今こそレガシーを振り返りオフェンシブで⾒直していこう

⼤阪⼤学教授, CISO

猪俣敦夫, Ph.D, RISS, CISSP
2024年サイバー犯罪に関する⽩浜シンポジウム
⽩浜シンポ向けのため本資料の再配布・再転載はご遠慮ください• ⼤阪⼤学 教授, CISO

• サイバーメディアセンター副センター⻑、⼤学院情報科学研究科• 情報セキュリティ対策室室⻑, OU-CSIRT隊⻑

• (⼀社)• (⼀社)• (⼀社)• (⼀社)

公衆無線LAN認証管理機構 代表理事
ライフデータイニシアティブ 理事
⼤学ICT推進協議会 理事
JPCERTコーディネーションセンター 理事• 京都⼥⼦⼤学、東京薬科⼤学、慶應義塾⼤学、NAIST、東京電機⼤学 他• 経済産業省 ソフトウェアセキュリティTF委員• 総務省 公衆無線LANセキュリティ委員会座⻑• 2025⼤阪・関⻄万博サイバーセキュリティ有識者会議委員• (株)カプコン セキュリティ監督委員• 阪急阪神HD (株) サイバーセキュリティ顧問• (株)ベネッセHD 情報セキュリティ監視委員、• NEXCO東⽇本・中⽇本・⻄⽇本 ETC開発委員、 他多数• IPA 情報処理安全確保⽀援⼠ 特定講習講師• ⼤阪府警、奈良県警察サイバーセキュリティアドバイザ• NTT⻄⽇本情報漏洩事案内部調査委員会 委員• ⼤阪急性期・総合医療センターインシデント調査委員会委員⻑、他

2

今や空前のレトロブーム• 今⽇は私の趣味をひたすら話すわけでなく• 最近の事案は、最先端のすごい攻撃ばかりなの？現場は超⾼級インテリジェントなソリューションが必要なの？、もしかしたら⼈件費のコストカットばかりに⽬がいってない？とか、そんなお⾦がかかりそうな話ばかりであれば• 基本にたちかえろう、という⽬的でレガシーから学べることは？？をお話しさせていただきます

セキュリティは歴史が⽣み出した• 古代ギリシャ時代にさかのぼる• “Cryptography” ギリシャ語「隠れた」“κρυπτός (kryptós)”に由来• 暗号：秘密の情報である鍵を⽤いて⽂章の変換(暗号化)を⾏い、その変換規則を知っているものだけが⽂章を復元(復号)できる（アルゴリズム）
ナポレオンがエジプト遠征で発⾒したロゼッタストーン

スパルタ4スキュタレ (Scytale)• スパルタの将軍達が使っていた現在知られる最古の暗号• ⽊の棒に細⻑い紙を巻きつけ，棒の⻑さ⽅向に⽂章を書く• 同じ太さの棒に巻きつければ⽂章が読める• 鍵は「棒の太さ」• ⽂字の順序を⼊れ替える転字式暗号• 現代でいうピタゴラ暗号棒 by Eテレ

5シーザー暗号(Caesar cipher)• 古代ローマの将軍ジュリアス・シーザーが使⽤した（と⾔われる）暗号• ⽂章の各⽂字をアルファベット順に何⽂字かずらしたものに変換する• 鍵は「ずらす⽂字数」
彼(カエサル)は、何か秘密にしたいこ• 各⽂字毎に変換する換字式暗号とがあれば暗号を⽤いてそれを記した。
その暗号とは、単語が意味をなさないようにするため、アルファベットの順番を変えることによって作られた。それを解読し、意味を知りたいのならば、
2001: A SPACE ODYSSEY
AをDにするように、アルファベットの順番で4番⽬に置き換える必要がある̶スエトニウス、『皇帝伝』 1章「ユリウス・カエサル」56より
6

Comuter HAL9000

The Dancing Men• 推理⼩説「シャーロック・ホームズ」• 1928年の作品に登場する暗号• 英字と⼈形が1対1に対応する換字式暗号• ⽂字や単語の出現頻度のばらつきを利⽤して容易に解読可能
1412.51

