今日の企業にとって、一つだけ確かなことがあります。それは、変革の波は常にすぐそこに迫っているということです。 技術による変革は機会をもたらす一方で、リスクも増大させます。
これが、今年のRSA Conference 2022で開催される、巧みなタイトルが付けられたパネルディスカッションのテーマです。「 」「The Jetsons Are Here—Now What Are the Security Implications」。 このパネルディスカッションは、 6月6日、 14:20 から15:10 （太平洋標準時）にかけて、サンフランシスコのモスコーン・センターで開催されます。
パネルの司会を務めるマイクロソフトのチーフ・セキュリティ・アドバイザー兼垂直産業・エンゲージメント担当グローバル・リードであるリサ・リー氏と、パネリストとしてサイバーセキュリティ・アドバイザリー企業「SecurityCurve」のCTO兼共同創業者であるダイアナ・ケリー氏は、『Endpoint』誌に対し、パネルディスカッションで取り上げる内容、参加すべき理由、そして新たなエンタープライズ技術が導入される中で、企業のCISOが時代遅れにならずリスクを低減するために何ができるかについて、一足先にその概要を語ってくれました。
ある年齢層の人たちの中には、子供の頃に空飛ぶ車の登場を夢見ていたことを覚えている方もいらっしゃるでしょう。 それでも、彼らはまだ本当の意味ではここにはいないのです。 お二人は、今後5年から 10 年の間に、どのような未来の技術が最も大きな影響を与えると予想されますか？
リー：空飛ぶ車の話が出たなんて、面白いですね。 約2年前、今回のセッションに向けた調査を始めた当時、空飛ぶ車はあと2、3年で実現すると言われていました。 「まさか」と思いました。 「少なくともあと5年から 10 年は先の話です。」 現時点では、空飛ぶ車を運用するためのインフラが整っていません。
最近では、空飛ぶ車が毎日のようにニュースになっています。 各社は飛行試験に合格し、 の認証 および規制当局による格付けを取得しています。 そう、空飛ぶ車はすでに現実のものとなっています。 彼らはここ2年間、さまざまな段階を経て、ここに滞在してきました。 最近、 という記事で、Uberが の空飛ぶ車を2023年までに実用化できると見込んでいると読みました。 そしてもちろん、空飛ぶ自動車も、自動運転車と同様に、安全性やデータプライバシーをはじめとする多くの課題において、サイバーセキュリティ上の大きな課題を伴うことになるでしょう。
空飛ぶ車はさておき、RSA 2022ではどのようなエンタープライズ技術について議論される予定ですか？ では、CISOにとって最大の懸念事項は何だとお考えですか？
リー：今回のパネルディスカッションでは、業界という観点、あるいは最も大きな変革が起きている分野について考えていきたいと思います。 そこで、今回のパネルディスカッションでは、ダイアナが、「 」メタバース（）や「
」といった代替世界について、それらに伴うサイバーセキュリティ上の影響をすべて解説します。 Acrew Capitalの創設パートナーであるテレージア・ガウ氏が、「 Web3」について講演を行います。。 マーケル・コーポレーションの最高プライバシー
兼最高情報セキュリティ責任者であるパトリシア・タイタス氏が、交通分野について講演されます。 今回は、 のヘルスケア 分野についてお話しします。
「貴社がメタバースに本格的に参入する計画がある場合、CISOは一歩引いて、セキュリティへの影響を慎重に検討する必要があります。」ダイアナ・ケリー氏、SecurityCurveのCTO兼共同創業者
ケリー： メタバースは、多くのサイバーセキュリティ上の課題をもたらすような、画期的な技術の一つになることは間違いありません。 今日の人々はバーチャルワールドに大きな関心を寄せていますが、数年前は『セカンドライフ』が存在したものの、あまり普及しませんでした。 人々は長年にわたりオフィスから離れて働いており、私たちは現実世界をオンライン上で再現しているのです。 メタバースの世界では、特にディープフェイクの技術があれば、他人になりすますことがはるかに容易になります。 これにより、個人情報の盗難に対する懸念が一層高まっています。
