[レポート][株式会社日立システムズ]DXが実現する持続可能な社会のために – CODE BLUE 2021 #codeblue_jp

CODE BLUE 2021で行われた「[株式会社日立システムズ]DXが実現する持続可能な社会のために」というセッションのレポートです。

#CODE BLUE

#CODE BLUE 2021

#セキュリティ

臼田佳祐

2021.10.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、臼田です。

今回はCODE BLUE 2021で行われた以下のセッションのレポートです。

[株式会社日立システムズ]DXが実現する持続可能な社会のために DXが実現する社会インフラの変革を推し進めるうえで、サイバーセキュリティは避けて通れません。本公演では、DXにおけるサイバーセキュリティについて、SNSにおける「ディスインフォメーション（Disinformation）への対処」、目まぐるしく変化する「DX犯罪への取り組み」、事業継続のための「サイバー事案対処訓練(TTXの活用)」、この3つの視点からお話しいたします。

Presented by : 小原凡司…笹川平和財団安全保障研究グループ　上席研究員丹京真一…株式会社日立システムズサイバーセキュリティリサーチセンタ　センタ長坂本美子…株式会社日立システムズサイバーセキュリティ対応グループ主任技師

レポート

Dis-informationの検知ができないか、という研究
- Hybrid戦
- おどろおどろしい話
- Dis-informationについて話すことがなぜ重要なのか？
  - 個人や経済的な活動にも関わる
    - 電子決済や海外送金などもデジタル
    - 人命や軍事にかかわるところも
    - ネットワークをベースに行われている
  - 戦争の概念が変わっている
    - グレーゾーン
    - 武力行使を実際にするわけではない
    - いかに相手を屈服させるか
  - ネットワーク上の情報をいかに安全に使えるかが取り組むべき課題
- ネットワーク上の情報を脅かす脅威
  - サイバー攻撃
  - かんたんな話ではない
  - ターゲットになるシステムに直接入るだけではない
  - サプライチェーン
  - 一番脆弱性の高いシステムから入ってくることはハッカーの常套手段
  - クローズドシステムでもマルウェアが入り込む可能性がある
  - アメリカではドローンが落ちたりした
  - セキュリティクリアランスが必要
  - 商取引があるところにセキュリティクリアランスを求める
  - これができないと情報共有が難しくなる
- サイバー犯罪は情報を盗んだり金銭の搾取だけではない
  - 発電所の発電機を破壊する例
  - 情報だけではない
  - アメリカは重要インフラへの攻撃は軍事攻撃とみなすと宣言
  - サイバー攻撃の幅は広い
  - イランの原子力発電の回転数を変えた
  - 情報が滞ることもある
  - ネットワーク自体への攻撃
  - インターネットを流れる95%の情報は海底ケーブルを使っている
  - 陸揚げ局への攻撃により流れが止まる可能性がある
  - 宇宙・衛星への攻撃手段もある
- そして偽情報もその1つ
  - 偽情報をベースに人は攻撃を起こすことがある
  - これもサイバーセキュリティとして考えなければいけない
- Hot WarとPeace Time(平時)
  - 間にグレーゾーンがある
  - 本当に平時は存在するのか？
  - 常にグレーゾーンでは
  - Public Diplomacyに偽情報を入れられる
  - ネットワークインフラへの違法工作も行われる
  - ジャミングもある
  - 衛星破壊の手段も存在する
    - 物理的に破壊されると戻せない
    - 非可逆的な手段
  - サイバー攻撃やジャミングは可逆的な手段
  - 攻撃の手段としては可逆的なものは優先度は低い
  - しかし可逆的であれば手軽に使える
  - GPSと同じ周波数を使って違う情報を載せることができる
  - 兵器システムへのジャミングもある
  - マルウェアは平時から展開され、時限式やコマンドで起動する
  - 相手の社会を混乱させるため金融や公共システムへの攻撃が行われる
  - 戦争するなら、すぐに乗り込むのではなく情報戦から行われる
  - 交通システム・信号システムで電車が止まったり事故
  - 航空や金融も同じように混乱につながる
  - こういったところにDis-informationを活用する
  - 戦争が迫り動かす場合にはデモ活動に人を割く
  - 内部での対立を煽る
  - そこに政治介入させる
  - こうして社会の混乱を起こす
  - これらを一体にして攻撃してくる
  - そして、何が起因なのかわからないようにすることがハイブリッド戦
  - 軍事戦力を集めるとすぐに気づかれる、衛星などで
