企業へのサイバー攻撃が頻発している。ソニーグループで運営するネットサービス「PlayStation Network（PSN）」などがサイバー攻撃でサービスを停止させる事態に陥った。同社グループを対象にしたサイバー攻撃は拡大し、ギリシャとインドネシアの同社グループ企業がサイバー攻撃を受けると、続いてカナダやそのほかの国でも被害を受けている。加えて、ソニー以外の企業も狙われている。任天堂もサイバー攻撃の対象となっており、米軍需産業大手のLockheed Martinも不正侵入されている。
こうした事態を受けて、マカフィーは「頻発する重大情報漏えい事件に学ぶ『企業を狙うサイバー攻撃の脅威と対策』」と題した記者発表を行っている。
同社マーケティング本部の加藤英明氏は、2011年第1四半期（1～3月）に検出されたマルウェア件数は600万件に上り、マルウェア活動が最も活発な四半期であったと説明。現在の増加率を考えると、2010年末の時点では累計で5500万個に満たなかったマルウェアサンプル数が、2011年は累計で7500万個を超える可能性があるという。
1998年からさまざまなサイバー攻撃に対応してきたマカフィーは、直近では2010年に未知の脆弱性を狙ったゼロデイ攻撃「オーロラ作戦（Operation Aurora）」の発見と命名、重要インフラに対するワーム「Stuxnet」攻撃を調査。2011年には世界のエネルギー産業を攻撃した「Night Dragon」も発見している。2011年だけでもヨーロッパ、南アフリカ、チュニジア、カナダ、イラン、オーストラリアなどで大規模なサイバー攻撃が発生していることを明らかにしている。
組織として適切に対応できていたのか
兜森清忠氏
マカフィーの兜森清忠氏（エンタープライズ営業本部 プロフェッショナルサービス シニアスペシャリスト）は、「経営視点で見るサイバー事件」として今回のソニーの対応とセキュリティ管理の視点での対策について説明した。兜森氏は、グローバルカンパニーのインシデント発生が増加しているとして、その理由に「情報を狙うことが容易になってきている」ことを挙げた。今回のソニーにおける一連のサイバー攻撃について、その原因は1月にGeorge Hotz氏が「PlayStation 3（PS3）」をハッキングしてルートキーを公開したことにあるのではないかと指摘している。
ソニーは同月、Hotz氏とハッカー集団「fail0verflow」を提訴している。「この対応が適切であったのか、相手の感情を逆なですることはなかったのか、そういったこともリスク管理である」と兜森氏は言う。この提訴が発端となったのかはいまだ不明だが、いずれにせよ、世界各地のソニーグループが攻撃を受け、1億人規模のアカウント情報が漏えいしてしまっている。
現在ソニーはPSNを再開しているが、日本では再開が遅れた。これは経済産業省から個人情報保護における条件を満たしていないという指摘があったためで、その内容は最高セキュリティ責任者（CSO）の設置や安全措置、保護対策、業務の再委託先のセキュリティなどが確認できなかったためだという。
もちろん、ソニーがまったくセキュリティ対策を行っていなかったわけではない。ソニーも多くの企業と同様にフレームワークにのっとったセキュリティを実装していたと思われる。
だが、メディアによる報道から類推すると（1）情報セキュリティの組織・体制が確立し、各役割が機能していたか、（2）情報の分類（機密性など）がされ、リスクに対する適切な対策が検討されているか、（3）セキュリティポリシーの策定は個々の管理策を十分に理解して構成しているか、（4）脅威の変化に対応するための管理サイクルが機能してるか、（5）他組織におけるセキュリティ事件を把握し、対応方法・結果を理解した上で行動しているか――の5点が課題ではないかと兜森氏は指摘する。兜森氏は、政府機関統一基準の項目から再確認が必要と思われる項目を以下のように挙げた。
- 組織体制として情報セキュリティの管理レビューの実施
- グループ組織としての脆弱性情報の収集と共有
- 不正侵入の監視方法
- セキュリティ対策の統合と状況認識の統一
- 情報セキュリティ維持・向上の枠組みによる迅速な対応
これらを再確認した上でセキュリティ管理サイクルを回していくが、特に“脅威の変化”を踏まえて柔軟に対応していくことが重要であると説明している。
