ツチヤ教授の P大人の社会科見学哲学者でありコラムニストでもあるツチヤ教授が、みずほ情報総研のさまざまな〝現場〟を訪問。ソリューションやサービスが生まれる舞台裏をご紹介します。〉〉第回〈〈サイバーセキュリティ対策を支援する現場を見に行こう金融ソリューション第1部の中村と申します。巧妙化するサイバー攻撃にプロアクティブな組織で対応する中村私が所属している金融コンサルティングチームは、金融機関向けに事務リスクを計量化するオペレーショナルリスク管理や、アンチマネーローンダリング対策などの支援を行っています。その中で私は、サイバーセキュリティ対策のコンサルティングに携わっています。現在、日本には思想目的や金銭目的などさまざまなサイバー攻撃が行われていますが、特に金融機関に対しては、不正送金やフィッシングなど金銭を狙った攻撃、また機密を狙った攻撃が多く発生しています。・1 億円に達しています。 2014 年のインターネットバンキングなどにおける不正送金の被害額は歳と書いたことがあったなと中村米国の企業は、個人情報を使って得られる効果力するだけでいいんですが。ない︵笑︶。米国のWe b サイトは最小限の情報を入︵笑︶。正直に年齢を書くと、お墓の案内ぐらいしか来考えたら、でたらめに案内の電話がかかってきて、なぜだろうと思ってよく土屋日本のWeb サイトは、登録の時にいろいろな情報を入力させられますからね。ある日ブライダルのき取られる事例もあります。中村 We b サイトに関しては、サイトの改ざんや、申し込みフォームに入力された個人情報が外部から抜ティ対策が十分でない面があるんだろうと思います。土屋そうなんですよ。大学にもよると思いますが、予算の関係で古い機器を使い続けていたり、セキュリみ台になるケースって、実はとても多いんです。しています。大学の研究室のパソコンがこの攻撃の踏土屋そんなにあるんですか。中村はい。大量に、かつ集中的にWeb サイトにアクセスしてサーバーを止める﹁DDoS 攻撃﹂も増加 29 22 10 12 と個人情報を持っていることで生じるリスクとを、計量化して見比べているのだと思います。最近は、あえて個人情報を持たない日本企業も増え始めています。多くの人が閲覧するサイトにマルウェアを仕掛けて感染させる﹁水飲み場型攻撃﹂も増えています。企業は自社のサイトが〝水飲み場〟として利用されないよう注意し、自社のパソコンが感染した場合にはすぐに検知できる仕組みを作る必要があります。土屋水飲み場に行くなというのも無理ですからね。中村業務上必要な公式Web サイトを閲覧しただけで感染してしまうこともあります。日本年金機構の個人情報漏えい事件のような、特定の組織を狙った﹁標的型攻撃﹂も増加しています。海外では7600万世帯のデータが流出した事案がありました。ツチヤ教授 ─ 侵入されることを前提に対策するんですね中村サイバー攻撃がビジネスに与えるインパクトも大きくなっています。世界経済フォーラムの2014 年版﹃グローバルリスク報告﹄でも、サイバーセキュリティは5 大リスクの1 つに数えられています。サイバー攻撃対策においても、従来のようにアラートが出たら対応するリアクティブなものでなく、もっとプロアクティブに、組織内や外部の情報を収集しながら対策に活かしていく組織が必要になっています。土屋やはり、そういう組織が必要だという意識が高まっているんですね。︵シーサート︶﹂︵＊︶と中村はい。各企業で﹁ CSIRT は、消防いう組織が構築され始めています。 CSIRT 署のような存在です。消防署には、火災通報を受ける役割、火災情報を関係各所へ報告する役割、消火活動を行う役割、火の用心を呼びかける役割が求められまです。 CSIRT す。サイバーセキュリティ分野でこれらの役割を担うのが N av i s 0 3 0 – M a y 2 0 1 6 13 土屋賢二（つちやけんじ）氏　1944 年、岡山県生まれ。