セキュリティ大丈夫？
セキュリティ対策の考え方

工学部　長谷川明生教授

　もう20年以上前の1999年12月31日深夜、コンピュータ・システムの2K問題に備えて世界中のIT技術者が1月1日を待ち受けていた。2K問題とは、ほとんどのシステムで日付の年の部分を記憶するために2文字分しかメモリ上で場所を確保しておらず、1999の下2桁99から年越しで繰り上がったときにメモリがあふれシステムに致命的なトラブルが発生する可能性があるという問題である。このため、例えば多くの航空会社は万が一の事故懸念から新年をまたぐフライトの運行を中止するといった対策をとった。筆者も自宅からシステムを監視していた。待機結果はというと、2k問題については問題はなかった。一方で、日が1月１日になった直後に、アメリカの大学のシステム管理者から一通の電子メールが届いた。そのメールには、「あなたの大学から不正アクセスを受けている。そのIPアドレスからの攻撃を止めてほしい。」とあった。たまたま、大学のシステムを保守している技術者もシステムを監視していて、彼と連絡がついたので、怪しい通信の遮断ができ、事なきをえた。この事件以降、外部からの攻撃が増加してきたが、そのような攻撃は、攻撃の目的が技術力誇示のためのいたずらが主で、金銭目的のものは少なかったことだ。それが、昨今では、金銭を狙った悪質なものが増加しており、大企業の生産ラインや病院の電子カルテシステムを狙ったランサムウェアによる攻撃が目立つようになった。このような攻撃では、ファイルを暗号化して、データの復元に金銭を要求するとか、機密データを持ち出して、その買戻しを要求する。2022年には、大手部品メーカーへの攻撃や大規模病院での電子カルテシステムへの攻撃が新聞やテレビのニュースに取り上げられた。
　先例によれば、身代金を支払ったからといって、感染前の状態に完全に戻る保証はないし、復旧したように見えても、攻撃者がバックドアを残し外部からの侵入を可能にしておくといったこともある。また、いわゆる身代金を支払うと、くみしやすしとみなされて、類似グループからの新たな攻撃を呼びこむリスクもある。
　このような被害から組織を守るためには、セキュリティ対策機材やソフトウェアの整備に加えて、トップを含む構成員のITやセキュリティに対する教育、啓発が重要である。そのうえで、ミスをおかす人間を前提として、リスク評価を実施し、企業としての対策コストを考慮した事業継続計画を策定し、日常的に行動し、見直すことが重要である。多くの企業にとって、ITインフラやセキュリティ部門は、直接利益を生む部門ではないので、ともすれば後回しにされがちであるが、どこでも悪質な攻撃対象になりうる状況を認識し、組織としてインシデントの未然防止や早期発見・早期対策ができるような体制を整備しておくことが重要である。

【略歴】
長谷川 明生　(はせがわ・あきうみ)。
中京大学工学部教授。
情報セキュリティ。
名古屋大学院理学研究科　博士前記課程修了。　理学博士。
1954年生まれ。