しかも標的となりうるものは、DXによって今後さらに増えていく。企業は、どこから何が狙われるかをより早く予想し、その対策を組織の根幹である経営戦略にも盛り込む必要がある。
標的となるフィールドが広がれば、さらなる進化が求められるサイバーセキュリティ。PwCコンサルティング合同会社（以下、PwCコンサルティング）のサイバーインテリジェンス事業を牽引するプロフェッショナル、村上純一は言う。
「攻撃の矛先を予測するだけでは足りません。企業が能動的に意思決定し、自社にあったセキュリティ態勢を攻撃に先んじて構築する。そうすることで、これまではセキュリティリスクがあるからと二の足を踏んでいた事業や取り組みに、歩を進めることができます」
イノベーションを加速させ、企業成長のリミッターを外すPwCコンサルティングのサイバーインテリジェンス事業。その全貌に迫るとともに、長くこの業界に身を置く村上が見る、サイバーセキュリティの今、そして未来を紹介したい。
インターネットは今、人の“命”までもつないでいる
学生時代からサイバーセキュリティに興味があった村上は、セキュリティの世界に17年も身を置いてきた、文字通りスペシャルな存在である。1社目の業界大手のセキュリティサービスベンダーで全体像を学び、2社目の製品ベンダーには創業期に入社。研究開発を担い、自身の専門性と経験を深めていった。
結果として、転職先でIPOを経験した村上。年齢は30を超えていた。さらなる挑戦を望んだ彼は、PwCコンサルティングがセキュリティ領域を強化するため、経験あるエンジニアによるチームを作ろうとしていることを知り、入社を決めた。
これまで彼が専門としてきたのが外部脅威の領域だ。外からの攻撃を予測し、企業の機密情報を守る。安定的にサービスを提供し続けるため、サイバー攻撃に打撃を受けない組織体制を整える。
PwCコンサルティング入社後、村上が注力してきたのは、自動車に対するサイバーセキュリティのガイドライン策定。
ある研究者が「車をハッキングできる」ということを実証したことから、自動車業界が本格的にサイバーセキュリティ強化に踏み出した。
「車がハッキングされると、突然ブレーキ機能を停止させることもできるなど大きな事故を人為的に起こすことが可能になる。そういった危険を防ぐために、国が実証実験プロジェクトを立ち上げ、自動車業界各社やさまざまな研究機関とともにガイドライン作成に乗り出しました」
車、飛行機、医療機器、あらゆるものがインターネットにつながる時代。サイバー攻撃で、機密データはもちろん、人の生命さえ危険に脅かされることがあるのだ。そんなことが起きれば、社会や企業に与える影響は計り知れない。
「やみくもな防御や、攻撃を受けてからのレジリエンスの強化だけでは、人々や企業を危険から守ることはできないのです。誰が、何のために、どういった攻撃を仕掛けてくるのか。それを社会、政治、経済などマクロの視点で捉えなくてはならない時代がきています」
まるで棋戦のように、サイバーテロリストと戦う
村上は、この20年でサイバー攻撃の「脅威」が大きく変貌を遂げたと語る。
少し前なら、いたずら目的に企業のシステムに侵入し悪事を働くネットワーク犯罪者が多かった。彼らの行為は機密データを奪うなど、企業の重要システムをストップさせ、相手を困らせることが主な目的になっていた。
しかし現代において、サイバー攻撃を仕掛けてくるのは、個人ではなく組織。しかもインターネット上で結成された顔の見えない集団。狙うのは機密データに限らず、身代金目当ての犯行も増加しているのは昨今のニュースでも明らかだ。
「ネットワークを通じて同じ目的を持った者同士が集まり、組織化してサイバー攻撃を計画します。彼らはお互いに顔も知らない者同士。攻撃を仕掛け、金銭の授受を終えれば霧散していく。そういった脅威のエコシステムが、ネットワーク上にすでに生まれてしまっているのです」
さらに、愉快犯や経済犯だけではなく、国家レベルでのサイバー犯罪が活発化している。それに一企業で太刀打ちするのは至難の業だ。
