システムでの対応は限界に
他の理由としては最近よく言われる「入り口ですべてを防ぐことはもう不可能だ」という言葉であったり、アンチウイルス大手企業幹部の方の「ウイルス対策ソフトウェアはもう死んでいる」という言葉であったりといった、世の中のセキュリティ対策への考え方のシフトがあります。
こうした言葉に表れているように、これまでの「壁を高くして、守りを厚くして、入り口で防御」から「侵入されることを前提として、侵入者の行動を検知して対応する」という考え方へと世間のベクトルがシフトしつつある現状では、関係者以外立ち入り禁止のエリアにも通りすがりの第三者は歩いている（ネットワークに制限をかけて誰も入れないようにしたつもりでも侵入者は入ってくる）という前提で対応策を考える必要があります。
この話はもはや入り口での防御はどうでもいい、という話では決してありません。まずすべきことは攻撃されにくい、陥落させることが難しいと攻撃者が感じる設計が大前提です。右も左も侵入者だらけの状況下で「攻撃者の行動を検知して対処」なんて不可能です。あくまでも、最大限の防御策を講じている状況下であっても「どうしても防ぎ切れない」モノについてのお話です。
「検知して対応」するには、やはりシステムだけで全て何とかしようとしても少なからず無理があり、例えばCSIRT（Computer Security Incident Response Team）やSOC（Security Operation Center）の構築・外部委託などといったリスクマネジメント支援サービスも注目されています。ただしこの方向性で全てを解決するにはいくつか問題もあり、「情報セキュリティ人材の不足」という難題が立ちはだかります。
障壁を高くすること、盾を頑丈にすること、水も漏らさぬよう監視を徹底すること、これらはとても大事です。それと同じように、守るべき対象自体のリスク軽減や分散といった方向性での対応も、やはりとても大切なのだと思います。中で管理する情報自体にも工夫を施すと、運用コストを抑えつつ効果的に安全性を高められると考えます。
前述のように属性データは匿名化（カテゴライズ）して利用し、住所氏名連絡先の情報はこの属性からは切り離し、（こちらはこちらで年賀状や各種案内などの送付、連絡時などに利用）、両情報の紐付けがどうしても必要な場面が存在する場合のみ限定的に使用する程度に留めるといいのではないでしょうか。例えば核ミサイルの発射ボタンのように、この「属性付き個人特定情報」は、複数の権限者の同意と操作なしには外部に取り出せないようにしておくような運用ができれば、相応の効果も見込めます。
セキュリティ対策は、実害を発生させないことが肝心です。入り口で防ぐこと、テクノロジで防ぐことに注力するばかりではなく、扱う情報そのものの整備と、適切な運用に基づいたアクセス制御をまずは心がけましょう。基本ではありますが、だからこそ何より重要ではないかと、筆者は考えます。
- 中山貴禎
- 自動車や広告、セキュリティ業界とさまざまな業界を渡り歩き、2015年4月より株式会社アズジェントに勤務、セキュリティサービス部長とエバンジェリストの二足の草鞋を履く。エバンジェリストとしては広く一般に出来る限りの分かりやすさと偏らない視点に注力し活動している。
