Black Hat USA 2026 ―ラスベガス発―ボブ・ロード氏が2018年に民主党全国委員会(DNC)初の最高セキュリティ責任者(CSO)に就任したとき、彼は自分の顔を模した「ボブモジ」ステッカーを男性用小便器の上やトイレの個室、鏡などいたるところに貼り付けました。従業員が手を洗うたびに、彼の顔をかたどったアバターがセキュリティを最優先にするよう思い出させる仕掛けだったのです。
強固なセキュリティ文化を築き、それを維持するには、CSOは「バカバカしい」ことをする覚悟を持たなければならない――ロード氏はBlack Hat USA 2026でそう明かしました。現在はLord Consultingのコンサルタントを務めるロード氏と、その後任であるスティーブ・トラン氏は、2016年にロシアの国家的行為者によるハッキングを受けた同党組織がどのように防御体制を築き、その後もセキュリティ対策を進化させ続けてきたのかを説明しました。
DNCは周期的な組織であり、「目的は選挙に勝つことであって、よりセキュアになることではない」とトラン氏は述べていますが、両氏の提言やベストプラクティスは、業種を問わずさまざまな組織に応用できるものです。
「ボブモジ」は、ロード氏がセキュリティ意識を根付かせるために使った手法の一つに過ぎません。相応の労力を要するこの取り組みの一環として、彼は「Family Feud(な、なんと!?ファミリーフュード)」を模した「セキュリティ・フュード」というゲームも考案し、セキュリティチェックリストの重要性を従業員に浸透させました。ゲーム中、参加者たちが「ソフトウェアをアップデートしよう」「多要素認証を使おう」と叫び、ロード氏がハイタッチで応じる様子を見て、彼はこうした演出をやってよかったと確信したといいます。
現在はlyunoのCISOを務めるトラン氏が2022年にDNCのCSO職を引き継いだ際、彼はボブモジを「ボブルヘッド人形」に置き換えました。前任者と後任者は、人々にセキュリティへの関心を持ってもらうための手法という点で意見が一致していたのです。
想定外を想定する
しかし、トラン氏が職務を引き継いだ際、ロード氏の仕事の一部は彼の期待に沿わないものでした。あるセキュリティリーダーが別のリーダーから職務を引き継ぐ際にはよくあることだと、両氏は説明しています。CSOが新しい役職に就くと、まず環境や人材、プロセスを把握するための監査を行います。トラン氏はロード氏がどのような考えでその判断を下したのかを理解しようとしていただけであり、これはどんな後任者にとっても重要な作業だといえます。
両氏はメールスキャンの重要性について意見が食い違い、トラン氏はロード氏がChromebookを採用した判断にも戸惑いを覚えたといいます。しかし、組織文化の在り方を監査し、どのような取り組みが人々のセキュリティに対する考え方を変えたのかを見極めるという点では、両者の認識は一致していました。
DNCの従業員は、彼が予想していたような「高性能なWindowsマシン」を使っていませんでした。代わりに使っていたのはChromebookでした。トラン氏はこの導入は現実的でも実現可能でもないと考えていましたが、ロード氏はその予想が誤りであることを証明してみせました。
ロード氏によれば、Chromebookはよりセキュアな選択肢であるだけでなく、老朽化したWindowsインフラとアクティブディレクトリ(AD)コントローラーを立て直そうとするよりもコストを抑えられたといいます。オンプレミスのADは攻撃者にとって格好の標的になる、と彼は警鐘を鳴らしました。
「私はある種の予想を持ってこの職に就きました」とトラン氏はセッション中に語りました。ハードウェアセキュリティキーが導入されていたことや、強固な多要素認証(MFA)が実施されていたことについては、うれしい驚きだったといいます。
「一番難しい部分をやり遂げていましたね。膨大な数のユーザーにYubiKeyを登録させ、実際に使わせるというのは大変なことです」と彼はロード氏の方を向いて語りました。「ノートパソコンもきちんとロックダウンされていて、素晴らしかったです。パッチ適用も徹底させていましたし」
一方でトラン氏は、メールスキャンが導入されていなかったことに好ましくない驚きを覚えました。しかしロード氏にはそれなりの理由があり、トラン氏が欠けていると感じた部分は、実は彼が意図的にそうしていたものでした。ロード氏が目指していたのは、脅威アクターがメールであれSMSであれ、攻撃を仕掛けてきた「その瞬間」に食い止めることではなく、ソーシャルエンジニアリング詐欺そのものに対する耐性を築くことだったのです。
「ソフトウェアをインストールさせようとしているにせよ、ユーザー名やパスワードを聞き出そうとしているにせよ、侵入が起きようとしているその瞬間に食い止める方がはるかに効果的です」と彼は語りました。CSOの目標は、脅威アクターが単純にマルウェアを実行したり機密性の高い認証情報を盗んだりできないよう、システムに耐性を持たせることにあります。
「幹部として組織に入るときは、想定外のことが起きるものだと心得ておくべきです」とロード氏は述べました。
委員長からの電話には、必ず出る
多くの組織と同様、ロード氏もDNCで働く中で予算の制約に直面していました。しかし最高財務責任者が「最大の味方」であることに気づき、それが大きな違いを生んだといいます。
そしてその支援はそれだけにとどまりませんでした。2017年から2021年までDNC委員長を務めたトム・ペレス氏は、すべてのスタッフ会議の冒頭10分間をセキュリティチームに割り当て、セキュリティ基準の向上に自ら尽力しました。
ペレス氏の行動の多くは、ロード氏を驚かせるものでした。彼のチームが全従業員にセキュリティキーを配布した際、ペレス氏は導入期限の翌日に電話をかけてきて、全員が登録を済ませたかどうかを確認したのです。まだ登録していない従業員が何人か残っていることが分かると、ペレス氏は彼らの個人の携帯電話に直接電話をかけ、その後数週間のうちに確実に登録を済ませるよう働きかけました。
しかし実際には数週間もかかりませんでした。委員長本人から電話を受けた従業員たちは、すぐさま登録を済ませたのです。
「あれは単なる経営層の理解や後押しではありません。当事者としての共同オーナーシップです」とロード氏は語りました。
トラン氏がDNCのCSOに就任したとき、彼は前任者のおかげで強固なセキュリティプログラムを引き継げたと感じていました。そこで彼の課題は、組織をどのように前進させ続けるかというものになりました。セキュリティ第一の考え方が深く根付いた組織を土台に、彼はクラウドセキュリティの強化に注力し、ナレッジマネジメントポータルとセキュリティリスク委員会を新たに導入しました。
「あなたのおかげで、多くの難しい部分を苦労せずに済ませられました」とトラン氏はロード氏に語りかけました。「私が加わったのは、グレーゾーンへの対応力をもう少し高めるためです。セキュリティの世界では、すべてが白黒はっきり分かれているわけではありませんから」
