「竹馬でスケートをすること。」
スチュワート・ベイカー氏はかつて、私たちが大好きなテクノロジーが、新たな形のテロリズムにおいて、いかにして私たちに対して悪用されることになるかを、そのように説明していました。
実際、彼は10年以上前に、そのタイトルを冠した政策に関する回顧録を執筆しています（副題は『 Why We Aren’t Stopping Tomorrow’s Terrorism』（）です）。 これは、今日のランサムウェア危機や、 その他の種類の サイバー攻撃が、米国の企業、重要インフラ 、および 政府 機関を標的とする事態の前兆となっていました。
現在、ベイカー氏は――その経歴には、米国国土安全保障省で初代政策担当次官補を務めた経験も含まれています（）――、ステップトー・アンド・ジョンソン法律事務所（Steptoe & Johnson LLP）で国土安全保障およびサイバーセキュリティ部門を統括するとともに、 『The Cyberlaw Podcast』、 を主催しており、サイバーセキュリティ、暗号資産、プライバシー、政府関連の最前線のニュースについて、毎週「独自の視点によるまとめ」をお届けしています。 （『ワシントン・ポスト』紙（ ）は、ベイカー氏を「この分野で最も技術に精通した弁護士の一人」と評しています。）
そのため、彼は企業やその他のクライアントが、サイバー上の課題や業界の規制に対処できるよう支援することに注力しています。 同氏は先日、『 Endpoint』（ ）の取材に応じ、企業がクラウド環境で犯しがちなセキュリティ上の過ち、サイバーセキュリティ強化を目的としたバイデン大統領の「」大統領令（ ）が及ぼす影響、そして大規模な情報漏洩を防ぐためのシンプルなサイバー衛生管理の実践（）（ ）の必要性について語りました。
企業は、どのようなサイバーセキュリティ上の問題を最も懸念すべきでしょうか？
退屈な話になるかもしれませんが――答えは、まず退屈な作業からやらなければならないということだと思います。 彼らは、ネットワークの管理や不具合の修正といった、あらゆる地道な作業をこなさなければなりません。 みんなが「こうすべきだ」と言うことを、すべて実行するだけです。 へのソフトウェアパッチの適用は、その優先順位リストの上位に挙げられています。 人々が直面する問題の多くは、攻撃を受ける前にパッチの適用を済ませていないことが原因です。
「クラウドでは、どのような愚かなミスを犯しかねないかについて、人々はまだ十分に認識していないと思います。」
パッチを適用し忘れたせいで、被害に遭う人は後を絶ちません。 エクイファックス（Equifax）の 情報漏洩事件（ ）は、パッチの適用に失敗したことが原因でした。 リリース更新から 24 時間または48 時間以内にソフトウェアのパッチを適用していない方は、リスクにさらされています。 そして、パッチを適用できる期間は、刻一刻と短くなってきています。
これは企業にとって特に危険です。なぜなら、企業はパッチを単にインストールして「うまくいくことを祈る」のではなく、テストを行いたいと考えているからです。 最新のソフトウェアバージョンを入手し、自分のシステムで確実に動作すると確信できる状態にして、それをインストールするまでのプロセスが必要です。 それは、できるだけ早く行わなければならないことです。
クラウドコンピューティングの利用拡大に伴い、どのようなサイバーリスクが懸念されますか？
クラウド環境では、どのような馬鹿げたミスを犯してしまう可能性があるかについて、人々はまだ十分に認識していないと思います。 のクラウド（ ）は、多くの点でセキュリティが強化されていますが、誤操作によってデータが漏洩してしまう可能性もあります。 繰り返しになりますが、人々は自信過剰になっている可能性もありますし、あるいは、自社が所有するオンプレミスのサーバーネットワークを扱う際に学ぶ必要のなかったような方法で、クラウドの扱い方を学んでいるのかもしれません。
ワークロードをクラウドに移行するにつれ、ネットワークとインターネットの物理的な分離はなくなりました。 そして、私たちは認証に全面的に頼っています――おそらく、他者による認証にも頼っているのです。 また、認証プロセスを主要な防衛ラインとして扱うことを学ぶことは、やはり、ある種の文化的な転換を必要とします。 SolarWindsのセキュリティ侵害事件では、まさにそのことが明らかになりました。 攻撃者は認証詐欺の手口を用いました。 結局、マイクロソフトは「そうですね――認証の管理方法によっては、ユーザーが本来は避けるべき近道をとりたくなってしまうケースが数多くあります」と述べました。
サイバー攻撃に対して最も脆弱だと思われる業種はどこだと思いますか？
長い間、こう言われてきました。「まあ、当然のことですが、資金力のある人や、大量の顧客データを持っている人ですね」と。 それに加えて、中断を許容できないシステムを運用している方々も、今ならその対象に加えるべきだと思います。 つまり、 ランサムウェアの被害に遭いやすい方々です。。 おそらく、そういう方々こそ、私が最も懸念する対象になると思います。
エンタープライズソフトウェアのどの分野が最も脆弱なのでしょうか？
企業が、 でソフトウェア を管理するために使用している製品について、懸念を抱いております。これらの製品は、まだライフサイクルの終焉を迎えてはいませんが、販売者にとって大幅な収益成長が見込めない段階にあるものと思われます。 その製品はニッチ市場を見つけ、そのニッチ市場を埋め、そしてそのニッチ市場にサービスを提供しています。 そして、それは非常に大きな利益をもたらす可能性があります。 その方針に基づいて、ソフトウェア製品会社を10年以上も経営し続けることさえ可能です。
[It's 2021: Is it time to revisit your software management practices?]
