（この記事は 2024年9月16日に更新されました。）
先月開催されたパリオリンピック――そして今週閉幕を迎えるパラリンピック――は、パリの絵に描いたような美しい景観だけでなく、表には現れない複雑なサイバーセキュリティ対策も相まって、大成功だったと広く評価されています。
フランス政府のサイバーセキュリティ機関であるANSSIによると、大会期間中、 140 件以上のサイバー攻撃 が大会を襲いました。これには、 7月26日 から 8月11日 までの間に発生した、影響の小さい「セキュリティ事象」 119 件と、悪意のある攻撃者による情報システムの侵害22 件が含まれます。ANSSIは大会期間中、秘密の場所で活動していました。 これらの攻撃は、主に政府機関のほか、スポーツ、交通、通信のインフラを標的としていました。 その3分の1では、ある程度のダウンタイムが発生しました。 大会の進行を妨げた者はいませんでした。
今後数か月にわたり、専門家やアナリストたちがパリ五輪を振り返る議論を重ねることになるでしょう。 すでに明らかになっているのは、フランスの当局者が多くの点で適切な対応をとったということです。 彼らの取り組みは、将来開催される世界的なスポーツイベント（ 2026年のロサンゼルスオリンピックなど）におけるサイバーセキュリティの指針となることは間違いありませんが、そこから得られた教訓は、あらゆる企業にとって の非公式な実践ガイド としても役立つでしょう。
確かに、ほとんどの組織はオリンピックのように人員を増員することはできません。 フランスのセキュリティチームには、パリ 2024 組織委員会（COJOP）のメンバー15 名が含まれていました。 企業パートナーから派遣された約100 名の追加要員；200 名を超えるペネトレーションテスター、のバグ報奨金ハンター、およびその他の の倫理的ハッカー （レッドチーム活動やテーブルトップ演習を通じてシステムのテストを行うために雇用されました）；イベント直前および開催中に支援を提供した数万人のボランティア；そして、1名の（間違いなく非常に疲れ切っていることでしょう）の最高情報セキュリティ責任者がいました。
そのCISOであるフランツ・レグル氏は、過去4年間にわたり、国際オリンピック委員会（IOC）や政府機関と連携しながら職務を遂行してきました。 彼は、東京 2020 年夏季オリンピックと北京2022 年冬季オリンピックのセキュリティ責任者らと会談し、彼らの経験を評価した上で、技術の進化に対応するため、サイバー防衛体制の一部を改めました。 東京で採用されているような、主にデータセンターを基盤とするネットワークに依存するのではなく、Regul社は のクラウドベースの環境を採用しました。
「また、運営インフラやチームメンバーがフランス全土に分散している、中央集権的ではないシステムを採用しました」と、レギュール氏は大会直前に、『 』の『Infosecurity Magazine』（）とのインタビューで説明しました。
著名な市場調査会社であるインターナショナル・データ・コーポレーション（IDC）のレポート『 』（）によると、レギュール氏とそのチームは、これまでのどのオリンピックよりも「最も複雑な脅威環境、最大規模の脅威アクターのエコシステム、そして脅威アクターが攻撃を実行するのが最も容易な状況」に直面したとのことです。 攻撃は、選手や観客が到着する数ヶ月前から始まっており、大会のインフラや運営体制に対して、 による分散型サービス拒否（DDoS）攻撃 が複数回行われ、攻撃の試みも繰り返されました。
IDC estimates revenue from cybersecurity services in France will increase by $94 million in 2024 (and by $57 million elsewhere in Europe) as a result of the Olympics, adding just over two percentage points to total cybersecurity services spending.
