TLP:GREEN

企業利益を守るためのサイバーインテリジェンス
2021年 12月

名和 利男

概要
昨今のサイバー攻撃や内部犯行に立ち向かうには、経営層自らが、「網羅的な状況認識」と「客観的かつ合理的な意思決定」を伴った対策を講じなければなりません。
しかし、現実的には、特定の領域に特化した部門に対策を任せてしまい、部分最適な状態に陥っています。
これを改善するには、徹底的に現実を直視することが最善策となります。

皮肉なことに、深刻な被害を経験した企業の経営層が、この重要性を強く認識し、自らが「サイバーインテリジェンス」を強化しています。
© 2021 TOSHIO NAWA

TLP:GREEN2

問題意識
日本

他の主要国

ネガティブ・インセンティブ

ネガティブ・インセンティブ（コストとなる）（不利益を生む）（コストとなる）（不利益を生む）

対策の要求

要請、指導対策の要求

要請、指導

国家サイバー
セキュリティ機関

ポジティブ・インセンティブ
外部影響を伴うセキュリティ
インシデント（コスト軽減になる）

情報等の提供ポジティブ・インセンティブ

外部影響を伴う
セキュリティ
インシデント（早期解決を促す）

技術的支援© 2021 TOSHIO NAWA

TLP:GREEN

3

日本型組織の二重構造 – ほぼすべての意思決定プロセスが遅い
日本型組織は、依然として「表面的な組織構造」と「内面的な組織構造」の2つが共存している。

表面的な組織構造

内面的な組織構造• ピラミッド型の階層化された権限• 同じ階層における社員間の非公式なやり取り• トップダウン型の上意下達• 横並び意識と同調圧力の場の空気• 規律やルールによるガバナンス（統制）• 上位階層への忖度と隣接領域への根回し

昭和時代の高度経済成長時代における製造産業に最適であった内面的な組織構造といえる。
安定かつ高品質な製品や商品を生産するには、全員が一つの目標に向けた行動が求められ、尖った個性は邪魔になりやすい。
© 2021 TOSHIO NAWA

TLP:GREEN

4日本型組織の状況認識不足 – 深刻なまでに酷い

不十分な状況認識

適切な状況認識

サイバー攻撃によるインシデント
で、事業停止・営業機会の損失が加重© 2021 TOSHIO NAWA

TLP:GREEN

自組織の環境と想定するサイバー攻撃に適応したサイバーセキュリ
ティ対策(発生回避、拡大抑止、迅速対処、早期回復)により、事業停止・営業機会損失を軽減

5

米国企業でも「不十分な状況認識」で甚大な被害が発生 – Twitter Hack
2020年7月15日、17歳のハッカーとその共犯者がTwitterのネットワークに侵入し、知名度の高いユーザーに割り当てられた数十個のTwitterアカウントを掌握しました。

ハッカーたちは、数時間にわたり、著名人のアカウン
トを次々と奪い取り、「ビットコインを2倍にする」という詐欺をツイートするなど、公開サイバー攻撃を行い、世界中が注目しました。
ハッカーたちは、バラク・オバマ、キム・カーダシアン・ウェスト、ジェフ・ベゾス、イーロン・マスクなどの政治家、著名人、起業家のTwitterアカウントや、ニューヨー
ク州金融サービス局が規制する複数の暗号通貨会社のTwitterアカウントを乗っ取りました。

そして、数時間の間、Twitter社はこのハッキングを止めることができなかったようです。
https://www.dfs.ny.gov/Twitter_Report© 2021 TOSHIO NAWA

6

Twitter社のサイバーセキュリティの弱点に起因したハッキング (1/3)
Twitter社のハッキング事件（以下、Twitter Hack）は、素朴なサイバー犯罪者であっても、多大な被害をもたらすことができるということを示す教訓的な物語です。ハッカーが成功したのは、Twitter社の内部のサイバーセキュリティプロトコルの脆弱性が大きな要因となっています。
問題は上層部から始まっていました。Twitter社は、ツイッターハックの7カ月前の2019年12月以降、最高情報セキュリティ責任者（以下、CISO）を置いていませんでした。強力なリーダーシップとシニアレベルの関与の欠如は、サイバーセキュリティの弱点の共通の原因となります。 強力なリーダーシップは、COVID-19のパンデミックによってITとサイバーセキュリティに多くの新しい課題が生じた2020年には特に必要です。
多くの組織と同様に、Twitter社も3月にパンデミックの影響でリモートワークに移行しました。この移行により、Twitter社はサイバー攻撃を受けやすくなり、既存の弱点がさらに悪化しました。
© 2021 TOSHIO NAWA

