サイバーセキュリティは進化しているのか、それとも後退しているのか?

サイバーセキュリティは本当に悪化しているのか?

ここ数年、サイバーセキュリティ分野は決して平坦な道のりではありませんでした。危険な攻撃や壊滅的なランサムウェア被害を目の当たりにし、多くの人々が「サイバーセキュリティは崖から転落しつつあるのか、それとも進化を続けているのか」という疑問を抱いています。

確かに、攻撃者が利用できる手段はかつてないほど増えています。しかし、攻撃能力の向上や脆弱性の存在だけをもって、企業セキュリティ全体の傾向を判断することはできません。マーケティングメッセージやスタートアップの投資資料、さらには一部の業界レポートが示す内容とは対照的に、セキュリティ業界と実務者たちは着実に大きく前進してきたのです。

信じられないかもしれませんが、サイバーセキュリティは衰退していません。むしろ劇的に改善されています。Equifax、Deloitte、WannaCryといった重大インシデントが相次いだのに、どうしてそう言えるのか疑問に思う方もいるでしょう。ニュースの見出しだけを信じれば、この主張は突飛に聞こえるかもしれません。しかし現実は正反対です。すべての報道を鵜呑みにしてはいけないのです。

サイバーセキュリティの歴史が示す進化の軌跡

ここでは、過去数十年で達成された重要なマイルストーンを見ていきましょう。

• 1990年代初期: 攻撃者たちはUnixデーモンを格好の標的としていました。当時のデーモンは脆弱性まみれであるだけでなく、外部に露出していたため、企業への侵入はごく容易に行えたのです。
• ファイアウォールの普及: ファイアウォールが広く導入されると、多くのサービスへのアクセスが大幅に制限されました。しかし第一世代のファイアウォールでもWebサーバーへのアクセスは可能だったため、Webサーバーが新たな狙われやすい標的となりました。
• 監査プロセスの成熟: 時代が進むと組織の監査プロセスが成熟し、サーバーの単純な脆弱性は修正されるようになりました。攻撃者は標的を変更し、今度はWebサーバー上で動作する独自開発アプリケーションを攻撃するようになりました。これがセキュアコーディング手法の誕生につながりました。

さらに時が経ち、サーバーやWebアプリケーションが攻撃困難になると、焦点は再び大きくシフトしました。今度はクライアント側が標的となり、特にWindowsが攻撃者の主眼に置かれ、多くのユーザーが被害を受けました。

• OSからサードパーティ製アプリへ: OSの攻略が難しくなるにつれ、攻撃対象はクライアント上のサードパーティ製アプリケーションへと移行しました。これは以前のサイクルの繰り返しであり、やがてブラウザプラグイン攻撃の有効性が広く認識され、エクスプロイトキットの時代が幕を開けました。
• データ収集型マルウェア: 次の段階では、被害者からデータを収集し後で利益に活用することだけを目的とした、マルウェアアプリケーションの開発が焦点となりました。
• 非マルウェア型侵害への移行: その後、マルウェアに依存しない侵害手法への大きなシフトが起こりました。攻撃者はシステム管理者が日常的に使用する標準的なシステムツールやサブシステムを悪用するようになり、正当な利用と不正な利用の区別が極めて困難になりました。現在、業界はこの傾向への対応を進めているところです。

専門家の進化と内製化の流れ

このタイムライン全体を見ると、セキュリティ専門家たちがあらゆる脅威を考慮しながら長年にわたって進化してきたことが分かります。かつては外部委託が主流だったセキュリティ対応も、現在では社内専門家の配置が好まれるようになりました。これにより、規律ある迅速なトリアージ、セキュリティプログラムの継続的な改善、そして各侵害事例への深い理解が可能になっています。

今後必要な2つの取り組み

したがって、サイバーセキュリティが崖から転落しつつあるとは言えません。私たちに必要なのは最新状況に追いつくこと、そしてシステムを攻撃から守ることです。そのために早急に実施すべきことが2つあります。

第一に、使用している古いデバイス、ソフトウェア、アプリケーションをすべて排除することです。これらにはセキュリティパッチが適用されていない場合があり、攻撃の足がかりとして悪用される恐れがあります。第二に、サイバーセキュリティ専門家による専用コミュニティを作り、自組織でデータ漏洩につながった脆弱性についてオープンに議論できる場を設けることです。これにより、他の組織が一つの失敗事例から学べるようになり、大規模なデータ漏洩の連鎖を防ぐことができます。

ハッカーを苦しめるほど強くなった防御

過去の抜け穴を塞ぐことで、私たちはハッカーを確実に悩ませてきました。今日のハッカーが脆弱性を一つ見つけるには、はるかに多くの時間を要します。理由は明快です。私たちのシステムは十分に堅牢になったのです。私たちの活動範囲が指数関数的に拡大するように、システムもまた拡大し続けています。一朝一夕に100%の安全性を実現することなど期待できないでしょう。

データを雑に扱い顧客の信頼を失った組織を擁護するつもりはありません。しかし同時に、専門家たちにも一定の時間を与えるべきだと理解する必要があります。彼らは私たちを守るために努力を重ねてきたのです。そして、これからも同じ姿勢であり続けるはずです。