12

各⽂字の出現頻度

10
8

8.04
7.26

67.09

4.14

3.99
3.06
2.3

2

1.54

0
B

C

7D

E

F

G

2.71

2.52

1.96
0.16

A

6.54

6.12

5.49

4

9.25

7.6

H

I

2JK

1.92

1.73

0.99

0.67

0.19

0.11

L

M

NO

P

Q

RSTUV

W

X

0.09Y

Z

古典暗号はアルゴリズムを秘密にすることが前提

Morse code
• 1832年に電信⽤に考案• 頻繁に現れるʻＥʼやʻＴʼに⻑
い符号を，使⽤頻度の低い
ʻＹʼやʻＺʼに⻑い符号を割り当てることで通信時間を短縮
データ圧縮は冗⻑な情報を削除
暗号は冗⻑な情報を隠ぺい

8

Samuel F. B. Morse (1791~1872)

0A
B
C
DE
F
G
H
I
JK
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z

5

1015

8.04
1.54
3.06
3.99
12.51
2.3
1.96
5.49
7.26
0.16
0.67
4.14
2.52
7.09
7.6
2
0.11
6.12
6.54
9.25
2.71
0.99
1.92
0.19
1.73
0.09

Yahooニュース2024/6/15配信より

紙と鉛筆から計算機への進化に貢献…。
第⼆次⼤戦中（1939-1945)
暗号解読に従事した
アラン・チューリング

第⼆次世界⼤戦でドイツ軍がEnigma使⽤
ギリシャ語で「謎」

9
機械式暗号機の傑作「Enigma」1918

エニグマの解読に使⽤された「Bombe」1938

チューリングらが開発した世界初のコンピュータ「Colossus」1944

弾道計算などに⽤いられた「ENIAC」1946
アメリカPenn Univ.

英国Bletchleyにあるコンピュータ博物館ではリビルドされた動くBombeが⾒れる
私は世界中のEnigma探しをしてきたBletchley, UKでは、Colossusもリビルドの試み
積極的に、現代にレガシーをつなげる教育が取り組まれている・⽇本の凄腕技術者ら⼀⻫退職の憂い（いのまた2030年問題）

ワイヤードロジック構成び真空管群

2020世界中が禍に巻き込まれ、本気のAIが襲来• 統計ベースの教師あり学習的機械学習モデルからGPT-4やPaLMなどの⼤規模⾔語モデル(LLM)が容易に利⽤できる環境が当たり前に• Signatureベースはもはや過去のもの• ディープフェイクが⼀線を超えはじめた• いかにもなフェイクだった時代はもう終わりに• ⾒破るには⼈間が持つレガシーな直感・違和感しかない• ハルシネーション(2023年頃から増加）リスク• Googleが公開した動画で、Chatbot Bardが、ジェイムズ・ウェッブ宇宙望遠鏡が太陽系外の惑星を初めて撮影したと報告• マイクロソフトBing AIのローンチデモでBingがGapの収益報告書を分析し、誤った事実要約を提供

AIは「いたちごっこ」の夢を⾒るのか？

• 防御(Defensive)に対してはかなりの知⾒を有しスキルを⾼めてきた⽇本• 最近のサイバー攻撃に対してはとことんやられる傾向• 悲しいかな起きてから体制づくり、予算措置、・・・• これはなぜか？
Microsoft Designer AIで作成• Bad hackers attack and engineers patch the holes. They are forever in acat‐and‐mouse game.
• 「攻撃者」そのものをすっかり忘れ、頭でっかちな「攻撃技術」ばかりに…
• ランサムが⾼性能だからではなく、攻撃者にとって単にカモにしやすいだけでは？

• 難しく考えてはいないか、レガシーに⽴ち返ってシンプルに• Ransome as a service、攻撃はビジネスの１つとも⾔える

オフェンシブセキュリティ• 本来の意味：攻撃的な⼿段を⽤いてサイバー攻撃者を特定し、かれらの活動を阻⽌・無効化すること• え？攻撃者になれってこと？？？？
• ではない、「攻撃者の⽬線」で防御(Defensive)を考えていこうよ• ようやく⽇の⽬を⾒始めた脅威モデリング• 私たちは真⾯⽬さ故に世界から遅れてしまった…。
• à⼤切なことは倫理観（技術では解決できない、簡単そうで簡単でない）• 経験していないことは本番でうまくいくわけがない• ⾼価なバックアップシステムを導⼊しているから安⼼！、ではなくリストアがうまくいくのかを定期的に動かして確認してるから安⼼！、に14• カオスエンジニアリング的なトラシューは怖くてできない（現⽤という名の拘束魔法）

