巷ではハッキングやデータ流出が問題になっているが、とりあえずIT部門に任せておけばいい─。経営陣がそう考えている会社は「攻撃された際に抱えるリスクやコストが高い」と、イスラエルのサイバーセキュリティ企業「CyberGym（サイバージム）」のオフィール・ハソンCEOは語る。同社は今夏、東京に「サイバーアリーナ（訓練施設）」を開設。来日した
ハソンCEOに日本企業が抱えるサイバーセキュリティ上の課題について聞いた。
──サイバーセキュリティにおける日本企業の課題とは何でしょうか。
サイバーセキュリティへの考え方と現実に乖離があることがわかってきました。セキュリティ製品ばかりが注目されていますが、ハッカーが多彩な手法を使って侵入を試みようとする点を見落としがちです。その中にはソーシャルエンジニアリング（心理的な隙や行動のミスに付け込む手法）やソーシャルメディアを使った手口があります。
例えば、ツイッターやフェイスブックから社員のプロフィールや趣味などの個人情報を収集し、「ATP攻撃（特定の対象に対して結果を得るまで持続的に攻撃するハッキング）」をしつこく繰り返します。単純ですが効果的です。ハッキングとはツールを使った攻撃と、ソーシャルエンジニアリングを組み合わせたものなのです。
──ハッカーが企業を攻撃する際によく使う手口とは？
ここ数年、CEOやCFOなどの幹部レベルを狙った攻撃が増えています。ITに精通した社員を避け、サイバーセキュリティに疎い経営陣を目標とすることが多いのです。仮に私がハッカーで、役員クラスのパソコンに侵入できたなら、その役員が誤った経営判断を下すようにメールなどで誘導することも可能でしょう。社内に混乱をもたらすことができます。
──そのような状況を防ぐために企業はどのようにすればよいのでしょうか。
こうした危機に対して、サイバージムでは集団で立ち向かうように勧めています。社員一人で対処することは不可能です。そして、まずは問題を封じること。そこで初めて、攻撃や被害を検証する「フォレンジック調査」へ移ります。これは企業が滞りなくビジネスを続けるためであり、また“次の攻撃”に備える目的もあります。
──攻撃が続くことを想定するべきだと。
洗練された攻撃の場合は第2波、第3波と攻撃が続きます。その理由は2つ。まずハッカー側の心理として、せっかく侵入に成功したのだから、ツールを最大限に利用したいはず。次に、競争心が強いハッカーは阻止されると、意地でも侵入したくなるからです。昨年、世界的に起きた「ランサムウェア攻撃（感染した端末を使えないようにし、被害者に身代金を要求するマルウェア）」でもこうした特徴が見られました。