https://www.dfs.ny.gov/Twitter_Report7

Twitter社のサイバーセキュリティの弱点に起因したハッキング (2/3)
ハッカーは、Twitterのリモートワークへの移行を直接利用しました。この問題を利用して、ハッカーは、VPNの問題についてTwitterのIT部門から電話がかかってきたように装い、実際のVPNログイン・サイトと同じようにデザインされたウェブサイトに認証情報を入力するように従業員を説得しました。なぜなら、Twitter社の従業員は皆、VPN接続を利用して仕事をしており、IT部門の支援を必要とするようなVPNの問題を日常的に経験していたため、ハッカーたちの主張ははるかに信頼性が高く、最終的に成功しました。
ハッカーたちは、ソーシャル・エンジニアリングというシンプルな手法でTwitter社に侵入しました。ソーシャ
ル・エンジニアリングとは、人を騙して機密情報や個人情報を聞き出し、それを後になって不正な目的に利用することです。最もよく知られているソーシャル・エンジニアリング攻撃は、フィッシングと呼ばれるもので、受信者を騙して悪意のある添付ファイルを開かせたり、ユーザー名やパスワードを入力させたりするものです。今回のハッカーは、電話でソーシャルエンジニアリングを行う「ビッシング」を利用しました。フィッシングとビッシングは、ハッカーがネットワークへのアクセスを得るために用いる最も一般的な手法のひとつです。例えば、2020年1月から7月の間に、同省に提出された重大なサイバーセキュリティインシデントの通知のうち、約3分の1がフィッシングやビッシングを利用したものでした。
また、ハッカーたちは、自分たちの欺瞞の信憑性を高めるために、Twitter社とその従業員に関する基本的な情報に依存していました。ハッカーたちは、TwitterのIT部門になりすますために、Twitterの従業員の基本的な機能や肩書きを特定する調査を行っていたようです。これらの個人情報で武装したハッカーは、複数のTwitter社員に自分がTwitterのIT部門の人間であると信じ込ませ、認証情報を盗むことに成功しました© 2021 TOSHIO NAWA

8

Twitter社のサイバーセキュリティの弱点に起因したハッキング (3/3)
今年の初めには、パンデミックによって生じた新たなセキュリティリスクを特定して評価するよう、規制対象の企業にガイダンスを発行し、他の公的・民間の情報源からも同様のアラートが出されました。

注目すべきは、Twitter社が2020年3月以降、遠隔地にいる従業員に対するこのリスクの高まりを緩和するための重要な代償措置を実施しなかったため、ハッカーたちがそれを利用したということです。
Twitter社の功績として、Twitter社は今後同様の攻撃を防ぐために、MFA（多要素認証）の改善やサイバーセキュリティ意識の向上のための追加トレーニングなど、追加のセキュリティ管理を実施中であることを同省に通知しており、2020年9月下旬には新しいCISOの採用を発表しました。
しかし、Twitter Hackの結果は、Twitterや他のソーシャルメディア企業が、サイバーインシデントを経験した後ではなく、その前に強固なコントロールを導入することが重要である理由を示しています© 2021 TOSHIO NAWA

9

Twitter Hack の発生を許したTwitter社の「状況認識不足」• 持続的な「強固なリーダーシップ」と「シニアレベルの関与」の重要性• CISOの採用や設置は、一つの手段にしか過ぎない。実務能力や行動力がないCISOはいないと同じ• COVID-19パンデミック時のリモートワーク移行に関連した「規制当局からのガイダンス」や「さまざまなセキュリティ関連組織からのアラート」の準拠の必要性• 特にセキュリティリスクを特定して評価することの重要性に対する認識• 2020年1月から増大しているビッシング（Vishing）に対する警戒の必要性• ビッシング（Vishing）とは、連絡先として偽の電話番号を案内して電話をかけさせ、音声応答システム（IVR）を通じて個人情報を窃取しようとすること• 社員の個人データが犯罪者により取得されている可能が高くなっている状況理解• ソーシャルメディア等から、社員の自宅の住所、職場または個人の携帯電話番号、勤務先、職場または個人の従業員の名前などの個人データが第三者に取得されやすい

