＜既存の攻撃に対しては備えが充分できている＞
　――日本のセキュリティレベルは世界的にみてどうですか。
　守屋　世界的にみると高いレベルにあると思います。一定レベルのセキュリティ対策はしっかり行なわれており、最先端の機器なども完備されています。

　韓国では近年、大規模な個人情報流出事件が発生しています。新年１月には、１億人分を超えるクレジットカードや銀行口座に関する個人情報が盗まれていたことがわかりました。昨年の2013年３月には、KBSテレビ、MBCテレビ、YTNテレビ、新韓銀行などの社内システムが一斉にダウンし合計で約３万2,000台のPCやサーバが被害を受けています。銀行のATM（現金自動預け払い機）も一部使えなくなりました。

＜企業のセキュリティ対策は２極化している＞
　――世界と比べると、日本の水準は高いということですね。

　守屋　平均的に言えばそうです。しかし、個別企業について言いますと、セキュリティ対策は２極化しつつあります。韓国では今、法的処置が検討されています。たとえば、「企業の売上の何％はセキュリティに充当すること」とか「セキュリティの責任者（CISO）を置くこと」などが検討されています。しかし、日本には金融（FISC安全対策基準をセキュリティにおける水準として使用）などの業界を除くとまったくセキュリティのガイドラインがありません。

　そこで、多くの企業は最低限（アンチウィルスソフト、ファイアウォール、パッチをあてるなど（注１））のことをやってしまうと、落ち着いてしまい、その後何もしていません。セキュリティはあくまでもコストで売上に直接つながらないからです。ここでは、投資できる体力があるかどうかや経営者の判断が大きく影響します。この状況は、2001年頃からから10年以上変わらず続いています。

＜常時ログを分析、怪しい動きがないかを確認＞
　――なるほど、しかしそれでは本当は守り切れないのですね。

　守屋　そうです。攻撃者は日進月歩でレベルを上げていますので、いわば「未知の領域」に自分から入り込み、対策をする必要があります。
　たとえば、ある企業に「標的型攻撃」（特定の情報を狙って行なわれるサイバー攻撃の一種）をしようとします。その場合、攻撃者はその会社のセキュリティ事情を事前に調査、ウイルスをその企業特有のものにカスタマイズさせます。そこで防御がとても難しくなります。

　現在最先端の企業では、通常の対策では不十分なので、常時ログを分析、怪しい動きがないかどうかを確認しています。喩えて言えば、今までも監視カメラはあったのですが、撮り溜めして、事件があった時に初めてその映像を見ました。
　しかし、今は監視カメラを人間が常時見ているわけです。セキュリティ対策は、事件が起こってからでは手遅れです。その兆候を見つけ事前に防御できないといけません。高いレベルの知財情報を持っている企業はその対策は必須です。
　そのために会社内に専門部隊CSIRT（Computer Security Incident Response Team）を作る動きが、金融業界はもちろん、建設業界にまで拡がっています。

≪　（１）　｜　（３）　≫

注１．パッチをあてる：追加のプログラムやデータファイルを使ってソフトのバグを修正し、重要な機能を追加すること。

※記事へのご意見はこちら