地下経済に巣食うサイバー犯罪というビジネス--企業が身を守るには - (page 2)

　ビジネスリーダーがサイバー犯罪の組織について知り始めると、いかに自分の組織との類似点が多いかに気づくはずだ。サイバー犯罪組織は市場とサプライチェーンを持っており、大きな仕事の準備をする時には人材について検討し、情報を売るときには利益について考える。

　独自にツールを作っているグループもあるが、オンライン市場で購入したツールを使っているグループもある。サイバー犯罪業界では匿名性が極めて重要であり、映画と同じように、誰もがオンライン上のハンドル名でやりとりする。しかし、あらゆる組織化されたグループには、役割分担がある。「首謀者」が攻撃を率い、チームを作り、アプローチの方法を計画する。「スパイダー」は、実際に攻撃を担うブラックハットハッカーで、通常は首謀者と契約を結んでいる。そのほかにも、マネーロンダリングやその他の仕組みを通じて（時には自分では知らないうちに）攻撃に関わる「ミュール」という役割の人間もいる。

　多くの人は、サイバー犯罪について想像するとき、技術的に優れたハッカーのことを思い浮かべる。しかしサイバー犯罪業界には、技術者以外の仕事も数多くある。たとえば、ツールの開発、人材の保証サービス・素行調査、預託サービス、人材募集、サイバーロンダリング、営業およびマーケティング、法務専門家などが考えられる。人事やマーケティング、出荷、業務管理、技術開発など仕事は、どの業界でも必要だ。

　では、この洗練されたサイバー犯罪業界と戦うにはどうしたらいいのだろうか。Rangan氏は、それがビジネスである以上、被害者予備軍は犯罪者による商品（データ）の販売を妨害するか、そもそもコストが高すぎて商品を調達できなくすればいいと述べている。簡単に情報を渡してはならない。

　Rangan氏によれば、まず行うべきはデューデリジェンスだという。サーバにパッチを適用し、2要素認証を有効にし、アプリケーションをゼロから復旧できるように設計すれば、ハッキングのコストを増大させることができる。

　各サイバー攻撃の種類ごとに成熟度曲線が存在するが、攻撃の種類の新しさから、どのように身を守ればいいかを判断することはできない。Rangan氏は、セキュリティツールへの投資も必要だが、従業員に対する教育にも投資する必要があると述べている。

　「わたしは、8歳になる息子にドアに鍵を掛けることや、外出して近所の友達と遊ぶときにはガレージを閉めておくことを教えた。技術的な問題として解決しようとしてもいいが、実際には習慣の問題だ。正しい習慣を身につける必要がある」とRangan氏は語った。

　レポートの全文はこちらから入手できる。

3つの要点

• サイバー犯罪やそれに手を染めるハッカーはそれぞれのアンダーグラウンド経済を抱えており、普通の企業と同じように、サプライチェーン、人材獲得、利益、バリューチェーンなどの要素を考慮しながら業務を遂行している。
• 最も重要なのは技術的なスキルだが、ハッキング犯罪組織には、人事、マーケティング、営業、流通などの役割を果たす人間も必要とされる。
• サイバー犯罪と戦うには、アンダーグラウンド組織は自分の事業を蝕もうとしている存在だと捉え、相手の商品販売能力を奪い、利益幅を縮小させ、商品の調達コストを上げさせる手段を採る必要がある。