西本逸郎の最近の頭の中 | ScanNetSecurity
2020.02.19(水)

西本逸郎の最近の頭の中

本稿は縦横無尽に展開した同氏の談話に基づき、講演を128倍楽しむための事前情報をお伝えする。

研修・セミナー・カンファレンス セミナー・イベント
株式会社ラック 代表取締役社長 西本逸郎氏
株式会社ラック 代表取締役社長 西本逸郎氏 全 1 枚 拡大写真
 来たる3月7日木曜日、都内で開催される専門家会議Security Days Spring 2019 Tokyoにて、株式会社ラック 代表取締役社長 西本逸郎氏が「企業が対応すべきセキュリティ対策」と題した講演を行う。

 しかしこの講演タイトルだ。「企業が対応すべきセキュリティ対策」

 あまりにも一般的言葉過ぎて、どんな講演が行われるのかひとつも見えてこないことに激しい焦りを感じた編集部は、西本氏を直接インタビューすることにした。本稿は縦横無尽に展開した同氏の談話に基づき、講演を128倍楽しむための事前情報をお伝えする。なお西本節はいわば「即興演奏」のため、当日の講演内容の純然たる予告ではないことをお断りしておく。

●西本の注目:日本企業は自らを破壊できるか

 昨年、日本経済団体連合会(経団連)の会長に就任した株式会社日立製作所の中西宏明氏が、経団連会長室に初めてPCを持ち込んだことがニュースになった。経団連会員企業に名を連ねる株式会社ラックの代表西本氏によれば、G8でもPCを使っている人はロシアのメドヴェージェフさん(当時大統領)以外ついぞ見たことがなく、日本においては、大企業ほど会議中のPCやスマホ利用が失礼なこと=マナー違反と思われるような空気すら感じるそうだ。Society 5.0、デジタルトランスフォーメーションといわれる時代の、日本を代表する企業でもそういうことはある。

 もはや企業は「ものづくり」だけでは生き残れないと西本氏は考えている。日本企業は沈没しないように、時代に備える必要がある。

 特に事業基盤が盤石と言われている経団連企業群が変われるか。ITベース企業(デジタル企業)となるか。デジタルトランスフォーメーションを実践できるか。これらは、西本氏が注目している社会・経済の変化の一つだ。海外企業に自社の既存ビジネスを破壊される前に、どこまで破壊的な改革に日本企業が踏み込めるだろうか。

●西本の悩み:ネクストジェン・セキュリティモデル

 そして、最近西本氏の頭を悩ませているのが、セキュリティモデルの再構築だ。現在主流のセキュリティ対策は「専守防衛型」である。攻撃や被害が起こってから対処する発想であり、また、そこで行われる分析は、用いられたマルウェア解析やIOC分析など、攻撃全体の一部に関して行われている。一方で攻撃側は、経済力強化や国際的影響力の増大など、全体計画を明確に持ち、組織的にPDCAサイクルを回している。攻撃側のイノベーションが優る事態になっている。

 それに対抗するために防御側は、攻撃側のエコシステム全体を監視し、これからどこを攻撃しようとたくらんでいるのか、標的をどう選んでいるのか、標的情報の交換をどう行っているのか、窃取したデータはすでに売買されたのか、といった、攻撃計画段階の「たくらみ」や、攻撃後の「成果」のやりとりに目を向ける視点が必要だと西本氏は語った。

 「情報戦を軽視したミッドウェー海戦のように、日本人は情報に大きな価値を置いていない(西本氏)」ものの、ここ2~3年、スレットインテリジェンスや早期警戒という言葉が取り上げられるようになりつつある。「たくらみ」を事前に検知して手を打ったり、盗まれたデータがどこまで出回っているかを判断し、対処を変えるなど、インテリジェンスをもとに、セキュリティモデルの再構築が今後行われていくという。

●西本の説くセキュリティ心得:運・鈍・根(うん・どん・こん)

