ワールドカップから学ぶサイバーセキュリティのレジリエンス

ワールドカップが幕を閉じた今、サイバーセキュリティの観点から最も注目すべきは、実は「何も起こらなかった」という事実かもしれません。大規模な公的サイバー障害は報告されていませんが、だからといってリスクがなかったわけではありません。

大会開幕前、FBIのインターネット犯罪苦情センター（IC3）は、FIFAの大会になりすました詐欺サイトについて組織やファンに注意を呼びかける公共広報文を発表しました。これは、大きく報道されるような侵害が起きなかったからといって、悪意ある攻撃者が何も試みなかったわけではないことを示しています。むしろ、これほどの規模のイベントを安全に運営するために必要な計画、連携、そしてレジリエンスの成果だったと言えるでしょう。

ワールドカップのような世界的イベントは、スタジアム内で起きることだけに支えられているわけではありません。地方自治体、会場、交通システム、通信事業者、決済プラットフォーム、ホテル、各種業者、公共安全機関、そして法執行機関など、あらゆる主体が連携して初めて成り立っています。

私がFBIに在籍していた頃、大規模イベントが機関・地域・企業間の連携をいかに素早く試されるものかを目の当たりにしてきました。ワールドカップは、他に類を見ない規模でその真価を試すものでした。

レジリエンスの成否は開幕の数か月前に決まる

大規模イベントのセキュリティが成功するかどうかは、目に見えるインシデントが起きるずっと前の段階、すなわち信頼関係の構築、役割分担の明確化、情報共有、対応計画の策定にかかっています。イベントが単一の都市や会場に限定されない場合、こうした計画の重要性はさらに増します。

かつてイベントセキュリティといえば、警備員、ゲート、スタジアムの境界線を意味していました。これらは今も重要ですが、全体像のごく一部に過ぎません。何百万人もの人々を集める今日の大規模イベントは、多くのシステムが連携して初めて機能します。リスクの全体像を単独で把握できる組織は存在しません。つまりレジリエンスは、これらの組織同士がどれだけうまく情報を共有し、対応計画を調整し、圧力下でも重要なサービスを維持できるかにかかっているのです。これは、セキュリティを単一の境界線を中心に計画することはできないということを意味します。真の境界線とは、イベントを取り巻くエコシステム全体なのです。

レジリエンスは、通常は一つのチームとして動くことのない組織同士が連携して計画を立てる、はるか前の段階から始まります。大規模イベントの真の試金石となるのは、公的機関と民間パートナーが、圧力にさらされる前に自らの役割を理解しているかどうかです。それには、誰が情報を共有するのか、誰が脅威を検証するのか、誰が一般向けに情報発信するのか、誰が意思決定権を持つのか、そしてシステムの動作が遅くなったり利用不能になったりした際にパートナー同士がどれだけ迅速に動けるか、といった点が含まれます。

大規模イベントのレジリエンスは、それを支えるシステム次第

攻撃者は、最も目立つ組織を侵害する必要はありません。イベントを取り巻くエコシステム全体の中から、より脆弱な箇所を探し出せばよいのです。障害は業者、チケット販売プラットフォーム、交通機関のパートナー、決済プロバイダー、ホテル、契約業者、通信事業者など、どこから始まってもおかしくありませんが、その影響は瞬く間に単一組織の枠を超えて広がっていきます。

スポーツ団体は今や、チケット販売システム、VIP向けデータ、スポンサー、業者、メディアパートナー、スタジアム運営、決済システム、ファンエンゲージメント用プラットフォームを抱える大企業さながらに運営されています。こうした団体は業者やパートナーのネットワークに依存しており、それが複数の侵入経路を生み出しているのです。

このリスクは時間とともに膨らんでいきます。イベントの開幕が近づき、注目度が高まるほど、より魅力的な標的となるからです。偽のFIFAチケットサイトも、最終戦から1か月経てば犯罪者にとって何の価値もありません。こうした偽サイトを運営するグループを追う側は、開幕日が近づくにつれてより迅速に行動し、脅威インテリジェンスを遅滞なく共有しなければなりません。

脅威インテリジェンスが、計画を能動的な防御に変える

ワールドカップは終わりましたが、なすべきことはまだ終わっていません。都市、政府、そして民間組織は今後も、複雑なデジタル・物理エコシステムに依存する大規模な公共イベントを支え続けることになります。問題は、次の大規模イベントがサイバー脅威に直面するかどうかではなく、その計画が十分早い段階から始まっているかどうかです。

今後の大規模イベントに関わる組織は、防止だけでなくレジリエンスにも重点を置くべきです。つまり、重要なシステムの動作が遅くなったり、オフラインになったり、信頼性を失ったりした場合にどう対応するかを計画し、インシデントが発生する前にパートナー同士が連携方法を理解しておくようにすることです。

大規模イベントは常に、防御側に既知のリスクへの備えを求めます。より難しい課題は、まだ表面化していないリスクを予測することです。

次の大規模な障害は、組織が何か月もかけて備えてきた攻撃からもたらされるとは限りません。新たな依存関係を狙ったり、新興技術の脆弱性を突いたり、世間の注目が最も高まる瞬間を利用したりする可能性もあります。だからこそ、レジリエンスは過去の対応策の焼き直しでは築けません。継続的な脅威インテリジェンス、公的機関と民間パートナー間の定期的な連携、そして脅威の状況が変化するのに合わせて適応できる柔軟性に裏打ちされている必要があるのです。

ワールドカップは、こうした備えが噛み合ったときに何が可能になるかを実証しました。都市、政府、民間組織が今後の世界的イベントを見据える中で、その成功は、防いだ攻撃の数だけで測られるものではありません。重要な業務をいかに効果的に維持し、情報を共有し、不測の事態が起きたときに圧力下でどれだけ適応できるかによって測られることになるでしょう。