お茶の水女子大学名誉教授。柔らかな語り口の哲学論集・講義集のほか、数多くのユーモアあふれるエッセイ集でも知られる。趣味はジャズピアノ。ユーモアエッセイ集には『妻と罰』『ツチヤ学部長の弁明』『紳士の言い逃れ』など多数。ほか『ツチヤ教授の哲学講義』『哲学者にならない方法』など。させます。次に、社内のパソコンやサーバを探しま急時対応計画の策定、規程やマニュアルなどドキュメす。管理体制の整備やリスク評価のプロセス作成、緊社でも金融機関向けに、サイバーセキュリティ対策組リティ対策を行う組織体制の構築を求めています。当中村金融庁も監督指針や検査マニュアルに﹁サイバーセキュリティ管理﹂という項目を新設して、セキュ防ぐことができます。それぞれの段階で防御の手を打てどこかの段階で止めることができれば、情報流出を土屋一度に侵入してくるわけではないんですね。中村はい。でも、たとえ怪しいメールを開いてしまった人がいても、続く攻撃をリアルタイムに検知しにデータを外部へ送信するのです。てきます。そして、それらのファイルを収集し、最後わって重要情報を見つけ出すマルウェアが送り込まれント作成、訓練の実施などを支援しています。当社はつ仕組みを作ることが重要なのです。土屋なるほど。銀行系のコンサルティング会社ということで、実体験織を構築するためのコンサルティングを行っていまに基づいた支援ができるのが強みだと思っています。います。我々はそうした要員の確保も含めた人材育成て経営陣に伝えることができるハブ人材が求められてティ対策ができる人材や、セキュリティの話を咀嚼しもしれませんし、その逆もしかりです。ですから、攻中村十分あり得ると思います。自社にとっては重要な情報でも攻撃者にとっては魅力のない情報もあるか人も世の中にはいるかもしれませんね。はそれほど価値はないと思いますが、それだけで喜ぶ土屋なるほど。大学の場合だと、一番重要な情報は知的財産でしょうか。成績表や身長・体重のデータにキュリティを導入することが大切です。威や守るべき情報資産を把握して、それに応じたセただ、セキュリティはコストとトレードオフでもありますから、自社の規模や経営状況、晒されている脅土屋そうですよね。僕みたいな男でも、もし、僕が銀行だったら、信用してもらえますもん。を組織するたプランの策定も支援しており、 CSIRT めに必要なスキルセットの定義や、委託先の選定もお撃者の動機を考えることが大切です。中村課題となるのは人材育成です。セキュリティ対策で重要なのは結局のところ人ですから、セキュリ手伝いしています。ツチヤ教授 ─ 便利だとそのぶんリスクも高くなるんですね土屋うかがっていると、対策にはまず人の意識の変革が第一という感じですね。これまでは金庫の壁を厚くすれば対策は万全だったでしょうけど、インターネット上での不正送金となると、どうしたらいいのか中村また、サイバーセキュリティ対策は一組織だけでは立ち行かないものですから、外部機関との連携が見当がつきません。中村ですから今は、攻撃者に侵入される可能性があることを前提に対策を打つことが求められています。や、ベストプラクティスの共有を行っています。求められます。日本シーサート協議会など情報交換を撃を仕掛けてきます。最初の攻撃でマルウェアを侵入土屋防御不可能だということを前提に考えるんですね。させたら、システムに裏口を作り、いつでも外部から土屋僕は以前から、大学のセキュリティ対策に関して、国で統一的な対策を講じるような機関を作ってくという組織では、金行う場もありますし、金融 ISAC 融機関が集まって、情報共有用のプロトコルの標準化アクセスできる状態にしておいて攻撃指示を出すのでれないかと思っていたんですが、それに近いですね。中村そうです。現在の攻撃、特に標的型攻撃は、﹁サイバーキルチェーン﹂といわれる段階を踏んで攻す。