者側でデジタル証明書を無効にすれば、認証を失敗させることができます。認証はセキュリティの基本であり、モバイルデバイスだからといって妥協してはいけないポイントだと考えています。（荒木氏）」
Soliton SecureBrowser/SecureGateway は、iOS/Android/Windows/Macに対応し、デジタル証明書による認証を実装したモバイルワーク基盤として、機密性の高い情報を取り扱う企業・組織に多く採用されている。
●何もしないのもリスク
業務内容によっては、モバイルやクラウドを活用しないという選択もあるだろう。しかし、もし業務上、社外で何らかの機密情報を参照する必要性があるなら、そしてそれがスピードを要求される業務なら、出来るだけ早くリスク分析を行い、対策を検討すべきだという。
「どちらかというと、リスクを理解していないわけでも、IT依存度を下げようとしているわけでもなく、他プロジェクトとの兼ね合いなどでやむなくモバイルワークを後回しにしていらした企業の方が多いのではないかと思っています。モバイルワーク導入にあたり、社内規定の見直しや労務管理の課題に苦労なさっているケースもありますが、それでも、出来るだけユーザーの利便性を高め、本来のビジネスに集中できるセキュアなIT環境を提供したいという思いで、積極的に取り組まれている情報システム部門の方もたくさんいらっしゃいます。
そんな中、隠れたポリシー違反が増えている現状ばかりお話しするのは気が引けるのですが、いつ大きなインシデントが発生してもおかしくない状況も多数見受けられるので、個人的には危機感を覚えています。『何もしないのもリスク』であるとお伝えしつつ、少しでもこうした課題の解決にお役に立てればと考えています（荒木氏）」
モバイルワークは、ビジネススピードの加速だけでなく、ビジネスの継続性に貢献するケースもある。コストや労務管理など、様々な課題が付随して一筋縄にはいかないことも多いが、リスク管理の観点、そしてサイバーセキュリティの観点からも、モバイルワークを改めて検討するタイミングに来ているのかもしれない。
ソース・関連リンク
関連記事
![[インタビュー]ソリトンシステムズ 荒木粧子氏に聞く、 「年金機構」以降のサイバー攻撃とマイナンバー対策（前編） 画像](/imgs/p/2w5IdCqve0mMIzS4K5kC-28IDAerBQQDAgEA/16278.jpg)
Scan PREMIUM 会員限定記事
もっと見る-
国際Apple ティム・クックとドナルド・トランプが育んだ熱い男の友情とは？ クックのトランプへの贈り物
トランプ大統領の財務状況に関する最新の文書は興味深い読み物となっている。様々な資産や事業で得た利益がリストアップされているのに加えて、実業家らから受け取った贈り物の数々が明らかにされているのだ。
-
共通脆弱性評価システム CVSS の「信頼性」評価アンケート実施、回答の一部を公開
あるドイツの研究者が脆弱性スコアの有効性に関する調査を行っている。この研究者は今回の研究が、時に物議を醸すこの脆弱性評価システムについて有益な知見をもたらすことを期待している。
-
Microsoft Windows において ComputerDefaults.exe のレジストリ処理により UAC による制限が回避可能となる手法（Scan Tech Report）
Microsoft Windows OS において、ユーザアカウント制御 (UAC) による制限を回避することが可能となる新たな手法が公開されています。
-
病院も監査の標的、ライセンス監査で収益確保はかる切羽詰まったソフトウェアベンダ
新型コロナウイルスによる世界的な感染者急増に対処するため、医療機関は過度な負担を強いられている。そうした中、ソフトウェアベンダは病院をライセンス監査の標的にしている。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「kingjiim_」や「kingjim_officiall」一文字違いのキングジムSNS偽アカウントがDM送信
VMware vCenter Serverに脆弱性、解説や影響を受けるシステムを探索する通信も確認
Movable Typeに複数のクロスサイトスクリプティングの脆弱性
ゲームのソースコードなどを不正取得されたCD PROJEKT、リンク含むツイートに削除申請
日本に 500 台、もし自社に「Emotet 感染しています」の連絡が来たら ～ 特定方法と対策 JPCERT/CC 解説
BIND 9.xに実装上の不具合、namedに対する外部からの攻撃が可能となる脆弱性
インシデント・事故 記事一覧へ
「大阪府立労働センター」にて書類を取り違えて送付、そもそも郵送時のマニュアルが存在せず
八景島シーパラダイスへの卒業遠足中に生徒名簿を紛失、ズボンの後ろポケットに入れたままで巡回
松下記念病院で1,971名分の「撮影画像データ」を記録したノートPCを紛失
社員PCがなりすましメール受信、添付ファイル開封後に大量の迷惑メールを送信
Salesforceの設定不備が原因で「KOBEぽすと」に不正アクセス
「第一種電気工事士定期講習」受講者情報が閲覧可能に、対策検討委員会設置し原因究明と再発防止策検討
調査・レポート・白書 記事一覧へ
CrowdStrike Adversary Calender 2021 年 3 月（ kryptonite panda ）
Googleが中高生ネット利用調査、「ネット詐欺にあいそうになった」生徒16％
小売電気事業者のためのサイバーセキュリティ対策ガイドラインVer.1.0 策定
国内 IT サービス市場 IDC 予測、2021年以降プラス成長に回帰
北海道・東北・関西・九州 ～ 地域セキュリティコミュニティのプラクティス集が公開
2020年のウイルス届出件数、前年から7割増となる449件、「Emotet」感染被害は39件に
研修・セミナー・カンファレンス 記事一覧へ
明かされた「ＪＮＳＡセキュリティ十大ニュース」の謎、選考委員長 大木 栄二郎先生に聞く
ＮＧＡＶ ＋ ＥＤＲ ＋ ＳＯＣ の三位一体、サイバーリーズンだけが持つ平時有事のセキュリティ運用知見公開
SSL 通信可視化が必要な 2 つの理由と可視化後の課題 ～「ミスター A10ネットワークス」高木 真吾 氏に聞きたい話
JNSA「Network Security Forum 2021」オンライン開催、平井デジタル改革担当大臣も
これはできますか？ ＥＤＲ導入オンラインセミナーで実際に挙がった疑問・質問
国内電力事業者サイバーセキュリティ対策基本枠組 ～ 電力 ISAC の取り組みの軌跡から
製品・サービス・業界動向 記事一覧へ
LogStare がログ転送モジュール無償提供 、syslog 非対応アプリのログ収集可能
KCCS「Salesforceセキュリティ診断サービス」提供開始、1回80万円から
NRIセキュア「Okta Identity Cloud」のライセンス販売と導入支援サービス開始
SHIFT SECURITY、先着10社に「Salesforce」クラウド診断の一部プランを無償提供
イエラエセキュリティ CSIRT支援室 第7回「膨大なインスタンスやマルチクラウド環境の一元管理&監視を可能にする『Orca Security』」