研究世界でも「倫理観」が前提
誰のために?、何のために?、忘れてはならない• 実験のために収集した機微情報について• 個⼈特定可能な情報PII(Personally Identifiable Information)を含む機微情報の取扱いに配慮した事、及びその配慮をどのように実施したかについて明記• 実験の実施や論⽂公開によるnegativeな影響について• 新たな脆弱性や攻撃⼿法の発表、あるいは既存の脆弱性・対策の検証、実験実施や論⽂公開により関係者が被るであろう影響を忘れてならない• 例えば、関係するサービスやその提供事業者への負荷、あるいは攻撃誘発や提供者の名
誉⼜は信⽤を毀損など• 製品やサービス等の脆弱性を公表することは、事業者やベンダのみならず利⽤者にも危害を及ぼす可能性がある、ということ• 脆弱性公表に関して、事業者・ベンダに確認する⾏為が著者らにも不利益となり得る場
合、脆弱性情報届出制度等の活⽤なども考慮に情報処理学会コンピュータセキュリティ研究会(CSEC)
サイバーセキュリティ研究倫理に関するチェックリストが提供

話を少しもどそう：セキュリティ3⼤要素• 今や何も考えずに使っている「情報セキュリティ」という⾔葉•
機密性、完全性、可⽤性• Confidentiality , Integrity , Availability

でも最近
これはどうして？
16

最近関わった２つの事例から。
1. NTT⻄⽇本グループ会社情報漏洩事案
2. ⼤阪急性期・総合医療センターランサムウェア事案（時間があれば・・・）• 私が関わった調査委員会の⽴場もあるため、本講演では公開情報のみ触れさせていただくことを予めご了承くださいNTT⻄⽇本様グループ会社情報漏洩事案
どのように(技術的に）漏洩したのか、ではなく、なぜ漏洩したのか、を考えなければ解決にならないHow à Why へ

調査委員会として今後皆様に活かせることを意識して報告書を公開させていただきました
https://www.ntt-west.co.jp/news/2402/240229a.html

本事案概要• グループ⼦会社2社• ProCX社：コールセンタ業務、クライアントとの窓⼝等• BS社：データセンタ(コールセンタシステム：⾳声系・顧客データ等)を抱える主にそれらの運⽤・保守等• （2013年7⽉頃?から）BS社に派遣された運⽤保守業務従事者(派遣社員)の業務端末等からProCXが持つ複数クライアントの情報(顧客数928万件, クライアント数69)の不正持ち出しが疑われる事案• 当該社員は保守端末の管理者アカウントを利⽤して保守NW経由で不正持出、漏洩した状況が外部の第３者より発覚• 社内調査委員会が発⾜ 委員⻑：国⾕史郎弁護⼠、委員：畝本毅弁護⼠、飯島奈恵弁護⼠、いのまた• 慎重に調査を実施するため⾮公開で進められた…。

2013年…
• 2014年7⽉：当時ベネッセ⼦会社S社がDB開発・管理業務を受託した企業の委託社員により顧客情報が⽉1-2回程度名簿業者へ売却、当該社員が不正競争防⽌法違反にて逮捕された事件• 今ほど騒がれていない時代とはいえUSBストレージ制限を適切に実施していた、が、MTP(Media Tranfer Protocol)という⽳。かつアクセス監視やDB管理権限の緩さという不運の重なり• 当時まだまだ適切に実施していた組織も多くはなかったはず• 2014年11⽉：JIPDECによりPマークが取り消し• ベネッセはこの過ちを繰り返してならないと動きはとても速かった• 2014年10⽉：情報セキュリティ監視委員会が発⾜• 委員⻑：（初代）辻井重男先⽣、（現在）佐々⽊良⼀先⽣• 委員：上原哲太郎先⽣、湯淺墾道先⽣、いのまた• （アドバイザとして岡村久道先⽣、⻄本逸郎社⻑ほか）

外には出てこなかった話もたくさんある...
• 被害者の⽴場に⽴った動き• 500円の⾦券をばら撒いたことが世の中から叩かれることになったが、真摯な気持ちだ
ったからこそ• 迅速な検討と実装• 空港の⾝体検査で使うボディスキャナやフロアゾーニングなど国内でも稀有な対策を実施

