
AI時代に日本企業が取り組むべき5つの偽情報対策
2024年は、世界各国で選挙が実施される選挙イヤーです。それに伴い、デジタル空間を通じて偽情報を拡散する情報戦への警戒が高まっています。企業を取り巻く偽情報の脅威動向を整理した上で、日本企業が取り組むべき偽情報対策について解説します。
近年、スレットインテリジェンスまたは脅威インテリジェンスと呼ばれる情報および情報提供サービスが注目を集めています。以前からCVE(Common Vulnerability Enumeration)に代表されるソフトウェア脆弱性に関する情報を提供するサービスは存在しています。また、IoC(Indicator of Compromise)のように実際のサイバー攻撃で悪用されたマルウェアのハッシュ値や通信先IPアドレスなどを提供するサービスも近年登場しています。こうした取り組みとスレットインテリジェンスはどこが違うのでしょうか。
インテリジェンスは一般的に、インフォメーションを特定の目的で分析して得られる意思決定のための知見を意味します。そのためインテリジェンスを語る上で「分析の目的は何か?」は欠かすことができない問いと言えます。スレットインテリジェンスは、文字どおりサイバーセキュリティ脅威に関するインフォメーションを対象とし、自組織のサイバーセキュリティ対策向上を目的とした分析により得られた、意思決定のための知見と考えることができます。サイバーセキュリティ対策という概念をどのように捉えるかにはさまざまな考え方がありますが、代表的なものとしてはNISTサイバーセキュリティフレームワーク(NIST CSF)が挙げられます。そのため同フレームワークを構成する5つの要素(「特定」、「防御」、「検知」、「対応」、「復旧」)それぞれの観点からサイバーセキュリティ脅威に関するインフォメーションを分析したものが、スレットインテリジェンスと考えることができます。
「スレットインテリジェンスサービスが有用だと聞いてと契約したが、有効な使い方が分からない」という声を聞くことがあります。こうした場合、「どのようなセキュリティ課題を改善するか・高度化するか」という課題・目的の設定、そのためにどのような知見が必要か、知見を得るためにはどのような情報・分析が必要か、という検討プロセスがおろそかになっていることが少なくありません。冒頭の脆弱性情報の場合、「自社システムに関連する、深刻度の高い脆弱性情報の把握」、「自社システムに関連する、実際の攻撃での悪用が確認されている脆弱性情報の把握」、「自社システムに関連する、同業他社を狙った攻撃が確認されている脆弱性情報の把握」では分析の目的が異なり、必要となる知見や情報も異なります。インテリジェンスが「意思決定のための知見」であることを踏まえると、企業や組織においては、徹底して自組織で活用することを前提とした目的設定が必要だと言えます。
昨今、さまざまなスレットインテリジェンスサービスが提供されています。冒頭の脆弱性情報やIoC、APT(Advanced Persistent Threat)の詳細解析情報、ダークウェブのモニタリング情報、地政学リスクとサイバー攻撃の分析情報など、内容は多岐に及びます。こうしたスレットインテリジェンスサービスの全体像は、次の3つに大きく分類することができます。
政治・経済・社会・技術などのマクロ要因とサイバー攻撃の関係性を分析し、情報提供するサービス。実際に発生したサイバー攻撃の背景、攻撃者像、各国・組織のサイバーセキュリティ関連動向の分析を行うことで、将来的に想定されるサイバー攻撃のリスクを洗い出す。
ダークウェブを含むインターネット上の公開情報を対象として、情報を収集・分析し、情報提供するサービス。サイバーセキュリティ対策を行う上で認識すべき脆弱性情報、漏えい情報、攻撃の予兆、インターネットに露出したShadow ITデバイスなどの攻撃者にとって有益な情報を提供する。攻撃者から見た場合、攻撃準備段階に相当する(MITRE-PRE-ATT&CKで説明される戦術に相当)。
実際に発生したサイバー攻撃やAPTを詳細に解析し、情報提供するサービス。最新の攻撃手法を明らかにし、その対策や攻撃に関連したIoCなどを提供する。攻撃者から見た場合、攻撃実施段階の手口に相当する(MITRE-ATT&CKで説明される戦術に相当)。
