It hasn’t taken long for Snowflake's reputation to come crashing down – and the $2 billion cloud storage provider probably doesn’t completely deserve it.
5月下旬に発生したセキュリティ侵害について、同社と脅威インテリジェンス企業のマンディアントは、金銭目的のグループ「 UNC5537 」によるものと指摘していますが、この事件は今年最大規模のものとなる可能性があります。 これまでに少なくとも 165 社が被害に遭っており、そのリストには今もなお新たな企業名が追加され続けています。 攻撃を受けたことを公表した主な企業としては、 、Advance Auto Parts、 、AT&T、 、Pure Storage、 、Santander Bank、および 、Ticketmaster が挙げられます。 その後、 に関する一連の訴訟 や、 政府による調査 が続きました。
Snowflakeおよびセキュリティの専門家によると、この活動がSnowflakeの製品やインフラストラクチャの脆弱性、設定ミス、あるいはセキュリティ侵害によって引き起こされたことを示唆する証拠はなかったとのことです。 その代わりに、ハッカーたちは、元スノーフレークの従業員または契約業者（情報によって異なります）から流出した認証情報を利用して、スノーフレークの顧客を標的にしたとみられています。 しかし、 UNC5537 がこれほど多くのアカウントを乗っ取ることができた主な理由は、それらの顧客がの多要素認証（MFA）を有効にしていなかったためです。
のMFAは、必ずしもで報じられているほどの期待に応えているとは限りませんが、SnowflakeやMandiantをはじめとするセキュリティの専門家たちは、影響を受けた顧客がこれを導入していれば、おそらく侵害されることはなかっただろうと述べています。 したがって、今回の情報漏洩から得られる大きな教訓の一つは、いかなる犠牲を払ってでも多要素認証（MFA）を導入することです。 しかし、それだけではありません。
この出来事から、経営幹部やITリーダーが学ぶべき5つの重要な教訓は以下の通りです：
1. 責任の分担：すべてがSnowflakeの責任というわけではありません
データをクラウドに保存しているからといって、Snowflake――あるいは のクラウド プロバイダー――が、関連するセキュリティのすべてを処理してくれると期待すべきではありません。 もちろん、彼らはお客様のデータを保管しているシステムを保護し、そのデータを暗号化した状態で管理しなければなりません。 しかし、誰がアクセスできるかを監視するという自分の役割を果たさないのであれば、それはご自身の責任となります。
リーバイス・ストラウスの元CISOであるスティーブ・ザレフスキー氏は、次のように説明しています。「家を購入すると、玄関のドアには鍵が付いています。」 その鍵をお渡しいたします。 「ただし、何部作るか、さらにその上にデッドボルトを取り付けるかどうかは、あなた次第です。」 つまり、Snowflakeはデータを保存する場所を提供し、その場所のセキュリティを確保しましたが、そのデータへのアクセス方法を管理するのは、お客様ご自身に委ねられています。 多要素認証（MFA）を有効にしない場合や、安全なアクセス制御を実施しない場合は、セキュリティ上の脆弱性を残すことになります。
「家を買うと、玄関のドアには鍵がかかっています。」 その鍵をお渡しいたします。 ただし、何部作るか、さらにその上にデッドボルトを取り付けるかどうかは、ご自身で決めていただくことになります。”スティーブ・ザレフスキー氏（元CISO、リーバイス・ストラウス）
