CYBER SECURITY FOR 2020 ファーウェイUK サイバー・セキュリティ・オフィサーデヴィッド・フランシスに聞くロンドン五輪に学ぶ 2 0 2 0 年に向けたサイバー・セキュリティ対策 2020年に開催される東京オリンピック・パラリンピックでは、大会の運営や競技の観戦、観光客へのサービスなどにおけるICTの利活用に大きな期待が寄せられています。それにともない、会場や東京全体の物理的な安全確保に加え、サイバー空間でのセキュリティ対策も重要な課題となっています。初の本格的なデジタル・オリンピックと呼ばれた2012 年のロンドン五輪では、開催以前からサイバー・セキュリティに対して入念な対策が講じられ、重大なインシデントに見舞われることなく大会を終了、その経験は攻撃の対象に築くことは不可能です。そのため、官民よいのです。を挙げたコラボレーションと情報共有これまでに複数の国際的な調査かが非常に重要になってきます。ある企ら、サイバー攻撃のおよそ80%はごく基オリンピックのようなグローバル規模業、組織、業界に対する攻撃があった本的なセキュリティ対策によって対処の大イベントは、全世界から注目が集とき、情報が迅速かつ適切に共有されできることがわかっています。基本的なまる、いわば世界最大の広告媒体です。れば、次に他の企業、組織、業界へ攻対策によってこの80 %を確実に回避ししたがって、注意を惹きたいという動機撃が拡大するのを未然に防ぐことがでておけば、より重大で予測しがたい残りを持つあらゆる個人や組織がこの機会きるのです。ロンドン・オリンピックの際の20 %に対して十分なリソースを割くを悪用する可能性があります。また、巨には、英国の GCHQ（ Government ことができます。英国政府はロンドン五額の資金が動くことで、当然それを狙う Communications Headquarters：『サイバー・セキュ輪後の2012 年 9月に犯罪も起こりえますし、開催国になんら政府通信本部）内にあるCESG（Com- リティ保証に向けた10 のステップ（ 10 かのダメージを与えて国益や国のイ munications-Electronics Security という企 Steps To Cyber Security ）』メージを損ねたいという動機もあるで Group ）の主導により、脅威や緊急対業向けガイドラインを発行しています。しょう。さらに、莫大な数の人々が集ま応に関する分析をシェアするコミュニ私自身は、最低限徹底しておくべき対る開催地ではさまざまなインフラがフルティが組織され、情報共有のプロトコ策として次のようなものが挙げられると稼働状態になるため、平常時以上に各ルとプロセスが整備されました。考えています。種サービスを妨害しやすくなり、そのダ基本的な対策で現在も生かされています。2012 年当時、英国でシマンテックのクラウド・サービス事業担当バイス・プレジメージもより深刻なものになります。デントを務めていた現・ファーウェイUKおよび EUサイバー・セキュリティ・オフィサーのデヴィッド・フランシスこうした状況下では、イベント自体にに、英国がオリンピックにおけるサイバー・セキュリティにどのように臨み、どのような教訓を得たのか、また直接の関わりがない企業や組織であっしかし、注意すべきは、こうした悪用東京オリンピックに向けて日本の通信事業者や企業はどのように取り組むべきかについて、話を聞きました。ても、開催地にあるというだけで攻撃のや攻撃はいずれも普段から起こりうるも対象となりえます。通信をはじめとするのだということです。通常のセキュリティインフラ提供者はもちろんのこと、すべ対策が万全であれば、こうしたイベントての企業があらゆるタイプの攻撃に備の際にもそれを確実に運用するだけで「デジタル・オリンピック」となったロンドン大会ロンドン大会におけるサイバー攻撃公式YouTubeチャンネルで初のライブ中継を実施 ● アジア・アフリカの64地域で再生数 5,950 万回を記録 60％がライブ・ストリーミング視聴 ● チャンネル登録者数は会期中に10 倍に増加 ● うちオンライン中継と3D放送 ● オンライン中継数がテレビ中継数を初めて上まわる HUAWAVE JANUARY 2016 16 あらゆる企業・組織が ● 英米では全種目をオンラインでライブ中継 300時間以上が3Dで放送 ● 初の3D放送を実施、ュリティに関連すセキる事ー・バ象イサ 1億 6,600万件を要する事象調査 783件インシデン刻なト深 6件攻撃の80 %を回避えておく必要があります。これは実空間もサイバー空間も同様です。開催地の物理的な警備体制を強化すると同時に、サイバー・セキュリティ対策も同じレベルまで引き上げなければなりません。