ベネッセホールディング社HPより• 何といっても次なる被害を出してはならないという全社⼀丸となった意識改⾰
21

忘れ去られた事件といつまで経っても消えない事件• なぜベネッセ事件だけ世の中から消えないのか• そこを考えてほしい• そして忘れないでほしい• 何もやっていなかった

情報のTTL(Time To Live)• では済まされない• 何も⾔い返せない• セキュリティ事故は他⼈事ではない
22

HowからWhyへ
技術屋でなく組織視点に⽬線を移そう• 深刻な状況の重なり• エクスポートログの改変、虚偽の回答• 幹部としてリーダーシップ役割の⽋如• 限定された調査担当者、情報共有不⾜、危機意識と対処能⼒• ⼤事になることを恐れての親元へのエスカレーション⽋如• 問題点• お客様との契約継続を最優先し、不都合な事実の取り繕い• 情報セキュリティ管理体制の⽋如• 委託元・委託先という切り分けの曖昧さ・責任分界点• 結果• 後⼿後⼿にまわる調査と遅れた報告• ßごめんなさい、いのまたも怒りました。今やることは顔⾊を窺うことでないではないよね• ßお客様そして漏洩された⽅々、だけでなく何も知らされていない社員も不遇• 意識変⾰とスピード向上

サイバー攻撃は技術屋を喜ばす話では決してない

ISMS取得しなさいではない

もう起きているかもしれない

⾯倒な点検表を作りなさいではないNTT⻄⽇本HPに掲載された調査概要より引⽤

わしゃ専⾨でないから知らんではない

組織のリスク管理とガバナンスを促進させるアイデア

NTT⻄⽇本HPに掲載された調査概要より引⽤

CSF：重要インフラ向けではあるものの業種や企業規模などに依存しないサイバーセキュリティ対策の指針
IIA 3Lines：組織のコントロールとリスク管理を⼗分に機能させることで企業価値につなげる組織体制のモデル

1st, 2nd, 3rd Linesモデルの適⽤と⾒直し• グループ会社が複雑に絡む体制における情報セキュリティとその運⽤・サポート⾯での実態把握ができない状況こそ、役割の線引きが⼤切• 第１線：事業に関わる業務部⾨• 第２線：組織のリスクマネジメントやポリシ作成など第１線のサポート• 第３線：第１線と第２線とは独⽴した⽴場で組織のリスク管理とガバナンスの有効性の評価・監査• 現実に起きていた問題点• 第１線部⾨の情報管理責任者の決裁結果を第２線部⾨がそのまま受け⼊れてしまう現実à不正確な点検結果を鵜呑みにする形骸化• 業務優先に偏る恐れのある第 1 線に対し独⽴かつ有効な牽制を⾏うはずの第 2 線に期待される役割が果たされにくい• 結果、第２線として果たすべき役割分担が明確でなくなり、両部の間に認識の相違• さらに⼈員リソース不⾜で第３線が役割をほぼ機能していない状況

セキュリティ⾔うだけは安し、理想と現実• 情報・システムを統括できる⼈不⾜à監査まで⼿が回らない• 管理者権限を持ち続けることに疑いをもつことすらなくなる現場• あの⼈ならば何でも知っている、かつ頼られる存在（現場は委託・派遣など関係ない）• 点検そのものの形骸化• なるべく○を増やそうとするバイアス• ⽬が痛くなるようなネ申excel項⽬の点検表こそ現場を疲弊させるだけ• 監査・点検からの保有リスク視える化• システムごとの責任者の明確化• 権限保有者数と保持期間の定期確認• 内部不正対策は、⼈を疑うことではない、⾒て（監査）もらっていることでお互いが安⼼できる⼟壌づくりàガーデニングの醍醐味• DX疲れ。やはり顔を合わせて話そうàzoom飲み会ホントに楽しかった?

レガシーはそんなに悪いもんじゃない
現場を幸せにする⼿段を考えていこう• 情報はたくさん持つ⽅が強い、というシガラミ• 使わない紙はゴミ箱に捨てられるけど、使わないデータは意外と削除できない• バックアップはRAIDxだけが正義じゃない、遅いテープが助けてくれることも情報リスク28

ありがとうございました•サイバー攻撃は他⼈事ではない、⾃分たちの組織でもう起きている、ことを前提とした備えがとても⼤事、今あなたの周りに何⼈相談出来る⼈はいますか？
• ⽩浜シンポジウムではたくさん名刺交換して知り合い作りましょう29