とはいえ、スノーフレークはもっとうまくやれたはずです。不動産の例えをさらに広げると、不動産業者や融資機関は、住宅購入者に対して、その住宅や近隣環境において不利益をもたらす可能性のある事項について注意を促すパンフレットや開示書類を、法律上提供することが義務付けられています。 同様に、広報上の圧力が高まる中、Snowflakeは速やかに、特にSnowflakeの特権アカウントについて、顧客に対し「多要素認証などの高度なセキュリティ対策」やネットワークポリシーの「導入」を義務付ける計画を策定すると発表しました。
[関連記事：御社の企業は「サイバーレジリエンス」を備えていますか？] おそらくそうではないでしょう。 【取締役会がスコアカードを用いて、新たな脅威への適応力をどのように評価したか】
教訓： Snowflakeに強制されるまで、自分の役割を果たすのを待ってはいけません。 直ちに多要素認証（MFA）の導入を開始し、その導入がビジネス上およびIT上の正当な理由に基づくものであることを、チーム全体に周知徹底してください。
2。 IAMは、Snowflakeのお客様にとって新たな頼れる味方です（そして、皆様にとってもそうあるべきです）
アイデンティティおよびアクセス管理（IAM） は、単なる流行語ではなく、お客様の第一の防衛線なのです。 Snowflakeの情報漏洩事件における最大の要因の一つは、IAMの管理体制の不備でした。 端的に言えば、企業は誰が何にアクセスできるかを適切に管理しておらず、それが結果として自社の足元をすくうことになってしまったのです。
「多要素認証などの高度なセキュリティ対策を導入してください。」Snowflakeが顧客に提供したアドバイスですが、残念ながら、その発表は遅すぎました
SANSテクノロジーインスティテュートの研究担当学部長であるヨハネス・ウルリッヒ氏は、「データに対して十分な管理措置が講じられていることを確認してください……これには、MFA（多要素認証）や、 フィッシングに対する耐性のある認証などが含まれます」と述べています。 つまり、安っぽいユーザー名と「 」というパスワード、そして「 」という組み合わせに頼ってはいけない、と彼は言います。 MFAは、単に「あれば便利なもの」というだけでなく、必須のものです。 ハッカーの手口はますます巧妙になっていますが、その追加のセキュリティ対策が依然として彼らを思いとどまらせています。
教訓： MFAは誰にでも開かれています。 例外はありません。 無料体験期間が終了した際、Netflixのアカウントよりも厳重にアクセス制御が施されていることを確認してください。
3。 ゼロトラストは偏執的な考えではありません――それは生き残るための手段なのです
のゼロトラスト（ ）については、すでにご存知でしょうし、すでに導入済みだと思います。 もしご存じない方のために申し上げますと、このサイバーセキュリティに対する戦略的アプローチは、基本的に「第一段階のネットワークアクセス権が与えられた後であっても、その正体が確認されるまでは、誰であれ何であれ信用してはならない」というものです。
許可なく、いかなる人物や機械も立ち入ることはできません。 ユーザーは、その役職や役割によって必要とされている場合にのみ、ネットワークリソースにアクセスできます。 これは、大手インターネット企業の物理的なセキュリティシステムとよく似ています。 CEOでさえ、極めて機密性の高い技術情報が保管されている部屋には立ち入ることができません。最高経営責任者は、本当に立ち入る必要がある部屋にのみ立ち入ることが許可されています。
Such approaches might seem extreme and difficult to enforce, but with breaches costing global businesses an average of $4.5 million per incident, according to a recent IBM-Ponemon Institute study, you can’t afford to bypass the common sense of zero trust.
