Column

ユーザーの意識を高めなければセキュリティ対策は無駄になる

どのような対策を講じようとも、対策にどれだけの労力を注ごうとも、エンドユーザーがもたらす重荷を技術的に取り除く方法は何もない。この問題への対処法として唯一有効なのは、「エンドユーザーのセキュリティ意識を高めるための訓練、教育」だ。

[Ken Salchow Jr.，TechTarget]

　フィッシング攻撃が増加し、そうした攻撃の巧妙化が進むなか、「こうした状況にどのように対処すべきか」をめぐる議論も相応して高まっている。Webベースのアプリケーションを構築／ホストしている企業や金融機関が全責任を負うべきだ、と主張する向きは多い。こうした企業が、最高の措置を全社的に講じているなどと言うつもりはないが、わたしが思うに、この件に関しては、パズルの重要な要素が1つ欠けている。それは、エンドユーザーの存在だ。

　どのような対策を講じようとも、対策にどれだけの労力を注ごうとも、エンドユーザーからの重荷を技術的に取り除く方法は何もない。これは、あらゆるセキュリティアーキテクチャにおいて常に急所となるポイントだ。例えば、誰かに自宅の鍵を渡し、セキュリティコードを教えたとしたら、家に帰ったときに、その人が自分の家の居間でビールを飲みながら座っていたからといって、驚くのはおかしい。同じく、故意であれ、過失であれ、自分のオンラインアカウントの本人確認情報を周囲に明かしたユーザーは、そのアカウントが改ざんされたとしても驚くべきではない。ユーザーをユーザー自身から守るために、われわれには何ができるのだろうか？

　この問題への対処法として、明らかに、大半の組織が実行していないのは、「エンドユーザーのセキュリティ意識を高めるための訓練、教育」だ。こうした取り組みに煩わされたくないと思っている人が多いことは、わたしも知っている。そうした人々は、これは勝ち目のない戦いだと考えているのだ。だが、エンドユーザーがリスクに対する理解を深めれば深めるほど、フィッシング詐欺など、「計略」（ソーシャルエンジニアリング）に基づいた各種攻撃の被害者となる可能性は低まる。そして、自社のユーザーが「被害者」となる可能性が低ければ低いほど、ITマネジャーがそうした攻撃への対処に時間や予算を奪われる可能性も低くなるだろう。会社でアプリケーションを利用するすべてのユーザーに、少なくとも最新のアンチウイルスソフトウェアを実行してもらい、電子メールに含まれているハイパーテキストリンクをクリックしてサイトにアクセスするのをやめてもらえれば、コンシューマーベースに対する攻撃の成功件数を大幅に削減できるだろう。

　わたしの提案は、ユーザーのセキュリティ意識を高めるための訓練をセキュリティプランに含め、「自分のアカウントは自分で保護する」という責任感をユーザーに身に付けてもらうためのプロセスや手続きを定める、というものだ。例えば、エンドユーザー契約の「法律用語」を理解しやすい「チェックリスト」に書き直し、顧客が自分自身のアカウントをきちんと保守するためには何をすべきで、何をすべきでないかをリストで示す、といったシンプルな方法でかまわない。そして、アカウントを提供する前に、ユーザーには、この改訂版のエンドユーザー契約に必ず目を通してもらうようにする必要がある。

　さらには、半年か1年ごとに、ユーザーにこうした要件を改めて承諾してもらい、最新の攻撃を反映できる対策があれば何であれ取り入れ、エンドユーザーのセキュリティ意識の維持に役立てられるようにすることも重要だ。そのほかに、わたしはユーザーが要件を理解しているかどうかを確認するための「テスト」の実施を提唱している。また、ユーザーがこうした要件を遵守しそびれた場合に、企業のあらゆる責任を免責するためのエンドユーザー契約も重要だ。そこまでするのは、少し極端かもしれない。だが、「ユーザーを保護する」必要性が今後も高まり続けるようであれば、そうした措置は必須となるだろう。

　自社のアプリケーションを保護するということは、単にコードからあらゆる脆弱性を取り除き、転送中にも静止中にもデータを暗号化するというだけの話ではない。もし、自社のユーザーが方程式における自らの役割の重要性を理解していないようであれば、どのような対策を講じようとも、システムが攻撃されてしまうのを阻止することはできないだろう。今日、アプリケーションの開発、導入、利用、保守にかかわるすべての人たちにとって、「セキュリティ」という言葉が持つ広範な意味を理解することが必要だ。セキュアなアプリケーションの提供という点では、エンドユーザーのセキュリティ意識を高めるための訓練も含め、すべての側面に積極的に取り組もうとしている組織こそが、ずば抜けた成功を収めることになるだろう。

本稿筆者のケン・サルコウ氏は、6年前からアプリケーショントラフィック管理のF5 Networksに勤務し、さまざまな役割をこなしている。同氏は、ミネソタ大学経営学部でIT学士号を取得しているほか、ネットワーキングから法医学調査まで、多様な分野で資格認定を受けている。企業の情報システム管理の分野では、約20年に及ぶ豊富な経験と実績を持つ。刑事／民事訴訟の分野で活動するコンピュータ法医学研究所Binary Forensicsのオーナー兼経営者でもある。