いつ攻撃されても企業機能がストップしないよう、将棋やチェスのように数十手先まで読んだ戦略と戦術が必要だ。とはいえ、世界のどこからやってくるか分からない攻撃の矛先を予想することなどできるのだろうか。
「膨大なデータ、知見、技術があれば可能だ」と、村上は言う。
前述の車の例でいえば、現在の日本車の主な生産地、各国への輸出量などの膨大な情報を収集し、次に攻撃者が日本の技術や生産情報を知り得ることで何が可能なのかを、経済的、政治的、地理的視点などから総合的に分析すると、「どのような情報が、誰に、どのような技術をもって狙われ得るか」の脅威シナリオが見えてくる。
さらに、この脅威シナリオで、企業の経営戦略をどう立てていくか。PwCコンサルティングのサイバーインテリジェンスは、そこまで踏み込む。
「攻撃されてから、業界ガイドラインができてからといった後手の対応では、企業の成長にブレーキがかかってしまいます。企業が自らの意思をもってアクセルを踏むために、サイバーインテリジェンスは必要不可欠です」
サイバーセキュリティはコストと捉えられがちだ。しかし対策が万全なら、安心してイノベーションを加速させ、ビジネスを発展させることができる。サイバーインテリジェンスが提供する本当の価値が、ここにある。
私たちがサイバーインテリジェンスにおいて、トップクラスの理由
ニーズの高まりを受けて、サイバーインテリジェンスを提供する企業も多くなった。しかし情報を提示されても、企業がどう動けばよいのか分からなければ意味がない。
「クライアントにとって、実行に移せるインテリジェンスに変換することが私達の役目です」
データはあくまで事実を示すもの、材料でしかない。だが、PwCコンサルティングではそれをクライアントの目的に応じてインテリジェンスに転換し、能動的な施策の実行まで伴走する。さらには前述の通り、企業の経営戦略の立案にまで提言を行う。
クライアントの課題、経営状況を熟知するコンサルティングファームであることが大前提にあるとしても、なぜそんな高度なコンサルティングが叶うのだろうか。
大きな要因の一つは、同社が日本独自の情報収集・分析基盤を築いていることだ。
PwCコンサルティングは世界中のサイバー脅威情報のうち、日本向けの攻撃をモニタリングし分析するセンサーを開発。社会的な事件・事故に便乗した、通常では見つけられないような攻撃さえ捉えられるという。
情報基盤の開発を叶えたのは、PwCグローバルネットワークのメンバーファームによる知見、日本のエンジニアチームの技術力の高さ、だけではない。
状況に応じた速い決断力、新たな組織立ち上げとメンバー同士の連携を可能にする柔軟な組織風土。このスピード感と柔軟性は、急速に発展するサイバーインテリジェンス領域の武器といえる。
さらに業界屈指の社外有識者との連携が、PwCコンサルティングの提案の質を一段も二段も押し上げる。
「PwCコンサルティングのサイバーインテリジェンスは、深い企業理解、情報力、技術力、専門性を統合させて成り立っています」
より実行力の伴う提案が実現できるPwCコンサルティングが、サイバーインテリジェンスの領域において他社を凌駕する所以が明らかになった。
日本全体の、サイバーインテリジェンスの底上げに貢献する
未来を予測し先手を打って機先を制していくことが、企業にとって何より重要な時代になっている。国家レベルでも同様に、国として成長を続けるための目に見えない情報戦はすでに始まっているのだ。
欧米と比べて、サイバーインテリジェンスの領域において日本はまだまだ成熟しきれていない。PwCコンサルティングは日本全体のサイバーインテリジェンスの底上げに貢献したいと考えている。
「クライアントを支援することはもちろん、業界全体のセキュリティ強化を促す動きや、国家的なガイドラインの策定などにも今後も積極的に関わっていきたいです」
“社会における信頼を構築し、重要な課題を解決する”が組織のPurpose（存在意義）となっている同社らしい視座の高さだ。
DXが進み、サイバー攻撃の標的は増えるばかり。
PwCコンサルティングが見ているのは、世界を舞台にした、企業、国家を狙う外部脅威との戦い。そして、それに打ち勝つためのストーリーなのだろう。