  - どこから起こすかを隠す
  - グレーゾーンは綺麗なグラデーションではない
- Dis-informationキャンペーン
  - 議会を選挙した話
  - 明確な根拠は無いが極左を利用して極右を煽っているのであればDis-informationになる
- どのようにしてキャンペーンを行うのか
  - 偽情報の拡散は早くなければいけない
  - 伝統的なメディアは根拠を確認して流す
  - キャンペーンは根拠はない
  - どこかで突出して出てくる
  - キャンペーンに対する有効な措置は国民の教育
  - 情報リテラシー
  - 偽情報から拡散されて軍事介入する例もある
  - 政府がいち早く情報を出すことでカウンターとなる
  - 情報を見る人間がいかに興味を持ってくれるかを念頭に発信する
- DDS-19というシステムを研究している
  - 民間の人がDis-informationを全く認知できないかと言うとそうではない
  - Dis-informationのような拡散があるものをどうやって検知するか
  - 100%ではないので、アラートシステムのような位置づけ
  - こういうアラートから人は偽情報を判断しやすいのではないか
  - 政府や警察でも役立つのでは
DX社会に伴うサイバー犯罪環境の変化
- COVID-19によりDXが急速に伸展している
- サイバー犯罪も合わせて変わっている
- フィッシングサイトは2,3倍に増えている
- 何がターゲットになっているのか？
- 統計では2020/3ぐらいから急速に増えている
- スマホによりSMSが活用される
  - 宅配や置き配など
  - 偽のSMS配達などでアプリやフィッシングサイトへの誘導
  - SMSでは誰が送ってきたか正確な情報がわからない
  - 攻撃者が悪用しやすい
  - 「不在のため荷物を持ち帰りました。ご確認ください」とURLを踏ませる
- 認証と認証代行
  - 手間やわかりづらさから代行が横行している
  - 日本では1件あたり1,000円程度で行われている
  - 代行しなかったりアカウント情報を盗んだりしている
  - 認証代行の検挙事例
    - 代行者も代行依頼者も悪意を持っている
    - 匿名アカウントで不正を働こうとしている
    - 両者とも検挙された
- 詐欺ビジネスの変化
  - 以前はダークウェブなどでやり取りされていた
  - 一部を代行する犯罪サービスに発展
- ランサムウェアのビジネスモデル
  - 計画
  - 調達
  - 構築
  - 誘導
  - 詐取
  - 現在ではワンストップでサービス提供するRansomware As A Service(RaaS)が存在する
- 個人や法人の口座を守る
  - オンラインバンキング利用も増えている
  - オンラインバンキングのフィッシング詐欺は昔からよく行われている
  - 金融機関側でも対策が必須
- まとめ
  - 現実空間とサイバー空間がシームレスに繋がっていて便利な世の中になっている
  - 犯罪者にとっても絶好のターゲット
  - 利用者としては賢く対応
  - 技術者としては犯罪対策の技術向上や推進
事業継続のためのサイバー事案対処訓練(TTXの活用)
- ビジネスモデルの変化が研究課題になった
  - どのように変わったか
    - 接触回避
    - 行動規制
    - リモートワークの普及
    - 働く場所を選ばない
  - 組織のいたる所にデジタルが浸透
  - サイバー攻撃を受ける起点が増えている
  - 新たなビジネスモデルにフィットしたBCPができているか
  - TTXが有効
- サイバー事案対処訓練 - TTX
  - 目的に応じたものがある
    - インシデントレスポンス型のTTX
    - BCP体験型のTTX
      - 組織横断型
      - IT部門に限らず活用できる
      - 模擬体験を通じて気づきを得ることができる
  - TTXに必要なもの
    - シナリオ環境設定
      - 組織体制や規定など実際のものをベースにする
      - 臨場感をもたせる
    - ファシリテータ
      - スムーズに進むように誘導
    - プレイヤー
      - 組織横断で
      - 意思決定する人や広報など、役割を設定する
- シナリオイメージ
  - 新しい受付端末が身代金ウイルスに感染して使えない
  - データが暗号化されていて復旧に時間がかかる
  - 何を確認すればいいのか？影響範囲やエスカレーションなど、課題に気づける
- TTXで得られること
  - うまく対処できなかった事例を通して気づくことができる
  - 問題点をフィードバックすることで改善につなげることができる
  - タイミングタイミングで継続的に行うことが必要
- まとめ
  - リテラシー向上のためにTTXを
  - オンラインやハイブリッドでの開催も検討しましょう