サイバーセキュリティ―組織を脅威から守る戦略・人材・インテリジェンス―

　米国GAFAや中国BATを始め、ネットにつながったAIは日進月歩で進化し続け、日々私たちの生活を豊かにしている。スマホで銀行振込はすぐに終わるし、スマートスピーカーはIoT家電を音声で操作してくれる。職場には日立やNTTといったSIer（システムインテグレーター）が開発したRPA（ロボティック・プロセス・オートメーション）が導入され、事務のコストを削減してくれている。
　そこに量子コンピュータやブロックチェーンといった最新技術が複合されれば、利便性はさらに高まる。いずれ人と見分けのつかないロボットも登場するだろう。
　しかし、我々はこうしたAIの光の面には関心を払う一方、闇の面、すなわち利便性と引き換えに起こりうる破滅のシナリオには無関心である。たとえば、「将来、ロボットが人類を滅ぼす」というシナリオについて真面目に想像したことはあるだろうか。
　もちろんAIが我々の命そのものを脅かすことはないにせよ、インターネット上のサイバー空間では、既にAIを利用したテロリズムは国境を越え、私たちに対して24時間365日、絶えず試みられ続けている。いわゆるハッキングやフィッシング詐欺といった「サイバー攻撃」である。
　闇の攻撃者（あえてこう呼ばせてもらう）は、あなたのクレジットカード情報や暗証番号といったプライバシーを狡猾な手段で盗もうとしてくる。マネジメント層の読者は、こうした被害を自分ではなく、会社に置き換えてみてもよいだろう。
　企業におけるサイバー攻撃の損失は数十〜数百億円相当におよび、その金額は時々刻々と増加しているのが現状だ。いくら犯罪被害とはいえ、過失に対する制裁は甘くなく、過去にはCEOがその責任を問われ、解雇に至った例もある。
　人が犯罪被害に遭う原因の一つに、犯罪への無関心があるという。無関心であるが故に犯罪について無防備であり、隠れた悪意を見抜くことができない。そして空き巣や詐欺といった被害にまんまと遭ってしまう。
　サイバー脅威に対して無関心な我々は、「玄関に鍵を掛けていない」レベルで無防備である。既に闇の攻撃者は自分や会社のプライバシーを静かに盗み見ているといっても過言ではない。かといって、内容がITやハッカーといった理系の専門分野におよび、一般の人間が効果的な防衛術を練るのは難しいのがサイバーセキュリティの領域である。
　そもそも闇の攻撃者の正体は一体誰で、どこの国からサイバー攻撃をしており、なぜあなたのプライバシーを侵害するのだろう。そして、どうすれば専門外の人間でも効果的な防衛ができるのだろうか。
　すべての答えはこの本に書かれている。著者の松原氏は、防衛省で9年間勤務をした後、米国に留学し、米シンクタンク、日立を経て、現在はNTTのチーフ・サイバーセキュリティ・ストラテジストを務めるなど、日本で類を見ないサイバーセキュリティに関する一流の専門家だ。
　本書は、松原氏の経験と調査に基づき、サイバー脅威の現状と対策についての知見が詰まった決定版である。また、著者自身が文系であることから、技術的な解説にはあえて踏み込んでおらず、説明もわかりやすい。
　同書では、まず具体的なサイバー攻撃の例を被害額とともに紹介し、国境を越えてやってくる闇の攻撃者の正体の一つが、北朝鮮やロシアのハッキング集団であることを明らかにしている。
　また、闇の攻撃者はTor（トーア）という特殊なツールを用いて接続する「ダークウェブ」と呼ばれるサイバースペースに集まり、丁寧に研修資料まで作って、文字通り「悪の組織」に所属するハッカーを育てている。彼らは、会社のインサイダーと結託して情報を盗み取ることもあるという。
　闇の攻撃者によるサイバー攻撃の目的は、単に金銭を流出させることや、システムの破壊、盗んだプライバシーの転売など、多岐にわたる。同書には、クレジットカード情報や住所といった個別の「商品」の単価の相場が事細かに記載されている。
　同書ではこうした事実を明らかにした上で、我々が行うべき防衛術について体系的に説明している。具体的にはCSIRT（シーサート）やSOC（ソック）といった組織体制、サイバー脅威インテリジェンスという思考フレームワーク、多層防御といった戦術だ。
　日曜朝に放送されている「仮面ライダーゼロワン」の「滅亡迅雷.net」のように、ロボットが兵器を持って私たちの生命を脅かすことは遠い未来のことかもしれないが、サイバー攻撃は紛れもない「現実」であり、フィクションなどではない。本書を開けばたった一冊で、サイバー攻撃の現状から防衛術まですべての知識が揃うのだから、効果的な時間の投資である。必携の一冊だ。

（おおさわ・しょうへい　東京大学特任准教授）
波　2019年12月号より
単行本刊行時掲載