直近のサイバー脅威に適応した包括的セキュリティコントロールを喪失していた。
© 2021 TOSHIO NAWA

10

日本型組織が陥る「サイバー攻撃による利益損失」

過度なセキュリティ投資"サイバー攻撃*利益損失"
利益損失
不十分な
セキュリティ投資
消極的監視（低い状況認識）

訓練不足のインシデント対処(混乱)

事態対処・管理

事態進行(繰り返し)・
検知・調査・抑制

調査(繰り返し)・原因特定(一部)・復旧遅延・改善(見込み)

事業エラー

事業停滞

事業推進

インシデント
発生（認識：無）© 2021 TOSHIO NAWA

事態
発生
（認識：小）

消極的事態認知（認識：大）

TLP:GREEN

事態
収束

11

日本型組織が獲得すべき「組織的サイバーレジリエンス能力」"サイバー攻撃*利益損失"

利益損失

サイバー脅威に適応した
セキュリティ投資

積極的監視（高い状況認識）

よく訓練されたインシデント対処

(混乱)

事態
対処・管理

予兆管理・警戒

早期検知・調査・抑制

事態
進行

原因特定・
早期復旧

事業
エラー

事業停滞

事業推進

インシデント
発生（認識：小）© 2021 TOSHIO NAWA

積極的
事態 事態認知発生（認識：大）（認識：中）
TLP:GREEN

事業復元・再開

新たなサイバー脅威に適応した
セキュリティ投資

事業推進

事態
収束

12

日本型組織が獲得すべき「包括的サイバーリスクマネジメント」
古典的なサイバーセキュリティの焦点 包括的なサイバーリスク・マネジメントのアプローチ
ガバナンス
組織プロセスプロセス

コントロールコントロール資産資産人

人

データ

データ

サードパーティー© 2021 TOSHIO NAWA

TLP:GREEN

13

• 包括的➢ 読み方： ほうかつてき➢ 意味：

すべてをひっくるめて一つにまとめているさま（部分的ではなく、全ての要素を網羅していること）➢ 反意語： 個別的「ITセキュリティ部門」や「CSIRT」は、会社のすべての要素（施設、部門、社員など）を「ひっくるめて一つにまとめる」ことを可能にする権限と実務能力を有しているか？
© 2021 TOSHIO NAWA

他の（多忙な）役職と兼務している「CISO」
は、会社のすべての要素（施設、部門、社員など）を「ひっくるめて一つにまとめる」ことを可能にする知識・能力を有しているか？ また、業務品質を保てるリソースを確保できるか？
14日本型組織が獲得すべき「組織的対処（レスポンス）能力」
検知
人間組織／
単一分野

トリアージ

(Detect)(Triage)

認知判断

目・耳・鼻等 （感覚神経）（運動神経）

認知状況把握

検知
検知

情報伝達

検知

検知

状況
把握

認識

検知
検知

認識

検知

対処

意思決定

認識

検知

判断
合意

情報伝達

要請
調整

情報伝達

情報伝達

手・足等

対処
指示

情報伝達
CSIRT・管理者・経営層等

認識

検知
検知

判断
合意

動作
対処

意思決定

ユーザ・システム等

複数分野(Respond)

頭脳

認知対処行動対処

外部専門業者等
指示

対処

指示

対処

指示

対処

指示

対処

連
携

情報伝達

「人間の行動原理（認知⇒判断⇒動作）」をベースにして、「組織／単一分野」及び「複数分野」における各フェーズ（検知⇒意思決定⇒対処）で実施される行動 を特定した上で、それを実現可能にする能力スキルや知識体系等を獲得し、サイバー訓練を積み重ねて実施可能な状況にしておくこと。
© 2021 TOSHIO NAWA

TLP:GREEN

15

日本型組織の意思決定者が受け入れるべき状況のイメージ© 2021 TOSHIO NAWA

TLP:GREEN

16

本資料に関する連絡先

名和 利男 （NAWA Toshio）
SITE: https://www.nawa.to
PGP: 0xE38B4E01