セキュリティインシデントは企業のバランスシートに影響する - ファイア・アイが2016年のセキュリティ予測

ファイア・アイは12月21日、2016年のセキュリティ予測を発表した。記者説明会にはファイア・アイ 執行役副社長の岩間 優仁氏が登壇し、詳細な説明を行った。

予測の多くはここのところ、盛んに言われている「経営と情報セキュリティ」に関するもの。会社が保有する個人情報や重要情報が漏えいし、それが報道されることで会社の信用が低下し、回復するための費用も大きくかかってしまう。つまり、インシデントが発生することによってバランスシートに影響を与えかねないという。

このため、情報セキュリティはIT部門だけが関わるものではなく、「CISO(Chief Information Security Officer:最高情報責任者)を通じて経営課題として検討しなければならない」という経営リスクになりつつある。一方で、CISOやIT部門がただ存在するだけでなく、彼らの説明能力やIT部門が「どれほどの事態になったら、経営層に対してどのようにわかりやすく情報を説明するか」といったことを事前に検討する必要があるとしている。

また、セキュリティ関連の人材不足から、自社で人員を抱える事ができず、必然的に専門家に頼ることになるため、Security as a Serviceのニーズが高まるという。特に日本ではセキュリティ人材の不足が取り沙汰されており、2020年の一大イベントも控えているため、大きな問題になるとのことだ。

当初に指摘したインシデント関連の問題としては、「サイバー保険」がある。この保険に加入することで、インシデント発生時の追加負担を抑えられるようになる。単に復旧費用だけでなく、顧客や広報対策費用や裁判のための証拠集めの費用などがかさむため、保険の認知度は上がりつつあるという。

さらに、最近多いM&Aとセキュリティ侵害にも話は及んだ。M&Aは相手が抱える知財を取得する手段として有効だが、重要知財が流出していれば価値が落ちる。このため、買収前に対象会社のセキュリティ状況を確認する必要性を説いていた。

○攻撃手法が"移り変わり"?

具体的な攻撃の話では"パターン"が変わりつつあるという。比較的セキュリティレベルが高いとされるiOS/OS Xデバイスも、シェアが高まってきたことや、「(重要情報を持っている)エグゼクティブが使っている」ことで攻撃の対象になりつつある。さらに、IoT機器の普及が進みつつある現状だが、現在のIoT機器は"非統一な開発下"にあることから、セキュリティ上の危険性があるという。一方で、セキュリティが担保された統一環境を用意する動きもあることから、「杞憂に終わるかもしれない」という観測も示している。

また、「クラウド時代」というキーワードを引き合いに出し、攻撃グループが1カ所に集まって攻撃用機材を用意していた過去とは異なり、ソーシャルメディアを使ってチームを地理的に分散し、攻撃機材も盗んだVM管理キーを悪用してパブリッククラウドサービスを使う可能性もあると指摘していた。