サイバーセキュリティ分野のニュースは常に尽きることがありませんが、 2022 年には特に驚くべき出来事がいくつかありました。
窃盗犯たちは、1 百万枚以上の盗まれたクレジットカードに関する詳細情報を をダークウェブ上に流出させ、データ漏洩を受けて大手企業を相手取った集団訴訟 が相次ぎ、各社では数百万人の顧客に影響を及ぼす個人データの盗難被害が発生しました。
関係者の名前は変わったり、事件の規模も増減したりしますが、こうした類の出来事は、残念ながら、もはや当たり前になってしまっています。 今後、CISOにとって重要なのは、企業のデジタルリスクに最大の影響を与える出来事、すなわち、まったく新しいトレンドや、既存のトレンドを形作る重要な要因などです。
こうした点を踏まえ、 のフォーカルポイント担当である が、2022年の最も重要な出来事を振り返ります。
ソフトウェアのサプライチェーンセキュリティが強化されました
2020年に発生した SolarWinds に対するサプライチェーン攻撃や、 Log4j として知られるゼロデイ攻撃（企業各社は 2022年に入ってもその対応に追われていました）以来、世界中の経営幹部たちは、現代の組織を支えるソフトウェアにどれほど相互依存しているかを痛感するようになりました。
「サプライチェーンをしっかりと理解する必要があります。」 また、自社が保有するすべてのソフトウェアコンポーネントだけでなく、プロバイダーが提供するコンポーネントについても理解しておく必要があります。”Trail of Bits社のソフトウェア保証部門担当副社長、ニック・セルビー氏
のソフトウェア・サプライチェーン（ ）は、オープンソースのアプリケーションやライブラリのセキュリティから、サードパーティ・プロバイダーの製品に至るまで、ソフトウェアの開発および調達に関わるほぼすべての要素で構成されています。 これには、 のセキュリティ対策およびインフラストラクチャに加え、 の第三者によるものも含まれます。
ソフトウェアのサプライチェーンのセキュリティ強化の必要性が高まる中、今年は、製品に含まれるソフトウェアコンポーネントの一覧であるソフトウェア部品表（SBOM）の導入が、かつてない水準に達しました。 早急な対応が必要であることの一例として、バイデン大統領が発令した「国家のサイバーセキュリティの向上に関する大統領令」（ 、 2021 号） では、連邦政府にソフトウェアを提供するベンダーに対し、製品に含まれるすべての構成要素についてSBOMを添付することが義務付けられています。
要点： 「ソフトウェアの依存関係を理解することは、まさに極めて重要です」と、ソフトウェアセキュリティコンサルティング会社Trail of Bitsのソフトウェア保証部門担当副社長、ニック・セルビー氏は述べています。 「自社のサプライチェーンを把握しておく必要があります。 「また、自社が保有するすべてのソフトウェアコンポーネントだけでなく、プロバイダーが提供するコンポーネントについても理解しておく必要があります。」 同氏は、サードパーティのプロバイダーが完全なSBOMを保有していない場合は、ライブラリに含まれる依存関係のリストを提供する必要があると述べています。 これは、購入者である皆様にとって、販売される製品に組み込まれるコードに対して、ある程度の管理権限を持っていることを示しています。
Uberのハッキング事件を受け、CISOたちは警戒態勢に入りました
10月、Uberの元CISO（かつ元連邦検察官）が、司法妨害および既知の重罪を隠蔽したとする連邦罪で 有罪判決を受け、 、全米のCISOたちの注目を集めました。
「［情報漏洩について沈黙を保つこと］は、単に自分や会社にとって恥ずかしいことを隠蔽することではありません。」マーク・ラッシュ氏（弁護士、元連邦検事）、コーマン・ジャクソン・アンド・クランツ法律事務所
この有罪判決は、 2016 号デジタル侵入事件に関連して、彼がNDAの下で攻撃者らに支払った金銭に起因するものです。 Uberの元CISOであるジョセフ・サリバン氏は、この支払いはUberのバグ報奨金プログラムの一環であると主張しました。 連邦検察当局は、これらの行為は賄賂と隠蔽にあたるとし、サリバン氏がハッカーたちに、ハッキングの事実を秘密にし、データを盗んだことを否定するよう求めたと述べました。 特に注目すべきは、当時、Uberが以前のデータ漏洩事件に関して、依然としてFTCの調査を受けていたことです。
多くのCISOは、この判決を、情報漏洩の開示を怠った場合、連邦政府がCISOを起訴する可能性があるという警告だと受け止めました。 実際のところ、この判決は、司法省が「より率直に開示し、対処すべきだった」と判断した情報漏洩の隠蔽に関するものでした。
要点： 法律の専門家は、CISO（最高情報セキュリティ責任者）に対し、セキュリティインシデントに関する詳細な記録を保持し、規制当局や裁判官、陪審員が将来的にそのやり取りを読む可能性があることを念頭に置いて、電子メールやその他のチャネルを通じてコミュニケーションをとるよう推奨しています。
元連邦検事で、法律事務所「Kohrman Jackson & Krantz」の弁護士であるマーク・ラッシュ氏は、経営陣に対し、自社におけるデータ漏洩やバグ報奨金プログラムについては正直に伝えるよう助言しています。 の「Security Current」、 、のポッドキャストでのインタビューで、彼は、組織が情報漏洩の報告を見送る選択をしたとしても、経営陣は少なくとも、その決定に至るまでのプロセスが妥当であったことを立証すべきだと述べました。
「これは、単にあなたや会社にとって恥ずかしいことを隠そうとしているだけではありません」と彼は述べました。 「データ侵害を報告する理由、あるいは報告しない理由については、十分な情報に基づいた判断がなされています。」 また、弁護士の助言を得た上で意思決定を行うよう、十分にご留意ください。」