しかし、その時点で、その商品を徹底的に活用しようという強い誘惑に駆られてしまいます。 あなたは、既存のお客様や、すでに特定の分野に携わっている方々からの収益を期待しているのですね。 新規顧客はそれほど増えないでしょうから、既存の顧客からできるだけ多くの利益を引き出す必要があります。 つまり、価格を引き上げること、そしておそらくそれ以上に重要なのは、コストを削減することです。
ソフトウェア製品を販売する企業は、セキュリティ面での手抜きをしてしまいたくなるのではないかと懸念しています。 そして、情報漏洩が発生した後は、そうした非難の声が上がるものです。 SolarWindsの件に関連して、確かにそのような話を耳にしました。 そして、それは確かに懸念すべきことだと思います。というのも、企業にとってそれは極めて合理的な行動だからです。 ですから、もしあなたがそれらのサービスの購入者であるなら、5年後あるいは 10 年後にサポート終了となる可能性のある製品に依存していることに気づいたら、不安を感じ始めるべきでしょう。 それは、私が心配する点の一つになるでしょう。
「ソフトウェア製品を販売する企業は、セキュリティ面での手抜きをしてしまいたくなるのではないかと懸念しています。」
また、企業や企業向けのソフトウェアに深く組み込まれる必要がある一方で、それ自体がインターネットに公開されており、その結果、非常に魅力的な攻撃対象となっているセキュリティシステムについても懸念を抱きます。 セキュリティシステムを悪用した攻撃は、今後も引き続き見られることになると思います。
ここ数年、ランサムウェア攻撃が増加している理由は何だと思いますか？ 実際に攻撃の件数は増えたのでしょうか、それとも単に成功率が高くなっただけなのでしょうか？
ランサムウェアのビジネスモデルは、以前よりもはるかに洗練されてきました。 サイバー犯罪者たちは、今や顧客ごとに価格差別を行う方法を身につけています。 つまり、より多くの支払いが可能な人々からはより多くの金額を、支払能力の低い人々からはより少ない金額を請求しているわけです。 そして、彼らはそのアクセス権を悪用して暗号化機能を導入し、さらにデータを盗み出し、その盗んだデータを基にさらなる金銭を脅し取ろうとしているのです。
1860s年にシカゴで誕生した豚肉加工業界は、「鳴き声以外はすべて加工する」というスローガンで有名になりました。 そして、ランサムウェアについても、まさにそのような状況が見られるのだと思います。 彼らは、鳴き声を除いて、あらゆるものを収益化する方法を探しています。 彼らが盗むデータ、提供すべきサービスを実際に提供するために不可欠なソフトウェアの重要性、顧客との関係の機密性――これらにより、漏洩した顧客データは完全に金銭的価値に換算されることになります（あるいは、むしろ、その漏洩の脅威が完全に金銭的価値に換算されることになります）。
「ランサムウェアの攻撃者は、その手口がますます巧妙になってきています。というのも、そこから得られる利益がはるかに大きくなっているからです。」
こうした要因が相まって、ランサムウェアは、かつては単なる「スクリプトキディ」による厄介な存在に過ぎませんでしたが、攻撃者にとっては多額の資金を投じる価値のあるものへと変化しました。 そして、まさにそれが今、目の前で起きているのです。 攻撃者の手口はますます巧妙になってきています。というのも、そこにははるかに大きな利益が絡んでいるからです。
企業に対して、セキュリティのベストプラクティスを実践するよう義務付けるという点において、法律や規制が最も厳格なのはどこでしょうか？
