シスコの最高セキュリティ責任者:サイバー犯罪者があなたを狙っている

    本ページは英語ドキュメントを翻訳したものです。

     

    本レポートは2015年版です。現在2016年日本語版がリリースされています。

     


     

    誰もがハッキングの対象に

    先週、サイバーセキュリティ月間の一環として、2015 年シスコ年次セキュリティ レポート [英語] のシスコ セキュリティ マニフェスト [英語] に目を通しました。セキュリティ プロフェッショナルに限らず、すべての方が年次セキュリティ レポートを一読されるようお勧めします。本年度の最重要メッセージは、組織内のあらゆるユーザにとって、セキュリティがいかに懸案事項となっているか、だからです。


    年次セキュリティ レポートは 53 ページもあるので全部読み通すのは大変です。そこで、シスコの最高セキュリティ責任者、John Stewart とのインタビューをまとめた 7 分間のビデオを作成しました。ここで、セキュリティ レポートの中心的テーマを語っています。こちらからビデオをご覧になれます。


     

    組織のセキュリティが各成員の必須事項である理由

    このメッセージはきわめて重要であるため、シスコの Lindsay Kniffin が行った John Stewart とのインタビューの一部の書き起こしを以下に示します。この書き起こしを読むかビデオを観れば、以下のような共通のテーマがあることに気付くでしょう。

    1. 今日のサイバー攻撃者は、組織内の一個人を狙っている。

    2. 企業の幹部が認識している保護レベルと、企業のセキュリティ運用スタッフによるセキュリティの評価には、大きな食い違いがある。

    3. 一時休止していたスパムが、無視できない脅威として戻ってきた。

    4. サイバー攻撃に対しては、隠し立てするのではなく、総力戦で臨むことが重要であり、すべての職位のあらゆるユーザが手を組む必要がある。


    ここに、ビデオの書き起こしの一部を示します。


    Kniffin:調査の最も重要な所見はどのようなものでしたか。最も気掛かりな所見もいくつか挙げていただけますか。


    Stewart:これまでは、相手 [サイバー攻撃者] がやってきてシステムをハッキングするというものでした。サーバを狙い、アプリケーションを狙います。今では、個々のユーザを対象とするようになっています。こうしたユーザが自分で感染させるように仕向けて、企業内を移動します。


    困ったことに、この場合ユーザがすべての責任を負います。私たち全員が、何をクリックし、何をクリックしてはいけないのかを判断しなければなりません。また、正直なところ、この作業自体は非常にやっかいです。


    Kniffin:レポートでは、セキュリティ プロフェッショナル コミュニティにおける、認識と実情の差が広がっていると述べられています。これは正確にはどういうことでしょうか。


    Stewart:セキュリティ チームのリーダーの 50 % 以上が、正しい方針を採用し、正しい戦略を策定していると回答していますが、セキュリティ運用スタッフについては、正しい方針を採用し、正しい戦略を最適していると回答しているのは 50 % 未満です。そこで、この食い違いを解消しなければなりません。幹部と運用スタッフとの乖離をそのままにはしておけません。


    Kniffin:レポートでは、スパムは以前ほど一般的ではなくなったものの、実際には危険性が増していると指摘しています。なぜ危険性が高いのですか。


    Stewart:スパムはここ数年連続して、統計的には減少していました。さまざまなベンダーがスパムに対する保護とフィルタリングの改良を重ねてきたことが、その一因です。その結果、あまり成功しなくなりました。


    しかし、昨年から状況が変わりました。昨年、スパムが活動を始め、個々のユーザを標的とする手法が使われるようになりました。世界中のさまざまなコンピュータの集団から、ほんの数件のメッセージを送信するというものです。以前は、常に数万件のメッセージを誰彼かまわず送信していました。


    つまり、スパムの危険性が再び増してきたのです。個人を標的としたほんの数件のメッセージが送信され、それを見逃してしまう可能性があるからです。つまり、最終的な受取人である個人が、フィルタリングされない状態で受信するのです。それに対して、受信者個人が決定を下さなければなりません。するとさらに危険性が増します。つまり、これは人によっても違いますが、私の場合、受け取るメールがあまりにも多くて、反射的にクリックしそうになるのです。そこで「待てよ、これはクリックしていいのか? どっちなんだろう…」となる場合が非常に多いのです。ここに、危険が潜んでいます。すなわち、個々のユーザへの依存が高いという点です。


    Kniffin:組織は活発な攻撃にどのように対処する必要がありますか。


    Stewart:攻撃を受けているとき、その事実を外に漏らさず、誰にも知られたくないという傾向があると思います。しかし、その逆であるべきなのです。これは総力戦で当たるべき事態です。重大な問題が発生した場合、エグゼクティブ コミュニティはそれを知る必要があります。場合によっては、[取締役] 委員会も知る必要があり、警察が関与すべきで、その他の手を貸してくれる企業も関与すべきです。そして、次のように助けを求めるのです。「これを見たことがありますか?」、「これが何かわかりますか?」、「何か名案はないでしょうか?」


    Kniffin:貴重なアドバイスですね。視聴者の皆様が今年のレポートから学び取る点で最も重要なことは何だとお考えですか。


    Stewart:どの企業においても IT の重要性は非常に重要で、セキュリティを各自の思考プロセスの中に取り入れるという方法を実施すべきです。誰か他の人がやってくれるという姿勢を続けることはできません。私は、役員会が関与すべきだと思います。CEO も関与すべきだと思います。さらに、企業内の各個人も関与すべきだと思います。企業内のユーザが標的となるからです。攻撃に巻き込まれ、標的にされて感染させられるのです。以前は対処できた機能停止はもはや受け入れられません。また、無視することもできません。

     

     

    詳細については、ビデオやフル レポート [英語] で確認してください。セキュリティおよびサイバーセキュリティについてさらに掘り下げて本格的に学習したい方は、認定のページをご覧ください。

     

    最新の IT 業界のニュースとシスコだけの教育サービスをご確認ください。今すぐ登録

     

    gary48a.jpgGary Pfitzer は Learning@Cisco のコンテンツ マネージャです。ビジネス誌、ブログ、お客様成功事例、その他の執筆を通じて、今日の IT の変遷に関する様々な側面に光を当てることに取り組んでいます。

     

     

     

    CLNBanner