これからのサイバー攻撃対策は、「人」にフォーカスした対策が不可欠になる

──楠さんが参加するOIDF-Jでの活動について聞かせてください。

楠 氏：OIDF-Jでは、Yahoo! ID連携にも使われているOpenID Connect技術の普及啓発や、最近だと金融APIの標準化への参画など、さまざまな活動を行っています。2012年に「エンタープライズIDワーキンググループ（Enterprise Identity WG）」が活動を開始し、このほど最終報告を行いました。この4年間で、企業間のID連携もだいぶ進んでおり、クラウドツールの利用も増えてきているので、そのあたりのシステム連携のプロトコルを企業情報システムで、どう活用できるかについて議論を重ねてきました。

　これは私見になりますが、ID連携とクラウドサービスの普及で組織を超えたデータ交換が容易となることで、将来的にはメールの添付ファイルを業務から撲滅できると考えています。サイバー攻撃の手口として、メールに添付されたウイルスに感染させる手法が取りざたされますが、Office文書を装った添付ファイルに悪意あるコードが仕込まれ、何か悪さをするというのは、脅威としては1990年代には登場しており、特に新しいものではありません。

──古くからある脅威に対応できていないのはなぜでしょう。

楠 氏：電子メールにどんなファイルも添付して、やり取りするという仕事のやり方が、ずっと変わっていないことが大きなポイントだと思います。

　しかし、業務の中で「添付ファイルを受信しないと動かない業務」というのがどれほどあるか、冷静に考えるとそれほど多くないことに気づきます。これまで、多くの企業は、パソコンで何でも自由にできることが当たり前という前提に立って業務を設計してきましたが、例えばメールに添付された実行ファイルを実行しなければならない業務がどれだけあるのか、本当にそのままでよいのかというのを、見直す時期に差しかかっているのではないでしょうか。

──企業で働く社員にとっては、仕事でやり取りする相手は個人で仕事している人もいると思いますし、オープンで自由なメールという基盤は、やはり利便性が高いツールというのも事実です。

楠 氏：添付ファイルの運用を見直そうとした場合に、情シス部門にとって一番大変なことは、「社外とのやり取りを簡便かつ安全に行う方法がない」ということです。

　最近ではようやく、メール以外のコミュニケーション手段の選択肢が増えてきました。たとえば、チャットもビジネス利用が本格化していますし、どうしても添付ファイルのハンドリングやローカル・アプリケーションの利用が避けられない環境であれば、VDIを使ったデスクトップ仮想化なども一つのソリューションになるでしょう。

──メールの代替となるコミュニケーション手段が増え、それが従来の会社が用意するIT基盤よりはるかに便利になっています。

楠 氏：そのことは、裏を返せば、以前であれば内線電話であれ、電子メールであれ、職場内のコミュニケーションは会社のインフラが担っていたのですが、今後はプライベートのコミュニケーション手段の“お守り”を、情シス部門が支える必要性が薄れてきたことを意味します。

　つまり、情シス部門は、「業務でやり取りするデータは何か？」「その仕組みは、メールではなくWebシステムで実現できるかどうか？」「あるいはビジネスチャット等の代替サービスで実現できないか？」など、働き方の多様化にあわせた最適なITサービスは何かを、考え直すタイミングにきています。

　もちろん、答えが見つかるまでは混乱もするかもしれませんが、ゼロベースで考え直すよい時期だと考えます。

雇用の流動性が低くても「IDマネジメント」は必須に

──働き方が多様化していく中で、より「人」にフォーカスした対策が必要だと思いますが、企業はどこから手をつけるべきなのでしょうか。

楠 氏：企業によっては、ID管理さえできていないという場合があります。たとえば、システムごとに別々にユーザー管理をしていて、社員の異動や退職時に、当該アカウントの情報を、一括して更新できないといったことです。

　ですから、まずID管理の仕組みを整備していく必要があります。たとえば、定期的にシステムアカウントのパスワードを変え、退職者がパスワードを知ったままになってしまうことを回避することや、正当な権限を持った人が、正当な形でしかシステムに入ることができないような基盤の整備です。

　雇用の流動性が高い米国企業などでは、「IDマネジメント」という仕事があり、専従スタッフがこうしたことに当たり前のように取り組んでいますが、日本はそうした仕組みが整備されないまま、雇用だけが流動化したり、非正規社員が増えたりして、米国よりも深刻な状況といえます。

──ID連携といったときに、情シス部門は、色々なところに散在しているデータをどのように統合していけばよいのでしょう。

楠 氏：異なるシステムをつなげていくだけでなく、「置き換える」ことも大事です。たとえば、これまでファイルサーバーで運用していたものを、Google AppsやOffice 365といった別のサービスに置き換えることです。

　あるいは、今まで社外とやり取りをメールの添付ファイルやファイルサーバー上の共有ファイルで行っていたものを、Salesforceのように、当事者だけがアクセスできるクラウドサービスに移行するといった業務プロセスの設計です。

　ID連携でまず効果があるのは、社内のクローズドな情報システムで、システムごとに別々に行っていたID管理を統合、一元管理できる点です。加えて、標的型攻撃などのサイバー攻撃を防止する観点からは、社外とのデータフローに着目し、情報のやり取りを別のツールに置き換えていくことで、メールの添付ファイルという「人の脆弱性」を軽減できる点です。

　ユーザーにとっては、本物のOffice文書と、アイコンなどを偽装したExeファイルは外見から見分けがつきません。何が怪しいか見分けられないのですから、「怪しいファイルは開かない」というのは無理な話です。ですから、利用者が誤って添付ファイルを実行したとしても安全に業務が回るような仕組み、あるいは、そもそもそういった事故が起こらない仕組みを整備していくことが理想です。

　添付ファイルのやり取りがなくなっても、完成度の高い情報システムによって業務に支障がない部門もあれば、最後までメールの添付ファイルを残さざるを得ない部門もあるでしょう。そこの切り分けができるだけでも、リスクを一気に軽減することができます。問題はあらゆる業務に同じように自由度の高いシステムをあてがって、その結果としてリスクを増大させてしまったことです。

【次ページ】自社の中で何を守るべきかを自覚することが不可欠