とはいえ、個別の企業や組織、政府機関でさえ、完全な防御体制を単独でインターネットを通じた攻撃 3件 David Francis デヴィッド・フランシス（london2012.com） LOCOG 公式ウェブサイト ※ 1億900万のユーザーが4億3,100万回訪問 ● 1. 3ペタバイトのデータがサイト上で送受信 ● 2種類の公式アプリが合計で1, 480万ダウンロード ● ソーシャル・メディア ● LOCOG公式アカウント（Facebook、Twitter、 470万人 ● 会期中の大会に関するツイート数は1億 5,000万件のフォロワー数は合計で Google+など）破壊やサービス断 0 ファーウェイUK・EU サイバー・セキュリティ・オフィサー（CSO） BT（ブリティッシュ・テレコム）ほか英米のICT 企業を経て、2003 年シマンテックに入社、2007 年から2012 年まで同社クラウド・サービス事業担当バイス・プレジデントとしてグローバルで300 名以上からなるユニットを統括する。その後 e コをマース企業のCOO（最高執行責任者）務め、2013 年 5 月にファーウェイUK の CSO に就任。現在は EU の CSOも兼任し、官民におけるサイバー・セキュリティ課題に関する豊富な経験を生かして、社内向けセキュリティ教育、社外のステークホルダーとの協力とコミュニケーションを推進している。 ※ London Organising Committee of the Olympic Games：ロンドン・オリンピック組織委員会出典: International Olympic Committee, London 2012 Facts & Figures; The Olympic Delivery Authority (ODA), London Organising Committee of the Olympic Games (LOCOG), The Institution of Engineering and Technology (IET), ICT Knowledge Transfer Network (ICT KTN) and UK Trade & Investment (UKTI), Delivering London 2012 出典: Gerry Pennell (Chief Information Officer of the London Organising Committee of the Games), London 2012 Cyber Security : Experiences from the Games / JAN . 2016 17 CYBER SECURITY FOR 2020 サイバするためのー攻撃の 80 ％を回避 10 の基本対策 1 態にする。ルスソフトを最新の状ウイチアンの器機のてすべ 2 最新の状態にする。ファイアーウォールを 3 4 5 6 7 8 9 10 低レベルにする。権限をできるかぎり最タスクごとのユーザー適用する。セキュリティ・パッチをの新最に器機のてべすパッチを適用する。マリ・サーバーと同一のライプにもーバー・サバックアップ底同様に登録・管理を徹情報資産も有形資産とする。策を講じる。レベルごとに適切な対、けつを位順先優に守るべき情報資産主要要件とする。段階からセキュリティを計設のムステシやクネットワー施する。侵入テストを頻繁に実きる関係を築く。緊急時の情報共有がで者と当ィ担リテキュセ他社・他組織のシステムやネットワークをどれだけ堅おわかりいただけるでしょう。セキュリ行為ではなく、組織化され財源を持っ牢にしても、従業員が故意あるいは不ティ保証は品質保証の一部であり、おたひとつの産業なのです。注意で、そして時には善意から、セキュ客様のために安全で安定したサービス繰り返しになりますが、こうした状況リティ上重要な情報を漏らしたり、侵入を提供し、価値を生み出していくために、に対応するためには、一企業、一業界、者のアクセスを許したりしてしまう場合日頃からビジネスの一環として持続的に一国家の力では限界があります。産業があります。たとえば、自社の幹部を名取り組むべき当然のプロセスにすぎない間、国家間で協力し、情報やベストプラ乗る人物から電話で機密情報についてのです。この点では、品質保証が文化とクティスの共有を進めることが喫緊の課尋ねられる、お客様を名乗る人物からして根づいている日本の企業は強みを題です。2020 年に向けてサイバー・セ障害を復旧させるためにいますぐネット持っていると言えます。キュリティ対策を強化していくうえで、日ワークへのアクセスが必要だと迫られる、というような場面で、全従業員が適切かつ慎重な対応を取ることができるで業界・国を越えた連携が急務本の政府や企業はそうした努力をさらに進めていくことが求められるでしょう。ロンドン・オリンピックは英国にとっしょうか。