Close RECOMMEND

世界38カ国、800万人が愛読する経済誌の日本版


─「サイバーグリッド構想」では、トレーニングに加え、各サイバーアリーナを連携させ、情報の収集・発信を行うという。その狙いとは?

ハソン:重要なのは敵を知ること。攻撃の動機、それは個人情報やIP(知的財産)の獲得、システムに損害を与えて会社の評判を傷つける、などさまざまだ。

サイバー攻撃から自社のシステムや資産を守るソリューションは多数あるが、それは何もテクノロジーには限らない。実際、サイバー攻撃による被害の原因は95%以上が人的要因による。WannaCry(ワナクライ)やPETYA(ペトヤ)の例では、企業側が使っていたサイバー攻撃対策のテクノロジー自体に問題はなかった。担当者の対応が間違っていたわけでもない。

だが組織として対応する用意ができておらず、損害が大きくなった。攻撃を認識したときに取締役会でどのように意思決定するか、メディア対応をどうするかなど、準備が必要だ。ボクシングのように、日々のトレーニングやスパーリングは欠かせない。テクノロジーはサイバー攻撃の重要な一部だが、全部ではない。

─ハッカーは相手をどう攻撃するのか。

ハソン:ハッカーが企業をサイバー攻撃しようと思ったら、まずは企業の調査や、SNSを通じて意思決定者や技術者の略歴と特徴を調べるだろう。まず、彼らが何をしているかを学ぶことから始める。テクノロジーは調査した内容に基づき、攻撃する際の手段でしかない。

最初の重要なステップはテクノロジーではなく、人的要因。つまり、ファイアーウォールをハッキングすることではなく、ターゲットを取り巻く“ソーシャルエンジニアリング”なのだ。

─具体的に取るべき対策とは?

ハソン:ふつうの人には、ハッカーの思考回路は理解できない。ただ彼らの考え方に従って訓練を積むことは可能だ。

顧客はトレーニングを通じて、ハッカーが次に何を仕掛けてくるかを予測できるようになる。我々の顧客は、ワナクライやペトヤなどのサイバー攻撃では被害を受けていない。すべて組織として防御できている。

私たちはサイバー攻撃の発生後、72時間以内に実際のコードを解析し、トレーニングメニューを用意する。だから顧客は何をすべきか分かるのだ。

─サイバーグリッド構想は、それを世界レベルに広げたものなのか。

ハソン:サイバーグリッドを通じて世界中のタイムゾーンでの情報アクセスを可能にすることで、レスポンス時間の短縮に努めている。そのため、日本にもトレーニング施設を開設する予定だ。イスラエルの経験を生かし、日本市場に我々のソリューションを提供する。

損害の要因となる人的要因を最小化するためには、人材のトレーニングが最も効果的だ。ROI(投資利益率)を考えても、サイバー攻撃による実際の被害への対応をしたり、防御プロダクトを導入することのみで準備したりするより、人材を訓練した方が投資効率はよい。

最近、ニュアンスという会社がサイバー攻撃で、1億500万ドルの被害を受けた。我々のトレーニングはそんなにはかからない。トレーニングはコストではなく、投資と考えるべきなのだ。


オフィール・ハソン◎イスラエルのサイバーセキュリティ企業「CyberGym」の共同創業者兼CEO。イスラエル国防軍のサイバー攻撃・防御の精鋭部隊である8200部隊出身。イスラエル政府NISA(National InformationSecurity Authority)で経験を積みサイバーセキュリティ関連の会社を2度起業した後、2013年にイスラエル電力公社とCyberGymを創業した。

文=石原紀彦

PICK UP

あなたにおすすめ

合わせて読みたい