2018.12.10技術トレンド／展望

攻撃者目線で考える、情報の「機密性」の守り方～泥棒対策とサイバーキルチェーン～

情報セキュリティの3要件として、可用性（使いたいときに使える）、完全性（情報に誤りがない）、機密性（重要な秘密を守る）が広く知られている。前回まで2回にわたり、火災対策や食の安全といった現実世界のリスク対策を例に、サイバー世界の「可用性」、「完全性」について解説した。（「家庭における火災対策」と「サイバーセキュリティフレームワーク」、食の安全から考える、情報の「完全性」～他人事ではない「異物混入」～）シリーズ最後の本稿では、現実世界の「泥棒」を題材に、サイバー世界における「機密性」とセキュリティ対策の考え方を紹介する。

「機密性」とは

「機密性」と聞くと何を思い浮かべますか？「機密情報」、「機密文書」など、他人に漏らしてはいけない、取り扱いに注意しなければならない、というようなイメージが浮かんだのではないでしょうか。
「機密性（confidentiality）」とは、「許可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性（JIS Q 27000:2014）」のことを言います。（※1）例えば、Aさんの銀行口座の残高はAさんしか見られない、Bさんが公開範囲を「友達のみ」と設定したSNSの投稿はBさんの友達しか見られない、などです。

「機密性」が侵害されると？守るためには？

不正アクセスや情報漏洩により、IDやパスワード、クレジットカード情報など、あなたの大切な情報が他人に知られてしまったら、何が起こるでしょうか？SNSアカウントが乗っ取られ詐欺に利用されたり、身に覚えのない多額の請求が来たり…。あなた以外の人間があなたの情報を勝手に使うことができてしまうと、様々な不利益を被る恐れがあるのです。
では、情報の機密性を守る、つまり、あなたの大切な情報を盗み取る「泥棒」から身を守るためには、どうすればよいでしょうか？まずは自分が泥棒になったつもりで、「どうやったら盗めるか」考えてみましょう。

どうすれば手に入る？

あなたはX社の社員です。ライバルのY社よりも先に特許を出すために、Y社の「設計図」を手に入れなければなりません。さて、あなたならどうしますか？

（1）Y社について情報収集を行う。侵入に必要な道具などを用意する。（準備）
（2）共連れやなりすまし、ピッキングなど、何らかの方法で侵入する。（侵入）
（3）関係者のふりをして社内の人から聞き出す、手あたり次第いろいろな部屋を探す、などして設計図を見つけ出す。（盗む）
（4）設計図を持ち帰る。（持ち出す）
（5）盗んだ設計図を利用して特許を出す。（目的達成）

たとえば、こんな感じでしょうか。目的達成までに複数のステップを踏む必要がありますね。

泥棒が目的を果たすことができるのは、（1）～（5）のすべてがうまくいった場合のみです。つまり、たとえ泥棒の侵入と設計図の窃取を許してしまったとしても、最終的に持ち出しを阻止することができれば泥棒は目的を達成できません。したがって、侵入を阻止する（入口対策）、設計図が見つからないようにする（内部対策）、社外へ持ち出せないようにする（出口対策）などの対策を行い、（1）～（5）のどこかで流れを断ち切ることができれば、被害を防ぐことができるのです。

現実世界の泥棒対策とサイバー世界のセキュリティ対策の考え方は同じ！

実は、サイバー世界におけるセキュリティ対策も考え方は同じです。サイバー空間における攻撃者の行動をモデル化した考え方を”Cyber Kill Chain”（サイバーキルチェーン）（※2）と呼びます。

泥棒対策と同様に、守る側はこのサイバーキルチェーンの各ステップにおける対策を考えることで、攻撃を断ち切ることができます。現実世界の泥棒対策とサイバー世界のセキュリティ対策を並べてみましょう。

このように、泥棒もサイバー攻撃も、入口対策、内部対策、出口対策を行うことでチェーンを断ち切り、被害を防ぐことができるのです。

多層防御の重要性

泥棒やサイバー攻撃を防ぐためには、上記チェーンのどこか一ヶ所でも切ることができればよいわけですが、だからといって、一ヶ所だけ対策しておけばよいというわけではありません。
世の中に100％成功する対策は存在せず、手を打っていたとしてもすり抜けられてしまうリスクは常にあります。例えば、警備員が見逃してしまう（IDS/IPSで検知されない）、金庫の鍵番号を手当たり次第に試して開けられてしまう（パスワードを総当たりで解析される）などは十分に起こり得ます。
したがって、セキュリティを強化するうえでは、入口、内部、出口のすべてのステップにおいて対策を行う「多層防御」が非常に重要なのです。

おわりに

現実世界のリスク対策から考える、情報セキュリティ3要件とその守り方シリーズはいかがでしたか。
高度情報社会と言われる今、情報はお金と同じ、もしくはそれ以上に価値があります。情報の「可用性」「完全性」「機密性」というと難しく聞こえるかもしれませんが、お金を使いたいときに引き出せなかったら？ニセ札だったら？お金を盗まれたら？と考えてみると、3要件はどれも当たり前に満たされなければならないことがわかると思います。
また、インターネットなど情報通信技術の発達により世の中が便利になる一方で、サイバー攻撃によって情報の安全性が脅かされる危険も高まっています。本シリーズで紹介した「情報セキュリティのCIA」、「サイバーキルチェーン」、「多層防御」などの考え方が、皆様のセキュリティレベル向上の一助となれば幸いです。