ロンドン大会からすでに4 年が過ぎ、て、それまで各政府機関や企業・組織ソーシャル・エンジニアリングを防ぐにさらに2020 年まであと4 年ありますが、が個別に行っていたサイバー・セキュは、こうした状況における確認や報告のその頃にはサイバー空間がいっそう過リティ対策を国をあげて精査し、よりプロトコルが確立されていると同時に、酷な状態となっていることは確かです。強固な体制を築くきっかけとなりましフロントラインからバックオフィスまです IoTでつながった多くのモノが攻撃の対た。日本もまた、東京オリンピックを機べての従業員がセキュリティに対する意象やセキュリティ・ホールになりえるとと会としてあらゆる企業や組織が現状を識を持ち、自分自身がセキュリティの当もに、技術の進歩によってより高度な攻見直し、基本的な対策をしっかりと講事者であることを常に認識していなけれ撃が低コストかつ容易にできるようになじることで、サイバー・セキュリティ水ばなりません。これは容易なことではあります。攻撃者自身が技術を持っていな準をさらに引き上げ、国際的な協調をりませんが、継続的な教育とトレーニンい場合、攻撃を買うこともできます。い推進して世界をリードしていくことをグによって取り組んでいくしかないでまやセキュリティ攻撃は悪意ある個人の願っています。しょう。セキュリティ保証は品質保証の一部 HUAWAVE JANUARY 2016 18 ①～⑤については、いずれの企業・組さらに、セキュリティ対策は後付けで Partnership：サイバー・セキュリティ情このような対策は、一朝一夕にできる織でも通常の対策として行われているこきません。これはファーウェイでも徹底報共有パートナーシップ）というしくみをものではありません。オリンピックのよう「デジタル・オリンピック」ロンドン大会をネットワークで支えたファーウェイとだと思いますが、「すべての」機器やして行っていることですが、製品やネッ設けています。これは、メンバーとなっな大規模なイベントに備えるには、すべロンドン・オリンピックの会期中、ファーウェイは通信事業者10社のネットユーザーをカバーしているかという点はトワーク、システムを設計する段階からている企業・組織のセキュリティ担当者てのプロセスを開催の数年前から準備ワーク保全を支援しました。リスクの排除、ネットワークの性能とセキュリ見直す必要があるでしょう。1か所でもセキュリティを主要な要件として組み込間で、機密性を保ったまま脅威や脆弱し、事前に十分に訓練を重ね、大会後ティの向上、プロセスの最適化により、一度も通信障害を起こすことなく穴があれば、攻撃が起こる可能性があんでおくことが必要です。そして、運用性についての情報交換ができるプラットに何かが起こった場合でもそのプロセス安定したサービスで膨大なトラフィックを支えました。ります。開始後も継続的なテストによってセキュフォームです。日本には同様の取り組みを確実に実行すればよいという状態にし ⑥の資産管理については、会計上のリティ・ホールのない状態を常に維持しとして情報処理推進機構によるJ-CSIP ておかなければなりません。必要性から当然行うべきものですが、知ておきます。的財産を含む情報資産に対しても、建最後に、前述のように、サイバー・セ物や備品などの有形資産と同様に全資産を登録して管理することができているでしょうか。また、そうした資産のすべて業や業界の垣根を超えた情報共有がを完全に保護することは現実的には不重要です。とはいえ、インシデントや脆可能ですから、情報の重要度に基づい弱性に関する情報は企業にとっては機サイバー・セキュリティにおいて防御だけでなく、将来を見据えた長期的・継て優先順位を付け、保護対策をレイ密事項ですから、このような情報共有が最も難しいのが、ソーシャル・エンジニ続的なものであるべきです。ヤー化して、最も優先度の高い情報資を事業上の利益に影響させることなくアリング、つまり「人」がセキュリティ・こうして見ると、サイバー・セキュリ産に対して多くのリソースを割くように円滑に行えるよう、英国政府は CiSP ホールとなり、情報漏えいや攻撃が起こティ対策はビジネスの他の業務と比較るケースです。してなんら特別なものではないことがしなければなりません。（Initiative for Cyber Security Infor- また、ロンドン・オリンピックでは、開 mation sharing Partnership of Japan：催に向けて攻撃が増加しましたが、終了キュリティは1 社だけで対応できる問題サイバー情報共有イニシアティブ）があ後も攻撃は減少しませんでした。大会をではなく、被害の拡大を抑えるには企ります。（Cyber-security Information Sharing 「人」が最大の脆弱性契機として一度攻撃の対象となってしまうと、その後も標的となり続けるのです。したがって、セキュリティ対策は会期中 / JAN . 2016 19