ニュースの概要
テレビ東京の経済番組「視る日経！ニュースNEXT」が、相次ぐ不正アクセスの連鎖を取り上げ、企業がどうサイバー防衛に臨むべきかを問いかけた。焦点は、一社への侵入が取引先や委託先、グループ会社へと波及していく構図にある。被害を受けた一社だけの問題ではなく、つながりの強い今の事業環境そのものが攻撃の通り道になっているという指摘である。ここでは番組内容をなぞるのではなく、連鎖型の不正アクセスという現象をどう読み解けばよいか、現場で何から手を付けるべきかを、筆者なりの視点で整理していく。
引用元: 視る日経！ニュースNEXT▼【連鎖する不正アクセスにサイバー防衛の術は】（テレビ東京）
分析・見解
一社の侵入が取引先へ広がる仕組み
不正アクセスが連鎖する最大の理由は、攻撃者が正面玄関から入らないことにある。大企業の守りは固い。そこで攻撃者は、守りの薄い取引先や委託先、グループ会社を先に狙う。そこで手に入れた認証情報（＝システム同士が互いを信頼するための鍵）や管理者の権限を使い、本命の企業へ入り込む。2022年に自動車部品メーカーのマルウェア感染をきっかけに、取引先の国内全工場が止まった例は記憶に新しい。
もう一つの経路は、使い回されたパスワードである。ある会社から流出したIDとパスワードの組が、別のサービスで次々に試される。この試行は自動化されており、数万件でも数時間で終わる。一社の事故が、他社の事故の材料になるわけだ。
侵入より怖い気づくまでの時間
被害の大きさを決めるのは、侵入された事実よりも、気づくまでの日数である。侵入から発覚までに数週間から数か月かかる例は珍しくない。この間に攻撃者は社内の地図を描き、重要データの場所を調べ、バックアップの置き場所まで確認する。2021年に米国の石油パイプラインが止まった事件も、きっかけは一つの古いリモート接続用パスワードだったと報じられている。
発覚が遅れる原因の一つは、警報の多さにある。毎日数百件の通知が鳴れば、担当者は慣れてしまう。本当に危険な一件が雑音に埋もれる。人を増やすより、見るべき警報を絞る設計のほうが効く。
守りの発想を入れないから広げないへ
従来の防御は、城壁を高くする考え方だった。しかし連鎖型の攻撃では、いつか誰かが破られる前提に立つほうが現実的である。大切なのは、破られた後に被害を一区画で止めることだ。
具体的には、ネットワークを部署や用途ごとに区切る。管理者権限を日常業務と分ける。取引先との接続口を最小限にする。どれも地味な作業である。しかし船の仕切り壁と同じで、一区画が浸水しても沈まない構造が肝心になる。ゼロトラスト（＝社内外を問わず、常に本人と端末を確かめる考え方）も、この延長線上にある。
技術より先に連絡網が防衛線になる
連鎖を止める最後の砦は、人の連絡網である。取引先が被害に遭ったとき、何時間で自社に連絡が来るのか。それを誰が受け、誰が接続を止める判断をするのか。ここが決まっていない会社は多い。
筆者はサイバー防衛を防災に近いものと見ている。地震は止められない。その代わり、避難経路と訓練で被害を減らす。攻撃を全て防げない以上、勝負は事前の訓練で決まる。デジタル機器が高度になるほど、紙の連絡表や電話といったアナログな手段を持つ意味が増す。システムが止まれば、メールもチャットも使えないからである。
ビジネスへの影響
まず取引先を含めた接続の棚卸しから始める
最初の一手は、自社が外部とつながっている場所を全て書き出すことである。取引先との専用回線、委託先の遠隔保守、クラウドサービスの連携設定などが対象になる。担当者が退職し、誰も把握していない接続口は意外に残っている。年に一度、使っていない接続を閉じるだけでも、入口は確実に減る。
委託先を選ぶ際は、価格だけでなく、セキュリティの自己点検結果や事故時の連絡条件も契約に盛り込みたい。安い見積もりの裏で、守りが削られていないかを確かめる視点が要る。
小さな会社でも今月できる三つの対策
予算が限られていても、できることはある。第一に、全てのログインに多要素認証（＝パスワードに加え、スマホなどでもう一度本人確認する仕組み）を入れる。第二に、バックアップを、通常のネットワークから切り離した場所にも置く。第三に、パスワードの使い回しを禁止し、管理ツールを使う。この三つで、よくある手口の大半は防げる。費用も一人あたり月に数百円から千円程度で収まる場合が多い。道具選びの考え方は、当サイトのデジタルツール紹介ページも参考になる。
事故の日の動き方を一枚の紙に書いておく
経営層が決めるべきは技術の細部ではなく、止める判断の権限である。誰が接続を切ってよいか。顧客や取引先へ何時間以内に連絡するか。警察や監督官庁への報告は誰が担うか。これを一枚にまとめ、半年ごとに机上で訓練する。通信が使えない場合に備え、連絡先は紙でも持っておく。紙や対面の手段が持つ強みは、アナログ・マーケティングの記事でも触れている。