ざんねんなセキュリティ–経営責任の丸投げを目的とした「名ばかりCSIRT」

今回は「ざんねんなセキュリティ–経営責任の丸投げを目的とした「名ばかりCSIRT」」についてご紹介します。

関連ワード (セキュリティ、企業セキュリティの歩き方等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 本連載「企業セキュリティの歩き方」では、セキュリティ業界を取り巻く現状や課題、問題点をひもときながら、サイバーセキュリティを向上させていくための視点やヒントを提示する。

 前回は、「機能しないIDS/IPS」をテーマに、本来の機能を発揮できない“ざんねんな”セキュリティ製品の状況を述べた。IDS/IPS(不正侵入検知/防御システム)は、それ以前のファイアウォールなどと異なり、「検知アラートの対応」というユーザー側の運用が必要だった。多くの企業では適切に運用できず、その結果、機能しないセキュリティ製品が稼働し続ける状態を招いた。

 今回は、近年急激に注目が高まった「Computer Security Incident Response Team(CSIRT)」にフォーカスして、“ざんねん”なセキュリティ対策の状況を述べてみたい。

 サイバー攻撃の脅威が叫ばれ、セキュリティ対策の重要性が世の中に強く認識されるようになったのは、それほど昔のことではない。サイバー攻撃が金もうけになることが分かると、悪意を持つ人間らによってビッグビジネス化する様相を見せた。これに対抗するように、防御側において高度な攻撃手法にも対応できる多種多様なセキュリティ製品・サービスが本格的に普及したのは、2010年代になってからだ。

 もちろん、それ以前でもセキュリティ対策が軽視されていたわけではないが、高度な手法のサイバー攻撃に対応するには、センサーのように攻撃を検知する仕組みを作らざるを得なかった。そうすると、それを運用(アラートへの対応など)できる人材が必要になるが、少し前の企業にそのようなスキルを持つ人材はいなかった。そのため、前回述べたように、せっかくの高度なセキュリティ製品・サービスが全くのムダになってしまうことが珍しくなかった。

 一般企業でセキュリティ専任のエンジニアを採用できるのは、その専門性に見合う報酬を用意できる大企業でなければ難しい。さらに、一般企業にはセキュリティエンジニアのキャリアパスが存在せず、現在の「最高情報セキュリティ責任者(CISO)」のような、セキュリティに関して責任を担う役員などもいなかった。

 また、ほとんどの一般企業には、セキュリティ対策を専門とする部門も存在しなかった。そのような企業では、セキュリティエンジニアは情報システム部門の担当者の一人として所属することになる。情報システム領域の一部となれば、セキュリティの業務をいくら極めても部長にすらなれない。セキュリティエンジニアにとっては不遇の時代が長く続いた。

 その状況を一変させたのが、2011年に発生した日本の防衛産業を狙う標的型サイバー攻撃事件である。この事件は、厳重に管理されているはずの国家機密(にもなり得る軍事機密)がサイバー攻撃者に狙われたものだ。事件のポイントは、高度な技術を持つ攻撃者が、時間と手間を惜しむことなく執ように攻撃を行えば、相手がどんな組織であろうと目的は十分に達成可能だと証明したことだ。当事者である防衛産業から公式発表はないものの、この事件がその後の日本市場におけるサイバーセキュリティ対策の大前提となった。

 一般企業とは段違いの高度なセキュリティ対策をしていた防衛産業の大企業ですら攻撃に遭うという事実によって、多くの一般企業も本気でセキュリティ対策に取り組まざるを得なくなった。つまり、平和な日本も地球の裏側からサイバー攻撃者に狙われるリスクがあるという事実を経営者は無視できなくなったのだ。

 このようにして、サイバー攻撃から自組織を守るためのセキュリティエンジニアと、高度な防御を実現するセキュリティ対策が急激に脚光を浴びるようになった。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
新型コロナウイルス感染症がサイバーセキュリティを変える–RSA Security
IT関連
2021-01-28 23:38
MSCHFがSpotにリモコン式ペイントボール銃搭載、ボストン・ダイナミクスは嫌な顔
ロボティクス
2021-03-21 09:03
ベネッセ、進研ゼミ教材の校正業務にレビューツール「Brushup」採用
IT関連
2021-02-06 15:25
住宅事業者向けクラウド型住宅ローン業務支援システムのiYellが35億円のシリーズD調達
IT関連
2022-02-10 22:56
「ROCK IN JAPAN」開催中止 県医師会などの要請に「何をもって万全とするのか」
くらテク
2021-07-08 07:18
JAバンク新潟県信連、統合型コラボレーションツールを導入–申請業務の改善へ
IT関連
2022-03-17 21:41
新型コロナを追い風にイベントネットワーキングアプリGripが13.7億円調達、今後のハイブリッド化も視野に
ネットサービス
2021-02-21 14:02
「Windows Defender」に脆弱なドライバーをブロックする機能
IT関連
2022-03-31 01:50
開けると泡が自然発生する缶ビール、販売2日で出荷中止 商品供給追い付かず 
くらテク
2021-04-09 17:39
電動「ねこ車」のCuboRexが愛知県の海岸清掃プロジェクト「表浜 BLUE WALK 2021」とコラボ、作業効率化の実証実験
モビリティ
2021-08-03 21:07
処方箋なしでも病院の薬が買える「零売薬局」を展開するGOOD AIDが総額2億円のシリーズB調達
ヘルステック
2021-08-13 09:31
日立製作所、JP1とJP1 Cloud Serviceを強化–DX推進でIT運用を変革
IT関連
2022-01-28 17:56
米英のセキュリティ当局、ロシア対外情報庁の脅威アクターによる攻撃手法など注意喚起
IT関連
2021-05-10 15:07
カプコン、不正アクセス被害の調査結果を公表 旧型VPN装置にサイバー攻撃
セキュリティ
2021-04-15 00:01