政府がベストプラクティスに最も関心を寄せ、最も多くのインセンティブを提供している業界や組織としては、おそらく金融サービス業界、 、国防総省、軍事関連サプライヤー、および 電力事業者 が挙げられます。 「規制とベストプラクティスの組み合わせ」が最も効果を発揮しているのは、金融サービス業界です。この業界では、金銭的および規制上の罰則が非常に重いと認識されているからです。 つまり、ベストプラクティスを絶えず革新しようとするのには、ビジネス上の理由と規制上の理由があるのです。
防衛産業基盤に関しては、それほど成果を上げていません。 その理由の一つは、このグループが極めて多様な企業で構成されており、セキュリティへの費用負担や投資能力にも大きなばらつきがあるからです。
「『規制とベストプラクティスの組み合わせ』が最も成果を上げているのは金融サービス分野であり、そこにはイノベーションを推進するビジネス上の理由と規制上の理由が存在します。」
また、こうしたサービスの提供者はしばしば市場支配力を持っているため、政府の権限も制約されています。 国防総省がコンプライアンスに関して過度な要求をすれば、政治的な反発を招くことになるでしょう。
同様に攻撃を受けていると思われる公益事業やエネルギー供給事業者については、どうでしょうか？
電力：自信がありません。 確かに、セキュリティや電力会社には大きな注目が集まっています。 しかし、そこで私たちがその対価に見合う価値を得ているのか、あるいは彼らがその対価に見合う価値を得ているのか、私にはわかりません。
[関連記事：エネルギー分野のサイバーセキュリティが規制当局の最大の懸念事項に]
電力システムにおける最大の懸念は、ITセキュリティではなく、運用上のセキュリティです。 デジタル運用システムにおいて、セキュリティを確保する方法を理解している人は少なくなっています。
悪夢といえば、停電になって、その後も電気が復旧しないことです。 また、電力会社の場合、評価は「合格」か「不合格」のどちらかとなります。つまり、電力を供給できたか、できなかったか、という判断になるのです。 新しいパッチを適用するために、システムを停止させる必要はありません。 そこで疑問なのは、電源を遮断せずにどのようなパッチ作業が可能か、ということです。 保護を図るために、パッチを適用したり、対策を講じたり、必要に応じてコンテンツを削除したりするという文化が、以前ほど根付いていないのではないかと懸念しています。
サイバーセキュリティ情報の共有を義務付けるバイデン大統領の大統領令は、成功すると思いますか？
この命令は、主に政府の請負業者のサイバーセキュリティと、政府自身のサイバーセキュリティを対象としたものであると理解しました。 ソフトウェアのサプライヤーが問題を発見した場合、HHSの顧客にはその問題を報告しても、DHSの顧客には報告しないのではないかという懸念がありました。 責任の面から見ると、これは非常に野心的な任務です。 彼らがすでに引き受けたことを確実にこなせるという確信が持てるまでは、彼らにはまだやるべきことがあるとは言い切れません。
今後、サイバー攻撃や情報漏洩はどのように発展し、変化していくとお考えですか？
この問題をその場しのぎの対応で乗り切れるという幻想は、もはや終わりを告げました。 しかし、私たちはそれが何を意味するのかを、まだ十分に理解できていません。 今後、攻撃に対して安全なシステムが再び登場することはないかもしれません。 そこで、攻撃の可能性を低減させるために、 や といった他の方法を見つける必要があります。
つまり、攻撃の犯人を特定し、攻撃者を処罰し、攻撃による利益を奪うための、より効果的な仕組みが必要だということです。 壁を乗り越えてしまう人々に対する処罰について、さらなる対策を講じる必要があります。 彼らは皆、IT業界で多額の収入を得られるような、頭の良い人たちです。 また、彼らが「IT分野では別の仕事をしたほうがいいかもしれない」と思えるようなレベルまで、インセンティブを見直す必要があります。