ファームウェアに関するリスクが高まっています
2021号では、コンピュータのハードウェアとオペレーティングシステム間のやり取りを管理するファームウェア「 」を標的とした、のハッキング手法について取り上げました。 ファームウェアの脆弱性は、企業ネットワークへの極めて危険なアクセス経路となります。
2022年の早い段階で、セキュリティ研究者たちは、「 CosmicStrand（ ）」として知られる高度なハッキング手法を特定しました。この手法は、攻撃者がファームウェアに密かに感染させることを可能にするものです。 さらに、この年には、 の脆弱性（ ）を悪用したファームウェア攻撃が発生し、70 機種以上のレノボ製ノートパソコンが影響を受けました。また、の脆弱性（ ）により、運用技術（OT）やモノのインターネット（IoT）デバイスが危険にさらされました。
要点： 「ファームウェア層のセキュリティ確保はしばしば見過ごされがちですが、これはデバイスにおける単一障害点であり、攻撃者が大規模にデバイスを乗っ取るための最も目立たない手法の一つです」と、米国土安全保障省および商務省による『 』レポート（ ）は述べています。
企業は、少なくとも、最新の統一拡張ファームウェアインターフェース（UEFI）仕様の技術的要件を確実に実装し、UEFIセキュアブートなどの機能が適切に導入されていることを確認しなければなりません。 CHIPSECなどのツールは、製品を購入する前のデューデリジェンスプロセスの一環として、ファームウェアのセキュリティレビューを行うために活用できます。
経済の不確実性が急激に高まりました
2023年に米国経済が直面する逆風がどれほど強まるか、正確には誰にも予測できませんが、エコノミストの間では、米国が景気後退、あるいは少なくとも経済成長が著しく不安定な時期に向かっているという見方が広く共有されています。 価格の急騰、サプライチェーンの問題、そして地政学的緊張が、成長に大きなブレーキをかけています。
[関連記事：不況時にCISOが避けるべき 5 の重大なミス]
サイバー関連のリスクが高まり続けているにもかかわらず、経済の先行き不透明感は、セキュリティ予算に圧力をかけることになるでしょう。 「これを最適化の機会として捉えてください」と、アカマイ・テクノロジーズの元最高セキュリティ責任者（CSO）であり、現在はYLベンチャーズのオペレーティング・パートナーを務めるアンディ・エリス氏は助言しています。
要点： セキュリティ担当者は、可能な限り効率を高めるべきですが、その際には、最も効果的でリスクの少ない方法を採用する必要があります。 しかし、最終的に予算削減を求められた場合、CISOは削減すべき箇所を見つけざるを得なくなるでしょう。
「辛いことですが、もっと深く切り込む方法はいつだって見つかるものです」とエリス氏は言います。 CISOにとって賢明な取り組みの一つは、同業者やステークホルダーに働きかけ、次の2つの質問を投げかけることです。「私たちが実施している取り組みのうち、どのような点に価値を見出せないとお考えですか？」 ところで、私たちがまだ行っていないことで、あなたから見て簡単で価値があると思われることは何でしょうか？
ヨーロッパ全土でサイバー戦争が勃発しました
ロシア・ウクライナ戦争におけるサイバー攻撃は、 西洋のインフラに関するいくつかの例外を除き、主にウクライナ国内に限定されていますが、デジタル戦線において事態がこのまま静穏な状態を維持するかどうかを判断するには、まだ時期尚早です。 しかし、もし敵対行為が拡大することになれば、それがオンライン上で始まる可能性は十分にあります。 戦争の初期段階におけるロシアのサイバー攻撃は、ウクライナの重要な通信インフラを標的としていました。
「適切な災害復旧計画はありますか？」 地元のFBI事務所とは業務上の連携関係にありますか？ そうでない場合は、それを育ててください。」Replicated社のセキュリティ担当副社長、アンドルー・ストームズ氏
ロシアによる侵攻以前から、米国国土安全保障省は、米国の組織、特に重要インフラに関わる組織に対し、分散型サービス拒否（DDoS）攻撃や、それ以上に破壊的な攻撃に備えるよう警告していました。 こうした攻撃――あるいはそのための秘密裏の準備――は、すでに進行中である可能性があります。
「国家が関与する活動、つまり物理的な攻撃であれサイバー攻撃であれ、その実態を深く掘り下げようとしても、実際に何が起きているのかを完全に理解することはできないでしょう。なぜなら、事情を知る人たちは、知っていることを口にしないからです」と、プラットフォームプロバイダー「Replicated」のセキュリティ担当副社長、アンドルー・ストームズ氏は述べています。 「事態が収束したとか、大規模な攻撃は起こらないだろうと信じるのは、賢明ではないと思います。」
[関連記事：サイバーウェアはもはや仮説の域を脱しました――現実のものとなりつつあり、セキュリティの責任者たちはどのように備えているのでしょうか]
要点： セキュリティ上の脆弱性の解消に取り組みましょう。 「自社のセキュリティ体制を徹底的に見直し、本来整っているべきなのに、まだ十分には整っていない重要な要素がないか確認してください」と、Replicated社のストームズ氏は述べています。 「 の適切な災害復旧計画はお持ちですか？? 地元のFBI事務所とは業務上の連携関係にありますか？ そうでないなら、それを育ててください。」
これは、デジタル上の脅威が増加している時代に限らず、いつの時代でも非常に有益なアドバイスです。 2023 がどのような安全保障上の展開をもたらすかは誰にもわかりませんが、2022 の教訓から学ぶ指導者たちは、今後何が待ち受けていようとも、間違いなくより万全の備えができるでしょう。
