WannaCryランサムウェアの拡散速度自体は目新しいものではありませんが、この件は責任の所在という新たな問題を提起しています。具体的には、サイバー攻撃から自分自身をどのように守るべきかという個人としての責任、そしてさらに重要なこととして、安全な技術を開発する責任を政府とベンダーの両方に問うべきだという点です。 次回の「WannaCry」のような大規模な感染拡大を防ぐためには、自動車の安全性を高めるために費やされたのと同じレベルの共同の取り組み――シートベルトやエアバッグから、エンジン異常警告灯やバックカメラに至るまで――をサイバーセキュリティにも適用し、誰もが将来のサイバー攻撃から身を守るための自らの役割を理解できるようにする必要があります。
（画像：Karen Nadine / Pixabay）
2010年当時、イランを標的とした「スタックスネット」ウイルスは、多くのサイバーセキュリティ専門家を、世界的なサイバー攻撃という危険で予測不可能な世界へと突き動かしました。 今週、北朝鮮への非難が高まる中、「WannaCry」ランサムウェア攻撃により、一般市民もまた、この危険で予測不可能な世界に巻き込まれてしまいました。 この攻撃は極めて重大なものであったため、地元のニュース局までもがこれを報じ、「サイバー・カオス」といった目を引く見出しを掲げていました。
これまでにも数え切れないほどのサイバー攻撃が発生してきましたが、今回の攻撃は他と何が違うのでしょうか？ このランサムウェア攻撃は、私たちの多くにとって、少しばかり身にしみるものでした。その主な理由は、テクノロジーが私たちの日常生活にどれほど深く浸透しているかを、私たちは当然のこととして受け止めてしまっていたからです。 私たちの多くは、「物事はただうまくいくもの」という前提で行動しています。 私たちは、発信音を鳴らしたり、エレベーターを動かしたり、さらには救急治療室で薬を調剤したりするために使われている、数え切れないほどのシステムに気づいていません。 システムが正常に稼働しているときは、そのシステムが最新のOSを搭載しているか、すべてのソフトウェアパッチが適用されているか、あるいは破られにくいパスワードが使用されているかなど、誰も深く考えたりはしません。 その代わりに、私たちは電話をかけたり、エレベーターに乗ったり、薬を飲んだりします。
しかし、電話を手に取って 911 番にダイヤルしても、誰も出なかったらどうなるのでしょうか？ あるいは、エレベーターが階の間に止まってしまい、非常呼び出しボタンが反応しないような場合はどうでしょうか？ それとも、カルテが紛失したせいで、薬を過剰摂取してしまったのでしょうか？ この段階になってから、パッチやパスワードについて考えるのは手遅れです。 かつては知られていたことが、今では未知のものとなり、さらには実に恐ろしいものとなっています。
WannaCryによるパニックが広がる中、被害者は古くなったソフトウェアのパッチ適用に奔走し、企業は自社が攻撃を受けているかどうかを確認しようと慌てふためき、一般市民は自分たちが次に標的になるのではないかと不安に思い、無力感を抱いていました。
最近の「WannaCry」攻撃が、その形態や構造において、これ以前に発生した数多くの「300 ドル相当のビットコイン」を要求するランサムウェアによる脅威や、その後に必ず続くであろう同様の攻撃と何ら変わらないという事実を、自らに偽ってはいけません。 この出来事は、私たちが自身のサイバー上の安全とセキュリティに対して、個人としての責任を果たせていなかったことを浮き彫りにしました。 この状況は変えなければなりません。 私たち一人ひとりが、日々頼りにしている技術について、より深く関心を持ち、より意識を高める必要があります。
さて、事態が落ち着いてきた今、私たちは何を学んでいるのでしょうか？ まず第一に、この攻撃は、数年とまではいかなくとも、数ヶ月前には未然に防ぐことができたはずです。 はい、技術の向上は、広範囲にわたるサイバー攻撃の削減に関する議論において重要な役割を果たしています。 しかし、これらの技術がどのように導入され、どのようにセキュリティが確保されるかを決定するのは、人、つまりこれらのシステムに対する責任を負う人々です。 個人の責任感の欠如により、IT専門家はセキュリティ上の脆弱性のあるソフトウェアを開発したり、修正パッチが適用されていないバグを報告しなかったり、さらには最も経験の浅いシステム管理者でさえも「それは賢明ではない」と気づくような状況下で、数十年も前のソフトウェアを使い続けてしまうことさえあります。
私たち社会は、現実世界と同様に、サイバー空間における自身の安全とセキュリティについて、より大きな個人の責任を負う必要があります。 オイル交換を一度もせずに、何年も車を乗り続けますか？ おそらくそうではないでしょう。 では、なぜ時代遅れのソフトウェアを搭載したテクノロジーを使うのでしょうか？ 夜、照明の少ない地域で、ATMから200 ドルを引き出しますか？ そうは思えません。 では、なぜ怪しいウェブサイトにアクセスしたり、怪しいメールを開いたりするのでしょうか？ オイル交換をせずに車を運転してはいけないとか、夜間にATMを利用しないようにといったことは、誰も教えてはくれません。 それが悪い考えだということは、誰にでもわかります。
