この方向性は実に正しいと思います。攻撃は巧妙化し、パズルを解くように攻撃の小さな糸を通し、最終的にはハッカーが求めるゴールに到達してしまいます。何をどう守るかを理解しないまま防御することは不可能ですので、まずは（シミュレーターで）攻撃に晒されてみて、その後、防御方法を考えるということは大変重要です。IT分野でよく使われてきたCTFが、産業制御システムの防御にも活用され始めたというのは知っておいて損はないと思います。

産業制御システムに対する実際の攻撃事例では、比較的単純なリプレイ攻撃が成立してしまっている

「楽しく攻撃」から始めるサイバーセキュリティ

　CTFをはじめとする、ゲーム形式でのセキュリティ知識向上策は既に歴史もあり、現在でも（IT分野においては）全国各地でイベントが開催されています。入り口としてはIT分野における「Hardening」の取り組みなどに参加しつつ、その雰囲気と堅牢化の意義などを体感することが第一歩になるかもしれません。

　こういった「楽しく守る」ということは非常に重要です。もしかしたら皆さんの組織の中でも、こういったことに興味を持つ方がいらっしゃるのではないかと思います。そんなラッキーな状況があるのならば、その方にしっかりと予算と時間を与え、興味を伸ばすということが、セキュリティ人材育成に最も有効になる施策になり得ます。この点に関しては、「ウチは工場メインだから他と違う」とか「産業制御系だとうまくいかないでしょ？」みたいなことはないと思います。むしろ異業種だからこそ鋭い意見が出てくる可能性もありますので、意欲を信じ、サイバーセキュリティ対策の興味を維持することに注力してほしいと思います。

　最近では、システムインテグレーションもできる限り内製したいというニーズが増えているようです。セキュリティも専門的なナレッジなどは外部を有効に活用する必要がありますが、システムそのものを最もよく知るのは組織の中の人間のはず。その知識を持ち、さらに攻撃者の意図をくめるようになったとしたならば、本物の攻撃者にとってはこれ以上ない脅威になるはずです。それを目指し、まずは上記に挙げたような「楽しく思えるセキュリティ対策」に取り組んでみてはいかがでしょうか。（次回に続く）

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！