サイバー専門家に呼びかける、市庁舎防衛への協力

意見

私が仕事で関わったある政府機関は、警報が一度も鳴らないまま、100万ドル近くを失いました。身代金要求のメモもなければ、サーバーがロックされることもありませんでした。攻撃者は数名の職員のメールアカウントに侵入し、数か月かけてその機関の資金の動かし方をじっくり観察したうえで、低所得者向け住宅プロジェクト向けの送金をひそかに横取りしたのです。資金がすでに消えてしまうまで、誰もそれに気づきませんでした。

これは連邦政府の一部局やフォーチュン500企業の話ではありません。家賃の支払いを支援する地域の住宅局で起きた出来事です。私がいつも思い返すのは、この侵害事件が物語の終わりではなかったという点です。むしろこれをきっかけに、その機関は本格的なセキュリティプログラムを立ち上げ、今では私が関わる中でも指折りの防御体制を持つ組織になりました。この立て直しこそが重要なポイントです。ギャップは確かに存在しますが、誰かが「埋めよう」と決意しさえすれば、多くの人が想像するよりずっと早く埋められるのです。

私はこれまで46州で82件の案件に携わってきましたが、同じような立て直しを何度も目にしてきたので、もはや偶然とは呼べません。地方自治体は連邦政府と同じ種類のデータ(社会保障番号、医療記録、刑事司法関連ファイル、給与情報など)を保有していますが、それを守る人員は往々にしてほんのわずかしかいません。州・地方の組織の80%以上が専任のセキュリティ担当者5人未満で運営されているのが実情です。こうした機関は不注意なのではなく、単純に人手が足りていないのです。とはいえ、リソース不足の問題は工夫次第で乗り越えられます。ここでは、私が実際に効果を確認してきた方法を紹介します。

基本的な問いから始める

まずはツールではなく、露出している状況そのものから着手すべきです。私が引き受けるすべての案件は、製品の話が出る前に、地味な問いかけから始まります。何を運用しているのか、どんなデータを保有しているのか、実際にどこがリスクにさらされているのか。14の部門を1人の管理者で担当している郡と、学区とでは必要な計画がまったく異なります。その違いを見極めるために費やす1時間こそが、1年後もその対策が機能し続けているかどうかを左右するのです。

次に、その機関の実際の予算に合わせて話を進める必要があります。大半のエンタープライズ向けセキュリティ製品は、7桁の予算を持つ組織向けの価格設定・パッケージになっています。IT予算全体で20万ドルしかない郡には、そのような買い方はできません。範囲を絞ったリスク評価、多要素認証(MFA)の導入、インシデント対応のリテーナー契約など、自分たちのペースで購入できるものを選ぶことはできます。作業を、機関が1サイクルごとに予算を確保できる単位に分割することが、支援を受けられるか、何もできずに終わるかの分かれ目になることが少なくありません。時間はかかりますが、その「遅さ」こそが、調達手続きや職員の入れ替わり、次の選挙といった変化を生き延びる秘訣なのです。

コンプライアンスが重要な理由

コンプライアンスに関する話は、早い段階で持ち出すべきです。住宅局はHUD(米住宅都市開発省)の規則の下で運営され、郡はCJIS規制対象の記録を保有し、学区は生徒のデータを抱えています。契約締結後にCJISやSOC 2の話を持ち出すのではなく、最初のミーティングでそれらを前面に出すことで、小規模な機関の経営陣も「賭け」ではなく納得したうえで合意できるようになります。

そして、契約が終わったからといって姿を消してはいけません。何年も経ってなお存続している機関は、ほぼ例外なく、誰かがその場に残り、状況を確認し続け、新しく入った職員を再教育し、脅威の変化に合わせて対応を調整してきたところです。IT部門全体が働きすぎの担当者1人で成り立っている場合、請求書に載っているどんなツールよりも、その人間関係のほうが重要になります。

最後のポイントは無料です。数十の機関にまたがって仕事をしている私たちは、同じ攻撃者集団が、ある郡から次の郡へと同じ手口を使い回しているのを目にしています。匿名化した調査結果をまとめ、地域のIT担当者団体に持ち込むことで、ある案件から学んだことが、次の機関を守る力になります。もっと多くの人がこれをやるべきです。

ここで挙げたことは、どれも議会の動きや新しい補助金を待つ必要はありません。予算が少ない相手であっても、本物の顧客として扱い、その予算に合わせて仕事を組み立てる、という決断があればよいのです。