ニュース
標的型攻撃が台頭───インテル セキュリティが2015年のセキュリティ事件ランキング発表
（2015/11/13 17:33）
インテル セキュリティ（日本での事業会社はマカフィー株式会社）は13日、「2015年の10大セキュリティ事件ランキング」を発表した。企業経営者や情報システム部門の従業員ら1552人の意識調査結果を独自に集計したもの。認知度第1位は「日本年金機構への標的攻撃」で60.1％だった。
「侵入された後どうすべきか」を考える時代
インテル セキュリティによる日本国内でのセキュリティ意識調査は、2014年に続き今年が2回目。2015年に問題となったセキュリティ事件30件について、その認知度を調べた。回答者は国内在住の企業経営者、企業に勤務する情報システム担当者および一般従業員など22歳以上の男女1552人。調査期間は10月2日～5日。
ランキングは1位が「日本年金機構への標的型攻撃で125万件の年金個人情報が流出」で認知度60.1％。2位以下は「振り込め詐欺／迷惑電話による被害」の56.8％、「大手金融機関やクレジットカード会社などをかたるフィッシング」の42.1％などが続く。
調査結果の発表に合わせて、記者向け説明会も開催された。マカフィー株式会社の田井祥雅氏（執行役員 SE本部 本部長）は「総じて標的型攻撃に注目が集まったのが2015年」と振り返り、リスティングや不正アクセスが目立った2014年とはまた異なる傾向であったと説明した。
その根拠ともなっているのが2015年6月に発覚した日本年金機構の問題である。事故報告書では、サイバー攻撃に対する機構側の準備が極めて脆弱であったと指摘。また、実際の攻撃の前の“偵察”段階での対処など、多層的な防御の必要性があるという。
田井氏は「日本では『いかに侵入させないか』『いかに鍵を強くするか』というテーマが議論されてきたが、年金機構の問題以降、『侵入された後どうすべきか』を考えなければならない段階にきている」と述べた。
その上でさらに「サイバー攻撃に国境はなく、『日本だから安全』という論拠は通じない。そして（フィッシングメールなどに）騙される可能性は誰にでもあるということを念頭に置くべき」とも補足。天災に備えるように、ネット空間のセキュリティもまた、事後対応を意識する必要があるとした。
このほか、公衆無線LANが近年急速に整備されている点にも注意が必要という。無料で提供されるサービスの多くは、暗号化などが施されておらず、第三者による通信内容の傍受が極めて容易。にも関わらず、利用者の多くがセキュリティ対策を実施していない。2020年の東京オリンピック開催に向けて利用可能スポットはますます増加するとみられ、何らかの対策も必要となってきそうだ。
5年後のセキュリティは？
説明会後半では、米Intel Security McAfee Labsの上級副社長であるヴィンセント・ウィーファー氏が登壇し、今後5年のセキュリティ事情についての予測を行った。
まず2016年には、企業の従業員、あるいは取引先の企業など、業務ネットワーク内で一定の信頼がおかれている人物などを介した攻撃の増加を予測する。セキュリティ技術がますます向上するとはいえ、正しく認証されたアカウントの機能性はこれまで何ら変わらない。結果、正規のアカウントをソーシャルエンジニアリングで不正取得したり、単純にスパイが潜入するといったケースが増える…という考え方だ。テレワーク（在宅勤務）の普及が見込まれるだけに、注意すべきという。
また、IoT機器における対策も重要だが、中でも自動車は対策が急がれる。セキュリティ基本原則などが未整備のまま、ネットワーク接続対応が進んでいるため、攻撃者に狙われやすい。
今後5年では、ネット接続対応の機器、それを利用するユーザー数もますます増えていく。利便性が向上する一方で、攻撃側の手段も多様化していくとみられる。中でもウィーファー氏は、いわゆる“闇市場”を通じて、不正ツールが流通する実態を指摘。プログラミング技術などが未熟なビギナーでもサイバー攻撃ができてしまう時代への憂慮を示していた。
一方、セキュリティ技術についても、マシンラーニングによる自動化など、進化の可能性が残されている。インテル セキュリティでは今後、Protect（防御）・Detect（検知）・Correct（復旧）・Adapt（適応フィードバックに反映）の4要素を相互に連携させる「Defence Lifecycle」という理念のもとで、製品開発に臨むとしている。