そうですね、その通りです。ほとんどのCISOには、レギュール氏のような予算や政府のリソースへのアクセス権など、決してないでしょう。 とはいえ、パリの多角的な取り組みは参考になるものであり、サイバーセキュリティプログラムの規模にかかわらず、取り入れることは可能です。
[関連記事：世界的なスポーツや文化イベントは、たとえオリンピックや、例えばテイラー・スウィフトといったものとは何の関係がなくても、貴社にとって深刻なサイバー脅威となる可能性があります]
ここでは、パリの閉会式で「マイ・ウェイ」を歌ったフランスの歌手イゾルト（ ）を念頭に置きながら、メダルに値するサイバー防衛の重要な要素を明らかにしていきます。 少なくともサイバーセキュリティに関しては、 や といったサイトを活用するのは、悪くないアイデアです。
1. リアルタイムの脅威監視を活用しましょう
オリンピック開催中、グラン・パレ（オリンピック会場の一つ）およびその他約 40 のフランスの美術館を標的とした、によるランサムウェア攻撃 が大きな注目を集め、のニュースとしてで報じられました。 身代金要求書の中で、サイバー犯罪者たちは、これらの施設内のギフトショップやその他の商業施設から消費者の金融情報を抜き取ったと主張し、 48 時間以内にそのデータを公開すると脅しました。
「私たちは、運用インフラやチームメンバーがフランス全土に分散している、より中央集権的ではないシステムを選択しました。」フランツ・レギュル氏、CISO、パリ 2024 組織委員会（COJOP）
のリアルタイムデータ（）を活用した最先端の脅威監視システムのおかげで、当局は電光石火の速さで対応しました。 また、サイバーセキュリティチームは、MITRE ATT&CK（ ）などの フレームワークを活用し、潜在的なサイバー侵害への備えを進めました。
あのランサムウェア攻撃については？ 当局は当時、 （データ抽出は行われなかった） を検知しましたが、報道によると身代金は支払われず、会場は同日中に通常通り営業（およびオリンピックの競技）を再開しました。
2。 脅威インテリジェンスで最新情報を入手しましょう
大会開催までの数ヶ月間、脅威インテリジェンスチームは、警戒心の薄い消費者から個人情報を盗み取ることを目的とした偽のチケット販売サイトを 300 件以上特定しました。 200 人の憲兵からなる専門部隊が、50 カ所以上の施設を閉鎖し、さらに数十カ所に是正勧告を行いました。
「脅威アクターは規模を拡大しており、その活動範囲も広がり、新しいツールを活用しています。」シェロッド・デグリッポ、脅威インテリジェンス戦略ディレクター、マイクロソフト
「脅威アクターは規模を拡大しており、その活動範囲も広がり、新たなツールを活用しています」と、マイクロソフトの脅威インテリジェンス戦略担当ディレクター、シェロッド・デグリッポ氏は、 の最近のエピソード で述べています。これは、の『Focal Point』 の関連ポッドキャストである『Let’s Converge』の一環です。 デグリッポ氏は、脅威インテリジェンスチームを構築するための最適な手順、AIを取り入れるメリット、そしてCISOや取締役会を感心させるようなインテリジェンスの種類について解説しています。
一般的な企業の脅威インテリジェンスチームは、フランスの憲兵隊ほど大規模なものではありませんが、 の多様性を活かすことで、非常に高い効果を発揮することができます。。 採用にあたっては、多様な経歴、経験レベル、 の志向を持つ人材を探すようにしてください、とのデグリッポ氏はアドバイスしています。
[関連記事：AIのバイアスを防ぐには、トップからの取り組みが不可欠であり、多様性が求められます――まさに、こうした女性AI最高責任者たちのように]
「信じてください」と彼女は言います。「その人が得意で、しかも好きなことに取り組んでいるなら、きっと成功するはずです。」
3。 AI技術を活用する
オリンピック関係者は、 の機密データや の重要な情報システムを保護するためにAIを活用し、フランス政府は、パリでのAIを活用した映像監視を可能にするため、の法律 を制定しました。 専用のカメラが、特定の、あるいは異常な群衆の動き、不審な行動、火災、放置された手荷物をリアルタイムで検知しました。