[関連記事：ゼロトラスト環境の構築をお考えですか？ 賢明な判断――アクセス制御が極めて重要である理由はこちらです]
ゼロトラストとは、機能を一切使えなくなるほどすべてを厳重に制限することではありません。それは、継続的な検証を行い、あらゆる段階でユーザーやデバイスが本人であることを確認することを意味します。
教訓： 時代の流れに乗ってください。 ゼロトラストの原則を導入し、すべてのアクセス要求に対して、疑いの目を向け、認証の確認を行うようにします。
4。 テスト、テスト、そしてまたテスト
テストもせずに新製品を発売する人は誰もいません。それならば、なぜセキュリティシステムを定期的にテストせずに導入する人がいるのでしょうか？ そこで、侵入テスト（ペンテスト）や攻撃対象領域の監視が重要になってきます。
「大企業であっても、社内の担当者とは異なる視点から外部の組織にセキュリティ態勢を検証してもらうことは重要である場合があります。」SANSテクノロジー研究所の研究担当学部長、ヨハネス・ウルリッヒ氏
これらは、皆様の予算を搾り取るような詐欺ではありません。 これらは、 のセキュリティ運用（SecOps） の装備において、最先端の武器と言えます。 サイバー攻撃を模擬するために雇われるペネトレーションテスターのほとんど―― 倫理的ハッカー ――は完全に正当な活動を行っており、その多くは、米国、イスラエル、およびサイバーセキュリティ意識の高いその他の国の軍 や情報機関のために、この種の業務に従事してきました。 また、身元確認やアクセス制御を検証し、悪意のある攻撃者を確実に排除できているかを確認することもできます。 たとえ調査の結果、重大な問題が見つからなかったとしても、その安心感がある方が、深刻な の脆弱性 が利用されるのを待っていることに気づかない、あるいはその存在を知らないままにしておくよりはましです。そのような脆弱性が悪用されれば、多大な時間と費用、さらには評判の失墜を招く恐れがあります。
「大企業であっても、社内の担当者とは異なる視点から、外部の組織に自社のセキュリティ態勢を検証してもらうことは重要である」と、ウルリッヒ氏は述べています。 企業は、自社の社内チームを少し過信しがちです。 自社のセキュリティ体制を第三者の視点から客観的に見てもらうことは、医学的な診断についてセカンドオピニオンを求めるようなものです。 それは「現実的」というものであって、「偏執的」というわけではありません。
教訓： 頻繁なペネトレーションテストは、セキュリティのストレステストとなります。 手遅れになる前に、専門家に依頼して不具合を見つけ出しましょう。
5。 混乱を収拾する準備をしておきましょう（なぜなら、次なる「Snowflake」のような情報漏洩事件 が 発生するからです）
たとえ最高のセキュリティ対策を講じていたとしても、情報漏洩が発生することはほぼ避けられないと言えます。 これについては以前にもお聞きになったことがあるかと思いますが、何度繰り返しても足りないほど重要なことです。「 」ではなく、 「」なのです。 そして、その日が来たとき、あなたがどう対応するかによって、評判が左右されることになります。
ウルリッヒ氏とザレフスキ氏は、 による堅実なインシデント対応計画 を策定することが不可欠であるという点で意見が一致しています。
「データがどこにあるかを把握しておくこと」と、ウルリッヒ氏はアドバイスしています。 「単純なことのように聞こえるかもしれませんが」と彼は言います。「しかし、セキュリティ侵害が発生した場合、 重要なデータがどこにあるか ――そして誰がそれにアクセスできるか――を把握しておけば、貴重な時間を節約できるのです。」 ザレフスキ氏はさらに、企業は対応策についてチームを積極的に訓練しなければならないと付け加えています。「セキュリティは 皆の責任です。」
[関連記事：「CISOの成功事例」シリーズでは、ロサンゼルス郡が職員をどのように研修（および再研修）しているのかを探っています。]
Snowflakeの場合、迅速かつ効果的な対応を行ったおかげで、 のようなはるかに深刻なPR上の大惨事を免れることができました。しかし、だからといって他の企業が油断してよいというわけではありません。 のインシデント対応は、被害を最小限に抑え、お客様と透明性を持ってコミュニケーションを図ることこそがすべてです。
教訓： 問題が発生してからではなく、今からインシデント対応計画を策定しておきましょう。 、サイバー衛生管理 （MFA、、定期的なパッチ適用、トレーニング）こそが、重大なインシデントを回避するための鍵であることをお忘れなく。
結論：災害が起きるのを待ってはいけません
Snowflakeの情報漏洩事件は警鐘であると同時に、チャンスでもあります。 どんなに規模が大きく、セキュリティが万全なクラウドプロバイダーであっても、お客様のデータを完全に保護することはできません。 実のところ、それは必ずしも彼らの仕事というわけではありません。 これは皆で分担すべき責任であり、企業も一層の取り組みを強化しなければなりません。
そこで、以下の5つの教訓を心に留めておいてください。IAMへの取り組みを強化し、ゼロトラストを採用し、防御体制を定期的にテストし、そして問題が発生した際にチームが即座に行動に移せるよう、万全の準備を整えておくことです。 サイバーセキュリティの世界では、単に防御に徹するだけでは不十分であり、常に一歩先を行くことが求められるからです。
