回避を目的として設計されたもの：重要インフラの攻撃対象領域の拡大

• 重要インフラは、企業ネットワークに起因する障害に見舞われる可能性があり、最近の公的医療機関での事例は、悪意のあるファイルに関わるたった1人のユーザーの行動が、いかにして業務の混乱へと連鎖していくかを示しています。
• 電子メールは、依然として攻撃対象領域において最も活発に利用される経路の一つであり、その設計上、大規模に、マシンとそれを操作する人々の双方に到達するチャネルとなっています。
• エアギャップ環境であっても、依然として接続側からのコンテンツに依存しているため、ファイルがより機密性の高いシステムに流入する前に、上流側での検査を行うことが重要となります。
• イノベーションはレジリエンスにとって不可欠ですが、新しいベンダー、統合、更新チャネルについては、それらがもたらす運用上のメリットと同等の注意を払って計画すべきです。
• こうした現実を踏まえて構築された防御体制では、電子メールのセキュリティを、多層的かつ包括的なモデルの柱の一つとして位置づけ、コンテンツが人間や機械といった読者のもとに届く前に、リスクを検査・低減します。

重要インフラにおいて、隔離はしばしばセキュリティの最終目標と見なされてきました。ネットワークをセグメント化し、最も機密性の高いシステムをエアギャップで隔離すれば、問題は封じ込められるというわけです。しかし、業務運営は、隔離された中核部分の外部で行われています。スケジューリング、物流、請求処理、プロセス履歴管理、監視などです。その領域もまた、攻撃対象領域なのです。

つまり、重要なのはエアギャップの向こう側に何があるかだけでなく、何かがそこに到達する前に何を遮断できるかという点です。エアギャップの向こう側では完全に機能し得ない病院、銀行、交通網など、多くの重要インフラ組織にとって、ビジネスネットワークはシステム環境の主要な部分を占めています。

そして、その領域には、とりわけ利用頻度の高い「玄関口」が一つあります。電子メールは、攻撃対象領域の中で最も利用頻度の高いゲートの一つであり、あらゆる組織が意図的に開放しているチャネルです。なぜなら、業務上の情報――ベンダーからの更新情報、請負業者からの文書、プロジェクトの立ち上げに使われるスプレッドシートなど――は、すべてこの経路を通じて届くからです。電子メールには二重の脅威が潜んでいます。一つは、実行されるファイルやリンクを介してマシンに侵入すること、もう一つは、ユーザーを説得してそれらのファイルを開かせることです。これほど大規模に両方の脅威をもたらすチャネルは他にほとんどありません。 以下に紹介する事例は公に記録されているものであり、電子メール、悪意のあるファイル、あるいは信頼されたユーザーによる行動が、いかにしてより広範な業務中断への第一歩となり得るかを示しています。

アイルランドの保健サービス執行機関（HSE）は、完全な透明性を重視し、 独立した調査を委託・公表した数少ない被害機関の一つであり、そのためこの事例を詳細に検証することができる。 2021年3月、あるユーザーがフィッシングメールに反応したことで、ワークステーションがマルウェアに感染した。その後、攻撃者は8週間にわたりシステム内部で活動を続け、その間にサーバーや特権アカウントを乗っ取り、横方向への移動を行い、データを盗み出した。そして、全国規模での混乱が顕在化する前に、ランサムウェアを起動させた。 同医療サービス機関は、感染拡大を食い止めるためITシステムを停止した。病院では紙とペンによる業務に戻り、全国で予約がキャンセルされ、復旧には4ヶ月以上を要した。2024年11月時点で、復旧費用は1億200万ユーロと推定されている。

電子メールのセキュリティ上の不備は、単なるメールの問題にとどまることはめったにありません。それは連鎖反応を引き起こし、業務や事業の混乱につながり、さらには金銭的な損失をもたらす可能性もあります。2024年、 アセンション社は、ある従業員が「純粋なミス」として組織側が説明する状況下で、悪意のあるファイルをダウンロードしてしまったと 発表しました。この事件により、米国最大級の病院ネットワークの一つである同社は、救急車の迂回や診療の延期を余儀なくされ、後に5,599,699人が影響を受けたと報告しました。

セキュリティ責任者が考慮すべきシナリオの一つは、当初は何も起こらず、攻撃者が企業ネットワーク内に潜伏し、ネットワーク図、技術文書、認証情報、保守スケジュール、さらにはデータ転送のワークフローそのものを読み取っているというものです。 そして、その「読み取り」が「行動」に転じたとき、その影響は物理的な世界にまで及ぶ可能性があります。2015年にウクライナの電力網を標的とした攻撃は、まさにそのように展開されたと報じられています。公開された報告や技術的分析によると、BlackEnergyマルウェアを仕込んだスピアフィッシングメールによって企業ネットワークが事前に侵害され、その後、偵察、認証情報の窃取、そして変電所への組織的な妨害が行われたとされています。この事件により、およそ22万5,000人の顧客が影響を受けました。たった1通の信頼されたメッセージ、たった1つの日常的な行動が、複数の運用上の影響を引き起こしたのです。