セキュリティ上の脅威が人間のアナリストの処理能力を超えるほど高まっている中、 AIは、大量のデータを処理し、情報に基づいた意思決定を行う能力を備えていることから、あらゆるサイバーセキュリティプログラムにおいて、 不可欠な要素となりつつあります。 AIは、正常な動作の基準を特定し、ネットワークトラフィックやユーザーの行動における異常を検知することができます。
[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]
しかし、ご安心ください。専門家たちは、人間の専門知識と監督が今後も不可欠であり続けると強調しています。 の生成AIを最大限に活用するには、まず適切なガバナンスが不可欠です。 その好例として、パリではAIを幅広く活用する一方で、適切な規制も設けられていました。同市の新しいAI法では、生体認証データの処理や、（物議を醸し、その有効性が実証されていない）顔認識技術の使用が認められていませんでした。
4。 偽情報への対処
早くも昨年、ロシアを拠点とするハッカーたちは、捏造されたニュースサイトや、 の長編ドキュメンタリー映画『 』（）を制作しました。この映画では、俳優のトム・クルーズに似た声の、AIで生成された偽のナレーションが使用されており、これらはすべて、IOCの評判を傷つけ、オリンピックでの暴力発生の噂を広めることを目的とした偽情報キャンペーンの一環でした。 こうした動きに対抗するため、フランス政府（ ）は、 政府機関であるVIGINUMを設立しました。これは50名からなる軍事サイバーセキュリティチームであり、オリンピックやフランスの選挙における外国による干渉を追跡・摘発することを目的としています。
AIを活用した のディープフェイク が急増している中、自社ブランドに関する虚偽の情報と戦うことは、かつてないほど困難になっています。 企業の経営陣は、マーケティング部門がオンラインニュースやソーシャルメディアを適切に監視できるよう、予算と人員を確保する必要があります。 ご留意いただきたいのは、サイバー犯罪者が狙うのは、 のような巨額の資金を持つ多国籍企業 だけではないということです。 誤情報やデマキャンペーンは中小企業 にも被害をもたらし、個人経営の店舗は傷ついた評判を修復するために大慌てで対応を迫られています。
良いニュースは？ 従来のサイバーセキュリティ戦略は、ディープフェイク技術 をより迅速に検知するのに役立ちます。例えば、 のフィッシング対策 や の脅威ハンティング といったトレーニングを最新のものに更新することで、こうした新しい手口による影響工作を阻止するのに役立ちます。
5。 社員研修への意欲を高める
定期的かつ包括的な従業員研修は、あらゆる組織のサイバーセキュリティ対策において不可欠な――そして往々にして退屈な――要素と見なされています。 レゲル氏のチームは、 といったソーシャルエンジニアリングや など、ハッカーがネットワークに侵入するさまざまな手法の危険性を強調する一連の啓発キャンペーンを実施し、時には賞品やプレゼントを贈ることで従業員の意欲を高めました。
[関連記事：労働者はAIに取って代わられるのではないかと懸念していますが、SecOpsの分野では、依然として人間が不可欠です]
研修プログラムにおけるその他の新しい取り組みとしては、映画的なストーリーテリングの手法やサスペンス要素を取り入れ、従業員の関心を高める没入型の ハリウッドスタイルのセキュリティ研修動画 などが挙げられます。 ある研究によると、これにより、従業員がセキュリティに関する教訓をよりしっかりと身につけ、その教訓を長期間にわたって記憶にとどめることができるようになる可能性があるとのことです。
6。 従業員やお客様に（明確かつ分かりやすく）情報を提供し続ける
Olympics.comのウェブサイトには、スタッフ、選手、来場者向けのサイバーセキュリティ専用ページがあり、詐欺を未然に防ぐ方法や、自身の公式オリンピックアカウントがハッキングされた疑いがある場合の対応方法に関する情報が掲載されています。 また、 のパスワード、 のフィッシング、およびデバイスの更新に関するベストプラクティスも提供しています。
どのような組織においても、従業員や顧客に対しても、同様の対応が可能であり、またそうすべきです。 どのウェブサイトにも、サイバーセキュリティ上の問題が発生した疑いがある場合にどう対処すべきかについて、基本的（しかし極めて重要な）指示が記載された、アクセスしやすいセキュリティページを設けるべきです。