異業種に学べ――ちょっとした違和感をきっかけに、被害を未然に防ぐ

　ここで、製造業とは異なる業界での事例を紹介しましょう。暗号通貨を取り扱うコインチェックという企業のインシデント対応例です。

　コインチェックといえば、2018年1月に不正アクセスを受け、当時約580億円相当の仮想通貨が流出した事件で一躍有名になってしまった企業です。しかしその後、セキュリティ人材を重点的に投入／育成しています。それが功を奏したのか、2020年6月初旬に下記のようなインシデントレポートが発表されています。

　このインシデントを簡単に解説すると、コインチェックが保持する「coincheck.com」というドメインの管理情報が書き換えられ、不正なサーバを経由してしまったというもの。コインチェックのサーバを攻撃するのではなく、coincheck.comが指すサーバを置き換えてしまうという、非常に大胆な攻撃手法でした。では、ドメインを管理しているのは誰でしょうか。実はこれはコインチェック本体ではなく、外部のドメイン管理事業者なのです。まさに、サプライチェーンの弱い部分が狙われたという意味で、製造業に限らずドメインを所有する全ての企業に起きえるインシデントなのです。

　このインシデントレポートで注目すべきは2つあります。1つは、初報から最終報告までわずか3日しかなかったこと。これはコインチェックの体制がいかに強化されているかということを示しています。こちらはなかなかまねができないでしょう。もう一つは、このインシデントが明らかになったきっかけです。

　レポートによると、このインシデントが発覚したきっかけとして「監視業務にてレスポンスの遅延を検知し関連システムの調査を開始」という一文が挙げられています。たった一行の文言ですが、そもそも監視業務でレスポンスの遅延を検知するためには、定常状態がはっきりとしていることが必要です。これだけでも、監視業務が厳格に行われ続けていたということが分かります。

　おそらく、工場のライン業務など目に見えるものであれば、ほんの少しの遅延が数値上だけでなく、現場の人間の体感でも把握できるでしょう。しかしITシステムは目に見えにくいもの。そこをしっかり拾い上げたことがまず素晴らしいです。そして、その違和感が「もしかしたら、攻撃を受けているのかも」という想像につながり、実際に兆候につなげられたというのは、セキュリティの専門家であっても驚きの流れです。その意味で、このコインチェックの動きは簡単にまねできることではありません。

　では、こう考えてみてはいかがでしょうか。一人一人が気を付け、違和感を絶対に逃さない――なんてことはまず不可能です。ITセキュリティの世界であっても検知率100％なんていう製品は存在しません。でも、担当者が10人、100人といたとしたら、そのほとんどがスルーしてしまっても、誰か一人が「あれっ？」と思うことはできるような気がしませんか？ ならば、その違和感を違和感だけで終わらせるのではなく、もしかしたら狙われているのかもしれないと、しかるべきところに報告するルートを持っていれば、そこから調査に入ることができます。調査はIT部門の専門家がやるべきでしょう。でも、「あれっ？」という違和感を持つことは、おそらく現場の皆さんしかできません。

サプライチェーンへの攻撃は、サプライチェーン全体で守る

　ITセキュリティの世界では、「気を付ける」だけでは対策になり得ません。しかし、気を付けることに意味がないわけではありません。日本の製造業は優秀だからこそ、世界中から狙われています。サプライチェーンへの攻撃から身を守ることは、全ての業種で悩みの種になっています。だからこそ、全員がその意識を持ち、ほんの少しでも違和感を持った場合、それをきっかけに動ける仕組みはそれなりに有効なのではないかと感じています。

　皆さんの組織では、そのちょっとしたことを報告するルートはありますでしょうか？ ぜひ、これらの話をきっかけに、“カイゼン”を進めてみてはいかがでしょうか（次回に続く）。

⇒ 新着ホワイトペーパーをチェックする

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さまに覚えていただけるようなコラムにしたいと思います。お楽しみに！