セキュリティの
学び場

今回の解説ニュース

セキュリティ関連の知識について、聞くに聞けない状況があるようです。あまり理解されていないセキュリティ用語や、セキュリティ担当者のコミュニケーション問題が発生している背景について説明します。

今回の調査は、24の国と地域のITもしくはITセキュリティ部門以外の経営幹部2,300人を対象に実施されました。結果として、経営幹部のうち22％は、ITもしくはITセキュリティ部門との会議中に理解できないことがあっても伝えることをためらうと回答しています。

理由として「会議後にその関係者に確認したい」が50％、「自分で解決したい」が38％と大半を占める一方で、「IT担当者から分かりやすい説明があるとは思えない」という回答も37％あり、34％は話題を理解できないと明かすことをきまり悪く感じていることや、33％はIT担当者から知識不足だと思われたくないと考えているということです。

認知度の低いセキュリティ関連用語「ボットネット」とは

ボットネットとは、様々な作業を自動化したプログラムであるボットで構成するネットワークです。マルウェアに感染してボット化した端末と、その端末をコントロールする攻撃者の指令サーバによって構成されており、DDoS攻撃やフィッシングメールの送信などに悪用されています。

2016年には、Miraiと呼ばれるマルウェアに感染した無数のIoT機器がボットネットを形成し、大規模なDDoS攻撃に悪用されました。つまり、皆さんも普段使っているパソコンだけでなく、ネットワークカメラやデジタル家電など、インターネットにつながる様々な機器がボットネットの一部になってしまう可能性があることに注意することが必要です。

端末をボット化させないための対策として、デフォルトのパスワードを変更する、OSやソフトウェアを定期的に更新するなど、基本的なセキュリティ対策がIoT機器も含めて求められます。

理解が難しいという方々にも知って参加してもらう働きかけは必須なのか

全員参加のセキュリティを実現するためには、あらゆる格差を埋める必要があります。そのためには、日本語で「公平性」の意味に当たるエクイティの考え方が必要です。

例えば、セキュリティ業界未経験のAさんと長年業界に携わっているBさんが、セキュリティエンジニアとして新しく仕事を始めるとします。AさんとBさんとでは、セキュリティ業界での経験年数が違いますので、当然ながらBさんの方がセキュリティの知識に関しては豊富です。この能力差について考慮されず、平等の名のもとに一律の機会だけ提供されていては、Bさんはセキュリティエンジニアとして活躍できたとしても、Aさんはセキュリティ業界で新しい仕事に就く機会すら得ることができないかもしれません。

このように、人には多様な個性があり、それは本人の意思だけでは埋めることのできない格差があります。このような状況から、多くの人の挑戦を受け入れるために、セキュリティ業界でも公平な機会を提供しようとするエクイティの考え方が必要であると考えます。

今回の調査によると、日本でも16%の経営幹部が会議中に理解できないことがあっても伝えられず、63%が知識不足だと思われたくないと考えているようです。この、聞けずに取り残されている人を生んでしまっていることや、能力格差を認められないと感じてしまっている現状そのものが、エクイティの欠如であるとも言うことができるのではないでしょうか。

今回は、あまり理解されていないセキュリティ用語や、セキュリティ担当者のコミュニケーション問題が発生している背景についてお届けしました。