P1

サイバーリスクへの対処
その対策は、どこまで有効なのか
高 元伸
ヤフー株式会社 リスクマネジメント室

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P2

攻撃者の視点

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

Before Cyberspace
計算機能の向上と計算機の普及

画像提供:Aflo※投影資料を参照ください
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P3

江戸時代のサイバー犯罪※投影資料を参照ください

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P4

Cybercrime
技術進歩と共に急速に高度化多様化

画像提供:Aflo※投影資料を参照ください
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P5急速な進化の要因

P6

処理能力向上
小型化

低価格化

通信高速化

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

次世代テクノロジーにも新たな犯罪手口

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P7明確な意思P8

人が意思を持って実行している
発生は確率ではない
誰が何を狙うかという目的で選択される

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

犯罪目的の変化

P9

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

攻撃者

P10

出典：Hacking News

オンライン犯罪者

ハクティビストテロリスト

出典：The Guardian

悪意をもった内部関係者

国家

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

攻撃目的

画像提供:Aflo

経済的利益
政治思想

画像提供:AfloP11

諜報活動

画像提供:Aflo

軍事

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

模倣犯

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P12裾野の広がりP13

国境を越えたリモートの攻撃
匿名性・攻撃コスト・複数同時攻撃
海外経由により法律が異なる

IT知識が乏しくても攻撃が可能
ダークウェブ（Dark Web）の発達
攻撃ツールが容易に手に入る
攻撃対象のアカウント情報・カード情報・認証情報の売買攻撃代行を安価で引き受ける

罪悪感の希薄画像提供:Aflo

被害者が直接見えない
仮想空間のデータ処理

模倣犯の増加気軽に安易な理由で攻撃者となる
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

犯罪エコシステム

P14

攻撃の分業化が進んでいる
攻撃者は闇サイトで繋がる
犯罪エコシステムの発達※エコシステム もともとは生態系という意味
そこから転じて複数の組織がある目的でパートナーシップを組み、互いの技術・資本を生かしながら共存共栄していく仕組み

犯罪の産業化も進む組織で役割分担・階層化
大量処理で効率化
一網打尽が困難
画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

攻撃者は常に知恵を絞る

P15

自然災害やシステム障害とは異なる想定外の手法を意図的に選択してくる
マーフィーの法則…ではない
ルールと運用のギャップが狙われる
攻撃は組織的に行われる対抗する企業も総合力が問われる
技術力の評価競技ではない
ルール無視、時間制限なしの戦い
画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

攻撃は常に進化する

P16

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

攻撃者は規制ルールを順守しない

P17

奪いやすいところから奪っていく
想定外の手法を意図的に選択してくる
ルールと運用のギャップが狙われる心理の隙を突いてくる

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

正面から攻撃されるとは限らない

P18

セキュリティレベル
＝最も弱いところ

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

認識しにくい被害

P19

痕跡が残らない
物理的変化がない
直接被害がない
画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

防御側の厳しい現実

P20

攻撃者は 利己的で強い目的意識をもっている攻撃者は 豊富な経験を積んでいる攻撃者は 情報を素早く共有する
攻撃者は IT環境を駆使する
攻撃者は 急速に増加している
防御側は セキュリティが本業ではない
防御側は 経験が少ない
防御側は 共有情報が少ない
防御側は IT投資に制約がある
防御側は インセンティブを得にくい

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P21

守りの視点

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

全ての企業が最前線P22

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

次の相手は常に未知の強敵

P23

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

事業目標は見えやすくリスクは見えにくい

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P24どうする？

P25

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

企業が為すべき対応

P26

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

社会的責任画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P27

事業継続

P28

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

二次被害防止

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P29

Mission

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P30

なぜサイバー対策をするのか

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P31

緊急時の対応ポリシー

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P32

事例：サンフランシスコ市交通局（SFMTA） P33

画像提供:Aflo※投影資料を参照ください
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

事例：米ロサンゼルス病院

画像提供:Aflo※投影資料を参照ください
Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P34

正解はひとつではない

P35

画像提供:Pixabay

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

企業としての障壁

P36

経営資源は無尽蔵ではない

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

ダメージコントロール

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P37

完全勝利を前提にしないP38

完封勝ちを目指さない

エラーは なるべく しない
ファインプレーを期待しない点を取られても試合には勝つ

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

社会からどう見られるか何のための事業か

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P39

企業はなぜ潰れる

P40

インシデントにより潰れるのではない
対応の結果、信頼を失うことにより潰れる

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

平時の備え画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P41

装備以上に心構え

There is no sliver bullet.
銀の弾丸などない

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P42

テクノロジーによる防衛限界

P43

かつて有効であった防御は攻撃手法の転換により破られる

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

技術は使い方次第※投影資料を参照ください

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P44

Cybercrimeの歴史はまだ80年
人の一生分の時間で急激に変化※投影資料を参照ください

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P45

サイバージェネレーションのギャップ

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P46

変化はますます激化

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P47

決断と行動Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P48

何が致命的なのか

P49

重要情報資産はどのように守られているか

画像提供:AfloCopyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

相手の意図を見極める

Skat
Koenig Dame
Bube

P50

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

Red Team によるシミュレーション

P51

敵対した役割・視点を持つチームで仮想攻撃を行い課題点を確認する

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

認知の重要性P52

彼を知り己を知れば百戦殆（あやう）からず
彼を知らずして己を知れば一勝一負す
彼を知らず己を知らざれば戦う毎に必ず殆しCopyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

抑止・予防だけではない

P53

早期検知・早期報告

画像提供:Aflo

脅威抑制・発生予防

画像提供:Aflo

画像提供:Aflo

影響最小化・二次被害防止

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

運用精度を上げる

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P54

攻撃コストを上げる

P55

個々の対策は簡易でも突破に手間がかかる
検知の機会を増やす
攻撃側も費用対効果

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

情報収集

画像提供:Pixabay.com

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P56

Intelligence

EU一般データ保護規則（GDPR）

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P57

脅威は技術だけではない

ソーシャルエンジニアリング
人間の心理的な隙や行動のミスにつけ込んで相手が持つ情報を不正に入手する

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P58

対策も技術部門だけではない

画像提供:Pixabay

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P59

初動対応の整備

インシデントレスポンスチーム
広報・CS・法務
経営層
システム担当者
サービス責任者
監視運用
人事・総務

発生検知

被害拡大防止判断と初動対応

影響範囲特定エスカレーション

原因分析

緊急事態宣言対応方針決定

画像提供:Pixabay.com

再発防止対策チーム※認知と行動開始

初期対応

異常検知

P60

事態収拾
情報開示
顧客対応
再発防止

顧客フォロー
課題振り返り
効果確認

対応人員補給入替

各フェイズで時間軸、中心となる人員が異なる
事故発生回避以上に二次被害発生回避
顧客対応の方針で対応に対する評価は大きく変わる

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

リスクマネジメントの必要性

P61

画像提供:Aflo

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.

P62

ご清聴ありがとうございました

Copyright (C) 2020 Yahoo Japan Corporation. All Rights Reserved.