メタバースでは、人々が攻撃を受けることさえあり、それは個人に大きな精神的影響を与える可能性があります。
CISOの立場になって、このことを考えてみてください。 もし御社が、メタバースでの社内会議の開催や営業活動など、メタバースへの本格参入を計画されているのであれば、CISOは一歩引いて、これらすべてがセキュリティに与える影響を慎重に検討する必要があります。 こうした世界では、誰が誰と会話できるかという点に関して、企業は社会に対してほとんど影響力を持っていません。 メタバースでは、人々はどのような反応を示すのでしょうか？ 彼らはこれまでとは違う振る舞いをするのでしょうか？ また、企業はその世界におけるデータに対してほとんど管理権限を持っていません。 データが失われてしまったら、どうなるのでしょうか？
[関連記事：メタバースでの会議は、従業員のエンゲージメント向上につながるのでしょうか？]
リー： ロボット工学についても同様の懸念があります。 東京など、どの都市にもロボットを配置しておけば、会議のためにわざわざ飛行機でそこへ行く必要はなくなります。 そのロボットは、そこで開かれるすべての会議に出席することになります。 ロボットを操作できるほか、 のハプティックスーツ（ ）を着用すれば、ロボットを通じて握手をすることも可能です。 交流の方法はたくさんあります。 しかし、もし予定が重なってしまった場合、誰かに代わって出席してもらっても、誰にも気づかれないという可能性はないでしょうか？ 突然、状況は一変してしまいました。特に、なりすまし被害のリスクを考えると、なおさらです。
RSA 2022のテーマは「変革」です。 こうした変革をもたらす技術が直面する成長の苦難は、 1990s 年および2000s 年初頭、PCやLAN、インターネット、電子商取引の普及に伴い私たちが経験したものと似ているとお考えでしょうか？
ケリー：似たような感じになると思います。 そして懸念されるのは、この技術が、その影響が甚大な分野でどれほど多用されているかという点です。 PCを使い始めた頃、文書を入力できなくしてしまうウイルスなんて、本当にひどいものだと思っていたのを覚えています。 そして、記事は へと続きました。「もし銀行口座の残高がすべて引き出されてしまったら？」
今日では、こうした新興技術を活用しているスマートシティが存在します。 これらの都市は実に素晴らしいもので、膨大なデータを活用して、交通の流れを円滑にするなど、私たちの生活をより良いものにしています。 これらのシステムにより、救急車が助けを必要とする方の元へ時間通りに到着し、駐車スペースを確保できるようになります。 しかし、もし攻撃者がそれに手を付け始めたのを見かけたら、人命が失われる危険性があります。
新しい技術が導入されるにつれて、企業の攻撃対象領域は拡大していくでしょう。 今後も、こうした技術スキルのギャップという課題に直面し続けることになるのでしょうか？
リー：これほど多くの人々に、セキュリティに対する意識やスキルを身につけてもらう必要があるという点について、懸念を抱いています。 その件については、皆さんご存知のことと思います。 しかし、この分野に人が集まるようにと、セキュリティ対策はそれほど難しくないかのように見せかけようとする傾向があることについても、私は懸念を抱いています。 大変ですね。 すごく難しいと思います。 でも、それこそが面白さだと思います。だって、とてもやりがいがあるからです。
「難しいですね。」 それはすごく難しいと思います。 しかし、それこそが面白いところなのです。とてもやりがいがあるからです。”マイクロソフトのチーフ・セキュリティ・アドバイザー兼、垂直産業およびエンゲージメント担当グローバル・リード、リサ・リー氏
ケリー： テクノロジーは急速に変化・進化しているため、ソリューションを設計・実装するには、それらの分野に精通した専門家が必要となります。 しかし、新しいシステムを構築したり、既存のシステムを導入したりするすべての人が、少なくともセキュリティ意識を持ち、最初からセキュリティとプライバシーを考慮に入れ、場合によっては脅威モデリングを行うことができれば、セキュリティを大幅に改善できるでしょう。 そうでなければ、何か恐ろしい出来事が起きてから、いつも後付けでセキュリティ対策を講じることになってしまいます。