重要インフラが革新を進めているのは、そうせざるを得ない状況にあるからです。脅威の状況は深刻化しており、稼働時間に対する期待は高まり、レジリエンス（回復力）は、よりスマートで、より高度に連携したシステムにますます依存するようになっています。 20年間同じロジックで稼働していた変電所が、今ではクラウド分析システムにデータを報告し、1シフトに1回手動で点検されていたポンプが、ベンダーにテレメトリデータをストリーミングし、故障を待ってから行われていたメンテナンスが、AIや機械学習を活用した予測に基づいて行われるようになった。こうした改善は、単なるオプションや余興ではなく、重要インフラが時代の流れに遅れを取らないための必須の手段である。周囲の技術とともにセキュリティモデルも進化していけば、そこには大きなチャンスが待ち受けている。

そのイノベーションの波が訪れるたびに、変化がもたらされます。新しいコード、新しい連携、新しいベンダー、更新チャネル、そして新しいリモートアクセス経路などです。綿密な計画があれば、こうした変化を管理することは可能です。セキュリティ責任者は、データの移動方法、ベンダーとの接続方法、更新の検証方法、そして機密性の高いワークフローに到達する前にコンテンツがどこで検査されるかを定義することができます。リスクとなるのはイノベーションそのものではなく、計画のない信頼なのです。 新しいベンダーや請負業者が加わるたびに、ユーザーが開封することが想定される添付ファイル、請求書、更新通知などを伴う新たなメールのやり取りが生まれる可能性があります。攻撃対象領域が拡大するにつれて、一見正当に見えるが実際には信頼できないものが侵入してくる侵入ポイントの数も増加します。

では、近代化のスピードが、それに合わせて設計された防御策のスピードを上回った場合、何が起こるのでしょうか？　それが「複合効果」です。たとえ今日、攻撃者の能力が頭打ちになったとしても、環境には新たな接続ポイントが次々と増え続けるため、脆弱性は依然として拡大し続ける可能性があります。AIや機械学習は防御側の運用レジリエンスを向上させることができますが、攻撃者の能力も鈍化する兆しはほとんど見られません。AIは攻撃側において、調査、標的選定、反復プロセスを加速させることができ、その結果、計画的かつ適応性のあるセキュリティは、イノベーションの障壁ではなく、責任あるイノベーションの一部となるのです。

5年後に自社の環境がどのような姿になるかを正確に予測できる事業者はほとんどいないため、今日のセキュリティアーキテクチャは、すでに「昨日」のトポロジーを防御しているだけかもしれない。目標はイノベーションを遅らせることではなく、セキュリティがイノベーションと並行して進化していくことを確実にすることである。隔離は依然として重要だが、それは唯一の解決策というよりは、より広範なレジリエンスモデルにおける一つの層として機能するものである。

セキュリティの責任者は、脅威を評価する際、しばしば次の3つの質問を投げかけます。「攻撃者には、意図、能力、そして機会があるか？」多くの重要インフラ環境において、これら3つすべての答えは、ますます「はい」となっているのです。

• 意図： 重要インフラは、被害者を綿密に調査した攻撃者によって意図的に標的とされており、その努力に見合うだけの潜在的な利益があるため、今後も魅力的な標的であり続ける可能性が高い。
• 特徴： 攻撃はますます工業化が進んでおり、AIによってキャンペーンの構築、テスト、およびローテーションにかかるコストが削減されている。
• 機会：イノベーションによって、かつては独立していたシステムが相互に接続されるようになり、コンテンツも依然として残っている境界を越え続けるにつれて、攻撃対象領域は変化しています。

これら3つすべてに共通する不変の事実が2つあります。一つは、業務を継続するために不可欠であるため、人々は今後もメールに頼り続けるということです。もう一つは、ビジネスのあり方そのものであるため、コンテンツは今後も私たちが引く多くの境界を越え続けていくということです。

そうした現実に即して構築された防御体制には、明確な形があります。それは、電子メールのセキュリティを境界線上で最も負荷の高いゲートの一つと位置づけ、包括的なモデルの柱の一つとして、それに相応しいリソースを割り当てます。 そのゲートには、それぞれ異なる役割を担う制御層を多層的に配置することで、人間であれ機械であれ、読者がコンテンツに触れる前に内容を検査し、リスクを低減します。また、運用ループ内でAIを活用した分析を行い、相関関係の特定、優先順位の決定、およびブロックされた攻撃からの学習を迅速化することで、攻撃者が設定するペースに近づきます。さらに、脅威環境は絶えず変化しているため、継続的な改善を責任ある近代化の一環として位置づけています。

自組織の環境に持ち帰って検討すべき質問は単純明快です。コンテンツが、損失を最も許容できないシステムへと移動していく際、それが真に検査される最後の地点はどこか、そしてその地点では、安全で信頼できるように見せかけるように仕組まれたコンテンツを見抜くことができるのか、ということです。多くの組織にとって、そのコンテンツが最初に到着した場所をたどると、たいてい同じ場所、つまり受信トレイに行き着いてしまいます。