【RSA Conference APJ 2015】セキュリティ対策予算の3割を検知とインシデントレスポンスに（RSA）

情報セキュリティの国際会議RSA Conference Asia Pacific & Japan 2015が7月22日に開幕し24日までシンガポールにて開催される。EMCのセキュリティ部門であるRSAのCTO Zulfikar Ramzan氏にアジア太平洋地域におけるセキュリティなどについて、話を聞いた。

──RSAのCTOに就任されてからまだ数か月ですが、RSAにジョインされた理由についてお聞かせください

私がCTOとしてRSAに来たのは4か月前ですが、情報セキュリティの業界にはすでに20年間ほど携わってきました。また、RSAの創業者でもあるRon Rivest氏は、私がMITで博士号のための研究を行っていた時の指導教員だったため、RSAの事業内容や歴史については個人的にも非常によく知っていました。

RSAは業界でのブランド力もありますし、情報セキュリティ業界が急速に成長しているこの時期にRSA にジョインできたことを嬉しく思っています。

──RSAでは、どのような活躍が期待されているのでしょうか。

私は、これまでオンライン不正対策、マルウェア対策、セキュリティ情報の分析などを手がけてきました。これらは、現在の情報セキュリティにとって非常に重要な部分であり、これらの側面における私のノウハウや経験が期待されていると思います。

また、私は大企業だけでなく、スタートアップでも仕事をしてきました。変化の早いこの業界では、素早い対応や意思決定などが求められるため、スタートアップでの経験が活かせると感じています。

──エヴァンジェリストとしていろいろな講演やプレゼンの機会があると思います。APJで講演する際に、他の地域と比べ視点や論点を変えることはございますか

講演などの場合は、対象者によって話の内容を変えています。APJという意味で特徴的なのは、セキュリティ分析に対する意識が米国と異なることなどが特徴に挙げられると思います。アイデンティティ管理など、APJに関わらず世界的に重要視すべき部分も多いのですが、自社のセキュリティ分析については、米国などに比べ少し対応が遅れていると考えています。

また、セキュリティ対策に関する予算の組み方にも違いがあります。企業の情報セキュリティ予算の現状は、80％が防止、15％が検知、5％がインシデントレスポンスとなっています。ところが、ターゲットを明らかにした特殊な攻撃が多い現状では、検知やインシデントレスポンスにより多くの予算を組むべきなのです。理想は、防止、検知、インシデントレスポンスそれぞれに約3割で、このようような予算の組み方にいち早く動き出しているのは、アジアの企業が多いと感じています。

──情報セキュリティという観点から考えたとき、今我々はどんな転換点に立っていると思いますか。10年後に現在をふりかえるとどのように見えるでしょうか

難しい質問ですが、ひとつは、現状のように多くのインシデントが起こってしまったことを不思議に思うのではないでしょうか。現在明らかになっている大規模なブリーチのほとんどは、非常に高度な技術が用いられた攻撃ではなかったのです。なのになぜここまでインシデントが続いたのだろうかと振り返ることになると思います。

それは、防止対策ばかりに注力し続けたことから、セキュリティに対する考え方を変えられなかったことが大きな理由です。たとえば、数十年前までは家のドアに鍵をかけずに外出した人も多かったのではないでしょうか。今の時代から見ると、非常に危険なことでもあります。おそらく10年後に現状を振り返るとしたら、ドアの鍵と同様にセキュリティ業界の現状を振り返ると思っています。

──大規模なインシデントがあった場合、ターゲットとなった企業などはメディアなどを通じて大きく批判されます。侵入される可能性があることを認識する必要があるという現状でも、このような批判は免れないのでしょうか。

問題視すべきなのは、攻撃を受けた際にどのような対応を行ったかという点です。侵入されても、検知とインシデントレスポンスが効果的に行われたため、攻撃者が求めていた情報が持ち去られなかったという事例もあります。

また、これはセキュリティに携わるコミュニティの問題でもあるのですが、企業側担当者も侵入防止対策は万全ではないという認識を持つことも大切です。ベンダーのマーケティングメッセージの中には、「セキュリティの全てを解決する」というような不可能なメッセージもあります。このようなことをベンダーから言われた時は、鵜呑みにせず疑うべきです。

ベンダーの話やホワイトペーパーの内容だけでなく、中立的な立場からセキュリティ情報を取り扱う団体などの情報も収集しく必要があるでしょう。

──ありがとうございました。