借りたもの。
サブタイトルの「脆弱性はどこから来たのか」が全てを物語っている…情報セキュリティとは敗北の歴史と言える。
敗北の歴史はコンピューターおよびインターネットの歴史そのものだった。
絶望と希望の連続。
セキュリティがなぜ難しいのか?
それは「攻撃者の非対称的な優位性」……潜入する側は1ヶ所だけ穴を見つければいいため。
セキュリティが抱える本質的な問題点…それは過去の決定や設計思想に起因していることを指摘。
これを社会学・経済学の専門用語「経路依存性」を引用して示している。
初期のコンピュータシステムが“信頼”を前提に設計されていたことが今日(こんにち)のセキュリティ問題の根源のひと...続きを読む つだった。
そして技術開発にセキュリティ対策が追い付いていないという構造的な問題、また、インターネットの急速な普及により、セキュリティの専門家が不足、適切な対策をとれていない等……時代を経るごとに問題は複雑多様化している。
情報セキュリティの問題は、コンピュータが誕生した時代にさかのぼる。
1940年代、第二次世界大戦中に開発された初期のコンピューターは主に軍事目的で使用されていた。
そのため、“信頼できる人々だけが使用する”という前提で設計されていた。つまり、悪意を持った人間がシステムにアクセスするという想定がなかった。
そしてコンピューターネットワークの概念が生まれても、それはセキュリティよりも、オープンな情報交換に主眼が置かれていた。
しかし、ネットワークの発展とともに遠隔地からコンピューターにアクセスできるようになったことで、悪意のある人間が不正にシステムに侵入する可能性が出てくる。
1970年代、アメリカ国防総省が特別委員会を作り、情報セキュリティに関する初めての綿密な調査には「システムが大きすぎて守れない」という悲しい結論が書かれた。
1980年代、初期のハッカーたちがセキュリティの脆弱性を探り始めた。この時期、多くの企業や組織が、コンピューターシステムを導入し始めたが、セキュリティに対する認識は依然として低いまま。
1990年代に入るとインターネットが一般に普及。情報革命の幕開けは、同時に新たな脅威の始まり。
初期のコンピュータウィルスはいたずら目的で作られたものが多かったのが、次第に破壊的なもの、個人情報を盗み出すものなど、悪質なものが増えてゆく。
インターネットの商業利用が始まり、金銭的価値を持つ情報がネットワーク上を行きかうようになったため。
2000年代に入ると、社会のインフラとして不可欠なものとなり、セキュリティの重要性も飛躍的に高まったものの、根本的な問題は解決されないまま、新しい技術やサービスが次々と登場し、セキュリティ対策は常に後手に回る状態が続いていく。
この時期、企業や組織のセキュリティ大佐悪の不備が明らかになる。
国家レベルでのサイバー攻撃も顕在化し、情報セキュリティが国家安全保障の重要な要素となってゆく。
著者は情報セキュリティ分野において「3つの汚名」を挙げている。
1.データ漏洩
2.国家によるハッキングがもたらす害
3.「認知的閉鎖」によって生じる機会費用(スタントハッキングによる、セキュリティ障害の根本的な原因を無視し、表面的な発現に焦点を当ててしまうことで、幻の敵を作り出してしまい、幻の敵に勝利しても、それは幻想にすぎない…つまり無駄足)
著者は、サイバーセキュリティ問題、脅威に対抗するためには組織の文化や意識改革が必要不可欠であると説く。技術、心理学、社会学から分析し、社会全体の取り組みが必要である、と。
それには初等教育から、情報リテラシーなどの技術的対策だけでなく、心理的アプローチ…ルールを教えるだけでなく、その理由についてもきちんと説明することが重要である、と提言。
これは終わりのない戦いである、とも。
現在のサイバーセキュリティが直面している課題についても紹介。
サイバー攻撃の手法が高度化・複雑化している。
ランサムウェア攻撃が金銭的被害に留まらず、社会インフラが国家安全保障にまで影響を与えること。
人工知能(AI、ディープラーニング)はセキュリティ対策の強化に貢献する一方で新たな脆弱性を生み出す可能性がある。
人間による監視では見逃してしまうような攻撃の兆候を察知できるが、機械学習を用いたセキュリティシステム自体が攻撃者のターゲットとなる可能性――機械学習を欺くデータを入力し、システムの判断を誤らせる敵対的サンプル攻撃――を指摘。
また、ディープフェイクによるフェイクニュースの拡散についても言及。
…これは人間の心理的なもので技術的なものと違うのでは?とも思ったが、そうした人間の心の隙さえも、“1ヶ所だけ穴”となる……
ゼロデイ攻撃やクラウド化に伴い、防御強化だけではなく、ネットワーク内部の監視強化の必要性を指摘。
この本に。「では具体的にどうすれば良いのか?」という“答え”は書かれていない。そもそも存在していないからだ。
だからこそ、セキュリティは他人事ではなく、多くの人の英知を結集して対策に乗り出さなければならない。