デジタルクライム対策は経営課題へ｜事業部門と経営層に求められる「セキュリティの民主化」

おっしゃるとおりです。この数年だけでも、弱い認証を突いたフィッシングによるオンライン証券サービスにおける不正アクセス事件にはじまり、身元確認書類も含めたフィッシング攻撃による不正な銀行口座開設、クレジットカードの認証サービスに対する不正決済など、システムの問題とサービス仕様の問題の隙を突いた「デジタルクライム」が発生し、皆さまも報道等で目にされていると思います。

いわゆる従来のサイバー攻撃は、システムに存在する「脆弱性」を突き、不正な処理を強制的に引き起こすものが主流でした。かつては自己顕示欲を動機とするものもありましたが、現在は、ランサムウェアに代表される金銭目的の攻撃にシフトしてきており、その多くが組織化された犯罪となっています。

特に近年は、システムの穴をこじ開ける高度な技術を駆使するよりも、「このサービス仕様ならばどう犯罪に悪用できるか」を考える「サイバー利用犯罪」が急増しています。デジタルコミュニケーションツールが発達し、「闇バイト」のような形で気軽に犯罪行為に手を染めやすくなった環境も相まって、その傾向はますます強まっています。

新たなデジタルサービスが次々と生まれるのは歓迎すべきことですが、過去のノウハウが十分に継承されているとはいえません。正しい振る舞いにしか見えないような挙動を取ったり、複数のサービス間の「トラスト」の隙間を狙い、不当に価値を搾取され得る隙が随所に残っており、一般利用者のリテラシーも追いついていません。この結果、犯罪者から見てデジタルサービスは「格好の標的」になってしまっています。

この状況に対し、サービスを支えるシステム面でIT統制をしっかり効かせていくだけでなく、サービス全体を見て、各仕様がどのような犯罪行為に悪用され得るかを検討し、ケアしていくことが求められる時代になりつつあります。

たとえばQR決済というサービスひとつをとっても、偽のQRコードを貼って誘導するステッカー詐欺にはじまり、偽の決済完了画面を表示させる詐欺や金額の改ざん、さらには返金プロセスを逆手に取った詐欺やマネーロンダリングなど、さまざまな脆弱性があります。

サイバーセキュリティに詳しいだけでビジネスを理解していなければ、こうしたさまざまな脅威に備えるのは困難です。ビジネスを企画する側が、それを取り巻くどんな犯罪行為や脅威があり得るかを理解し、要件に組み込んでおかなければ、事故につながりかねません。

これまで、ビジネスサイドは新しいサービスの企画を立てることが仕事で、セキュリティはセキュリティ担当者やシステム担当者がやってくれるもの、という役割分担になりがちでした。しかし、セキュリティやプライバシーに関するリスクを理解しないまま次々とサービスを作ってしまうと、技術的な脆弱性だけでなく、業務要件やビジネスロジックに密接に絡んだ穴を招きかねず、現に事故が多発しています。この部分をいかにケアし、一般的なセキュリティ要件からもう一歩踏み込んだ要件を立て、サービスを企画していくことが必要だと思います。

サプライチェーンセキュリティには、ライブラリやコンポーネントの依存関係のようなソフトウェアサプライチェーンのようなレベルもあれば、銀行口座連携やクレジットカード決済といったサービス間のサプライチェーンまで、さまざまなレベルが含まれます。そのすべてでセキュリティを考慮していかなければなりません。さまざまなサービスがつながってくる中でここを怠れば、思わぬ事故につながり、連携するサービス間で「誰が責任を取るのか」で揉め、補償を巡って争うことになりかねません。これを防ぐためには、企画段階から「どこまでを自社が守り、どこからを連携先に委ねるか」という責任範囲を明確にし、合意しておく必要があります。

押さえておくべきポイントは2つあります。1つは、誰にとっても自明な基本的なセキュリティ対策や機能が抜けていないか。もう1つは、過去に他社が起こしてしまったインシデントを繰り返していないかです。

自明な対策を実施していたにもかかわらず、前例のない事故に遭い、迅速かつ誠実な対応により信頼回復につなげられるケースもありますが、他社で発生したインシデントと同様の脆弱性を放置して被害に遭った場合、企業の社会的責任やレピュテーションリスクは計り知れません。

ですので、競合のサービス内容を調査・分析した上でサービスを企画していくのと同じように、セキュリティについても競合他社はどんな対策を実施済みで、自分たちはどのレベルまで行うかをきちんと考えていくプロセスが必要です。さらには、それを文化として織り込む必要があると考えています。

規制に従ってさえいれば安全なサービスかというと、そうではありません。規制というものは、状況に対して必ず後追いになるものです。何らかのガイドラインに準拠していても、新たな攻撃手法が確立されてしまえば意味をなしません。

サイバー犯罪も一種の「経済活動」であり、攻撃者は「いかに低コストで効率よく稼げるか」を見ています。

そのため、規制やガイドラインへの準拠はあくまで最低限のスタートラインであり、新たな攻撃手法の前にはすぐに形骸化してしまいかねません。リリースした瞬間を安全のピークとせず、日々進化する犯罪トレンドを常にインプットし、自社の仕様に新たな「穴」が生まれていないかを継続的に見直し続けるサイクルが不可欠です。状況の変化に合わせてこのバランスを微調整し続けることこそが、本当の意味での「ちょうどいいセキュリティ」を実現するのです。

ここで重要になるのが、防御の「投資対効果」を意識した戦略的な目線です。例えば、肉食動物は複数の獲物がいる場合、足が遅く狙いやすい個体を優先的に狙います。これはセキュリティにも通じます。

最低限の基準を満たした上で、完璧主義に陥って過剰なコストを投じるのではなく、他社や市場の動向を見据え、攻撃者に「このサービスは攻略コストが見合わない」と思わせる、他社より一歩先んじる目線を持つことが、結果として最大の防御につながります。