次なる「WannaCry」が発生する前に：私たち一人ひとりができること
私たち一人ひとりの責任にとどまらず、より大きな公益を確保するという集団的な責任も負っています。 一般道や高速道路での運転について、共通のベストプラクティスが定められているのと同様に、デジタル世界における私たちの行動についても、共通のベストプラクティスを定める必要があります。 以下にいくつかの例を挙げます：
Public Sector: Government leaders urgently need a crash course in cybersecurity 101. そうして初めて、彼らはサイバー危機発生時に政府機関が持つ能力（そして、率直に言えば、その限界）を真に理解することができるのです。 御社のサイバーセキュリティ担当者は、業務を遂行するために必要なスキルやツールを備えていますか？ サイバーセキュリティの基本原則を理解していないのであれば、どうしてこの質問に答えられるでしょうか？
民間部門： 優れたサイバーセキュリティは、トップから始まります。 CEOは、サイバーセキュリティにおける説明責任のギャップを埋め、より安全な選択肢へと移行するために旧式の技術を廃止することを約束することで、責任感あふれる企業文化を醸成しなければなりません。 簡単に言えば、管理されていないシステムにはパッチが適用されておらず、パッチが適用されていないシステムはサイバー攻撃を招くため、管理されていないシステムはサイバー攻撃を招くことになります。 企業は、犯罪者に先んじて、こうした管理されていないシステムを見つけ出さなければなりません。 サードパーティのベンダーと取引されていますか？ 契約書に署名する前に、法務部門にセキュリティ基準を契約書に盛り込んでもらってください。 さらに、日常的なIT業務を担当するチームとは独立して機能する、専任のITセキュリティチームを持たない企業は、顧客に対して「当社にとってサイバーセキュリティは重要ではない」という明確なメッセージを送っていることになります。
一般の方. 一人ひとりが、政府の指導者や企業のCEOに対して、より一層の取り組みを求める必要があります。 私たちに電力を供給し、ATMを稼働させるインフラや、ライブ動画ストリームを伝送し、スマートフォンやベビーモニター、Alexaデバイスの動作を可能にする周波数帯域は、すべて官民の協力の精神によって実現されたものです。 しかし、個人の責任はそれだけにとどまりません。 私たち一人ひとりにとって、サイバーセキュリティとは、単にウイルス対策ソフトと「うまくいくことを祈る」こと以上の意味を持っています。 つまり、自宅のパソコンには「時々」ではなく「常に」パッチを適用し、「後で通知」をクリックしないようにすることです。 そうすれば、次にランサムウェアやボットネットの脅威が迫った際にも、お使いのコンピュータが簡単に乗っ取られることはありません。 つまり、職場で実践しているのと同じ 適切なサイバー衛生習慣 を家庭でも取り入れ、お子様に良きデジタル市民となるよう指導することです。 つまり、企業がサイバーセキュリティに関する義務を果たしていない場合には、その責任を問うことで、良き消費者となるということです。 データを安全に管理している企業には報い、そうでない企業は避けるようにしましょう。
次なる「WannaCry」のようなサイバー攻撃の蔓延を防ぐためには――それが北朝鮮によるものであれ、学生寮の部屋にいる大学生によるものであれ――自動車の安全性を確保するために費やされたのと同等の、総力を挙げた取り組みが必要です。 シートベルトやエアバッグ、チェックエンジンランプ、バックカメラがあるのと同様に、サイバーセキュリティにおいても同様の保護策が必要です。 そうして初めて、私たち一人ひとりが、将来的なサイバー攻撃から自分自身、自社、そして社会を守る上で、各自が負うべき責任を理解することができるのです。
詳細はこちら：
著者について：Taniumのセキュリティ担当ディレクターとして、アンドレ・マクレガー氏はサイバーセキュリティに注力しています。 彼は、米国のコンピュータ・ネットワークやインフラを攻撃するために用いられる、犯罪や対諜報活動に関連するサイバー技術について、深い知識を有しています。 Taniumに入社する前、アンドレ氏はニューヨーク市でFBIのサイバー担当特別捜査官を務め、その後、FBI本部で上級特別捜査官に昇進しました。 FBIでは、マクレガー氏は上級技術捜査官を務め、いくつかの大規模なコンピュータ侵入事件において、インシデント対応の責任者を務めました。 さらに、彼は国連に対するFBIサイバー連絡官、および国土安全保障省（DHS）傘下のUS-CERTおよびICS-CERTに対するFBIサイバー連絡官を兼任しました。 FBIに入る前、マクレガー氏はブラウン大学に進学し、ゴールドマン・サックスでキャリアをスタートさせ、その後、アドヴォジェント（カーディナル・ヘルス）のITディレクターとして、全米のIT業務全般を統括しました。 余暇には、アンドレは『ミスター・ロボット』のFBIおよび技術コンサルタントも務めています。
