昔から言われているように、セキュリティは多層防御が必須であり、”All-in-one”は響きこそ魅力的だが、それは完全たり得ない。特に今求められるセキュリティは「未知」の脅威に対する「気付き」をどこで得るか、である。それが境界線で自動的に不正サイト、不正なコンテンツのダウンロードを検知・防御するにしろ、感染後の怪しい通信先への通信を検知し対象を隔離するにしろ、未知のものをいち早く見ぬくためには適切な脅威インテリジェンスの採用が鍵となるだろう。
年金機構関連の今回の報告書と自社の情報管理の実態を照らし合わせることで、必ず「運用」という壁が立ちはだかるはずである。また今後マイナンバー、特定個人情報を管理する上で自社に足りない点をガイドラインに沿って、人的、物理的、組織的、技術的に見直す必要がある。
参照先となるガイドラインは十分な標的型攻撃対策が取れないことを認識し、不正アクセスに対する防御については上で解説した点を参考にして欲しい。さらに脅威への迅速な分析を可能にする”人口知能（AI）”機能と、見えない脅威（SSL通信の内部、マルウェアの挙動）の可視化する製品やサービスを採用することで、なるべく運用に負荷のかからない形で標的型攻撃に備えていく必要がある。各自治体、事業者側はぜひ古いセキュリティ認識を改め、目前に迫ったマイナンバー運用に備えて頂きたい。
- 髙岡隆佳
- ブルーコートシステムズ合同会社 データ・セキュリティ・スペシャリスト セキュリティ業界で約15年の経験を活かし、Web環境からデータベースをとりまく包括的な標的型攻撃対策製品を担当。企業が直面するセキュリ ティリスク、対策、課題に精通している。データベース・セキュリティ・コンソーシアム（DBSC）の運営委員として、データベース・セキュリティ の技術向上、その普及を推進。現在「DB内部不正対策ワーキンググループ」のリーダーを務める。