そして、マルウェアを他のコンピュータへと拡大 14 Pみずほ情報総研白山事業所にてのぶんリスクも高くなっているんですよね。土屋利用者側からすると、今の銀行はスマートフォンで入金や送金ができるので使いやすいんですが、そ中村こうした業界団体によるセキュリティへの取り組みは、教育現場にもきっと波及すると思いますよ。業したのにと思っていましたけど、セキュリティ対策土屋それは重要なセールスポイントになりますね。銀行はなぜATM で手数料を取るのか、全部自分で作中村海外では、セキュリティポリシーを公開する銀行も出てきています。ザ・ミドル攻撃﹂や、﹁マン・イン・ザ・ブラウザ攻なサイトにアクセスさせられてしまう﹁マン・イン・正規サイトにアクセスしたつもりがいつの間にか不正で、その動きが進むと、企業や銀行のセキュリティ対イバーセキュリティ体制に関する質問が出ていますのらいのです。ただ、いくつかの銀行の株主総会ではサ中村セキュリティ対策は、どういう手段を導入しているか公言できないことも多いので、外部から見えづのために手数料が必要だといわれると納得できます。撃﹂という手口もあります。策の度合いが見えやすくなるかもしれません。中村そうですね。マルウェアに感染したパソコンを使ってインターネットバンキングにアクセスすると、ターネットバンキングがなかなか使えないんですよ。土屋そうなんですか。僕はなんだか怖くて、インこれからのインターネット利用者は、常に﹁考える﹂ことが大切です。フィッシング対策協議会では、ネットバンキングのセキュリティを強化するため、各る﹂ことも大切です。たとえば、公衆無線まって考えようと呼びかけています。常に﹁自衛す﹂というキャンペーンを﹁ STOP, THINK, CONNECT 行い、インターネットを利用する際には、まず立ち止中村そこで、我々はみずほ銀行に﹁トランザクション認証﹂という仕組みの導入を薦めました。インター銀行はユーザーに、一定時間だけ有効な﹁ワンタイムを使パスワード﹂を生成する機器を提供しています。このされているのですが、これだけ攻撃が高度化してくる対策基準に準拠していますから、相応のレベルは担保中村多少の違いはあります。日本の金融機関は FISC ︵金融情報システムセンター︶が定めた安全土屋金融機関にはそんな風にセキュリティレベルの違いがあるんですか。引が成立せず、不正送金を防ぐことができます。えられても、パスワードが一致しないということで取のため、攻撃者によって振込先が異なる口座に書き換ベースにしたワンタイムパスワードを生成します。こ証では、作成時刻に加えて振込先の口座番号情報等もパスワードを生成します。一方、トランザクション認機器は、パスワード作成時刻を暗号化してワンタイムうな仕組みづくりをお手伝いできればと思っています。伴いますので、安心安全にいろいろなものが使えるよしては、Io T の活用には必ずセキュリティの問題がみづくりができないかと考えています。また新分野と今後はどういうことをしたいですか。中村日本の金融機関のサイバーセキュリティレベル向上が目標の一つです。たとえば、街の小さな金融機いようにしようと気を付けています︵笑︶。土屋なるほど。僕は、恥ずかしいメールや文章を盗み読みされてもいいように、普段からあまり気取らなよう心がけるべきです。能性を前提に通信を行い、重要情報をやり取りしないう必要がある場合は、第三者から盗み見られている可︵ Computer Security Incident Response Team ︶＊ CSIRT 複数部署間および社外とも情報交換しながら情報セキュリティに組織的に取り組む、専門知識を持ったインシデント対応チーム関でも高度なサイバーセキュリティ対応ができる仕組と、基準に準拠するだけでなく、自律的な取り組みが必要になります。土屋できればセキュリティのしっかりした銀行に預けたいですよね。 N av i s 0 3 0 – M a y 2 0 1 6 15 L A N