それでは、さっそくそれを組み込んでいきましょう。特に今、こうした新しい技術の多くや、それらが人類に与える影響が、以前よりもはるかに大きなものとなっているのですから。 すでにその一端は垣間見られています。例えば、 コロニアル・パイプライン への攻撃や、東海岸で人々が車にガソリンを給油できなくなったことなどが挙げられます。
CISOの皆様にとって、現実的な観点から考えると、セキュリティプログラムを将来にわたって持続可能なものにするために、どのような点に留意すべきでしょうか？
リー：セッションの中で取り上げるアプローチの一つとして、技術の種類にも当てはまるものですが、新しい技術について考慮すべきさまざまな側面があります。 例えば、データについて考えてみる必要があります。最新の技術において、データにはどのような潜在的な脅威があるのでしょうか？ リスクに関連する新しい技術についてお話しします。
「マーケティング部門は、メタバースを活用して顧客と関わりを持つために、おそらくメタバースの導入を検討することになるでしょう。」ケリー
また、CISOの方々には、新しい技術に関してこうした考え方を推進していただくようお願いする必要があります。 彼らは、今後6か月先や3年先に何が起こるかを検討する必要があります。 そして、彼らはその技術がどれほどのスピードで進歩しているのかを把握しようと努めなければなりません。
ケリー： 新しいテクノロジーに関しては、「 まだこの件について心配する必要はありません」 といった言い方をするのではなく、社内のあらゆる部門の経営陣と話し合うべきです。なぜなら、マーケティング部門は、メタバース上で顧客と関わりを持つために、おそらくメタバースの導入を望むことになるでしょうから。 そこで、 では、主要なステークホルダー候補の方々と話し合い、 を通じて、同社がメタバースの活用によってどのようなメリットが得られると考えているのかを理解します。
例えば、人事部門は、そこで採用活動を開始したいと考えるかもしれません。 そして、そのビジネスがそれをどのように活用しようとしているのかが分かれば、潜在的なリスクを特定できるようになります。 また、企業での活用事例についても検討してください。 例えば、人事部門がメタバース上で採用活動を行おうとする場合、単にさまざまなサイトに求人情報を掲載し、場合によっては候補者との最初の接触を図るだけになるのでしょうか？ そして、連絡が取れた後は、そのやり取りは通常の審査プロセスに移行するのでしょうか？ もしそうなら、リスクはかなり低いと言えます。 しかし、もしCEOがメタバース内でM&Aの交渉を行っていることが判明した場合、それは非常に高いリスクとなる可能性があります。
リー： ダイアナがおっしゃったように、新しいテクノロジーを活用したいと考えている組織内の主要なリーダーたちと話し合うことは不可欠です。 また、さまざまな技術を常に注視し、組織としてそれらをどのように活用できるかについて議論し、会社にとってのメリットやリスクを検討するチームや委員会を設置することも検討されるとよいでしょう。 社内でこの件について詳しい方はいらっしゃいますか？ 最も深い専門知識を持つ人材の中には、最も経験の浅い社員が含まれていることに気づくかもしれません。 それは、その技術がどのようなもので、どのように活用されているかによって異なります。
インターネットの黎明期を振り返ってみてください。 当時、御社の若い社員の中には、あちこちを探索していた人もいたのではないでしょうか。 今日のメタバースについても、おそらくそれは当てはまるでしょう。 御社のスタッフの中でも、若い世代の中には、メタバースに深く関わっている方もいらっしゃるのではないでしょうか。 とはいえ、必ずしも年齢の問題とは限りません。 時には、単に個人の好みや嫌いの問題に過ぎないこともあります。
しかし、話し合いを持ち、社内の実情について学ぶことが重要です。 彼らはどのような嫌な経験をしたのでしょうか？ 良い点は何でしょうか？ 彼らはどこに価値を見出しているのでしょうか？ このような対話は、組織が新しいテクノロジーにどのように取り組んでいくのかを理解し、潜在的なリスクについて洞察を得る上で大いに役立つでしょう。