こうしたスレットインテリジェンスサービスを活用するためには、前述のとおり、分析の目的が明確になっていることが重要です。サービス側で必要な分析が行われており、提供される情報が自組織にとって必要な知見である場合は、追加の分析は必要ありません。一方で業界または自社特有の情報、特性を考慮する必要があるといった理由でサービス側での分析が不十分な場合は、追加での分析が必要となるため、事前にアウトソース・インソースする内容を見定めておくことが必要です。
CSIRTでのスレットインテリジェンスの活用を考える場合、外部のスレットインテリジェンスサービスの利用有無、インソースでの追加分析の有無に関わらず、分析により得られた知見を活用するためには、既に一定水準でCSIRTの活動が定義・運営されている必要があります。
この前提において、初めに自組織のCSIRTがサイバーセキュリティ対策のどの機能を担うのかを明らかにする必要があります。例えば、NIST CSFの一要素である「特定」を考えた場合、【「サイバーセキュリティ資産管理」によるCSIRTパフォーマンスの最大化】でも紹介したように、IT資産管理が各業務部門に分散しているケースもあれば、サイバーセキュリティ資産管理の導入により必要な情報がCSIRTにより管理されているケースも考えられます。また、「対応」「復旧」についてもCSIRTが中心になるケース、インシデントが発生した事業部門が中心となるケース、インシデントに応じて組成された対応組織が中心となるケースなどが考えられます。そのため、まずはCSIRTが行う活動において存在する課題、高度化が必要となる項目を明らかにし、分析の目的を設定します。一例を以下に示します。
上記の例は、現実には一筋縄ではいかず、課題として認識されているものの改善されないまま放置されていることが少なくありません。スレットインテリジェンスは「自組織の意思決定のための知見」である以上、自組織固有の特性を含んでおり、異なる組織間で共通して活用できることはあっても、それが一般化されることはありません。「目の前にある情報をどう有効活用するのか」ではなく、問いに相当する「分析の目的」の設定と、その答えに相当する「実装と運用」のサイクルを継続的に回し、双方のレベルを段階的に上げていく必要があるのです。
2024年は、世界各国で選挙が実施される選挙イヤーです。それに伴い、デジタル空間を通じて偽情報を拡散する情報戦への警戒が高まっています。企業を取り巻く偽情報の脅威動向を整理した上で、日本企業が取り組むべき偽情報対策について解説します。
サイバーセキュリティリスクが増している現状において、企業のセキュリティ対応の要となる組織の1つがCSIRTです。日本のCSIRTによく見られる課題や、CSIRTの成熟度評価、それを行うメリットを解説します。
企業は自社のビジネスや組織、保有資産や施策導入状況などに鑑み、講じるべきセキュリティ施策を自ら選択する必要があります。この選択の際には、解決するべき課題が持つリスクを見極め、優先順位を設定することです。今回は「リスクスコアの算出フレームワーク」の構築・活用を紹介すると共に、次に実施すべき施策を導く方法について記します。
サイバーセキュリティ対策の考え方の主流は、「インシデント発生を前提として対策する」にシフトしています。インシデントへの対処を強化するためのツールである「サイバーセキュリティプレイブック」を整備するポイントについて解説します。
各国サイバーセキュリティ法令・政策動向シリーズの第5回目として、ブラジルのデジタル戦略と組織体制、セキュリティにかかわる政策や法令とその動向などについて最新情報を解説します。
プライバシーガバナンスは、プライバシー問題に関するリスクを適切に管理し、消費者やステークホルダーに対して責任を果たすことを指します。この見直しは、社会からの信頼を得るとともに企業価値の向上に寄与します。企業のプライバシーガバナンスへの取り組み状況として2社の事例をご紹介します。
昨今の製品セキュリティを取り巻く規制や制度への対応に伴い、企業では脆弱性開示ポリシーの整備が進んでいます。脆弱性を迅速かつ効果的に修正し運用するための、脆弱性を発見した報告者と企業との協力関係の構築と、報告者に対して企業が支払う報奨金制度の活用について解説します。
2025年3月末より、IoTセキュリティ適合性評価及びラベリング制度(JC-STAR)の運用が開始されました。行政機関や地方公共団体、民間企業に向けてさまざまな政府機関が発行するガイダンスについて紹介、解説します。