 セキュリティに携わる者の意識改革も語られた。「運・鈍・根」という三つの言葉がビジネス成功の三条件として語られることがある。幸運と、粘り強さ(鈍)、根気が成功をもたらすという意味だが、これはセキュリティにもあてはまるとこれまで西本氏は何度も感じてきたという。

「よくこの兆候に気が付いたね!」

「いや、たまたま見つけちゃったんですよ」

「一つ間違えたら大きいインシデントになっていたかもしれない」

「ただ、運がよかっただけです」

 そんなやりとりが現場ではよくあるという。しかし決して、神頼みの話ではない。セキュリティ管理の幸運を引き寄せる企業は、根気よくコツコツと必要なことを続けてきた背景が存在すると西本氏は語る。

 加えて西本氏は、反撃が出来ない日本においてはセキュリティ対策こそ「鈍」に見えるのがよいという。西本氏の肌感覚では、先鋭的なセキュリティ対策を実装すると、攻撃側もそれを知って、高い意欲で向かってくる傾向があるという。だから、たいしたセキュリティ対策を講じていないようにあえて見せかけ、攻撃者に楽勝と思わせて、その実、やってもやっても攻撃を成功させないことで相手に薄気味悪さを与える、これがクレバーなセキュリティ対策だと西本氏は語る。

 が、本当に「鈍」だったら話にならないのがセキュリティの世界だ。そしてこの「鈍」を支えるのがインテリジェンスだという。

 この新しい運・鈍・根の考え方。まさに西本氏の人となりそのものでもないのかと感じた。当日の講演に足を運んだ読者は、見せかけの「鈍」をまといながら、飄々と攻撃を防いだリアルな事例や、これからのインテリジェンスを活用した対策方法が聞けるかもしれない。

 即興演奏の「西本節」は、“オンステージ” で聞くことにこそ価値がある。きっと、この先何年も忘れない、セキュリティ管理実務や戦略の励みとなる「言葉の贈り物」をいくつも受け取ることだろう。

《株式会社イメージズ・アンド・ワーズ 鳴海まや子》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 新型コロナウイルスに関する注意喚起メール誤送信、24事業者アドレス流出(神戸市)

    新型コロナウイルスに関する注意喚起メール誤送信、24事業者アドレス流出(神戸市)

  2. gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

    gmai.com ドメインは実在、タイプミス誤送信 法人情報流出(新潟県)

  3. 攻撃プロセスなど不正アクセスに関する情報を共有(三菱電機)

    攻撃プロセスなど不正アクセスに関する情報を共有(三菱電機)

  4. 上野宣氏のような人材も 情報セキュリティ人材のマッチングサービス「vCISO」正式サービスイン(GSX)

    上野宣氏のような人材も 情報セキュリティ人材のマッチングサービス「vCISO」正式サービスイン(GSX)

  5. 「情報セキュリティ文化賞」発表、上野宣氏、川口洋氏など6名が受賞(情報セキュリティ大学院大学)

    「情報セキュリティ文化賞」発表、上野宣氏、川口洋氏など6名が受賞(情報セキュリティ大学院大学)

  6. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  7. タイプミスしたメールアドレス実在し数ヶ月「全員に返信」、調査で類似事案も発見(佐賀県)

    タイプミスしたメールアドレス実在し数ヶ月「全員に返信」、調査で類似事案も発見(佐賀県)

  8. マイクロソフトが2月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

    マイクロソフトが2月のセキュリティ情報を公開、悪用も確認(IPA、JPCERT/CC)

  9. サポート終了の「IBM ServeRAID Manager」にリモートコード実行の脆弱性(JVN)

    サポート終了の「IBM ServeRAID Manager」にリモートコード実行の脆弱性(JVN)

  10. 不正アクセス原因「設定不備」と並び「不明」もトップ、究明の難しさ反映(IPA)

    不正アクセス原因「設定不備」と並び「不明」もトップ、究明の難しさ反映(IPA)

ランキングをもっと見る