攻撃者は常に最も抵抗の少ない経路を狙います。そして長年、その標的になってきたのが中小企業（SMB）です。こうしたなか、米国立標準技術研究所（NIST）が新たに公表したガイダンスは、さらに経営資源が乏しいとみられる「ソロプレナー（1人で事業を営む起業家）」を支援することを目指しています。
1人で事業を営む経営者にとって、インシデントは致命傷になりかねません。攻撃を受けて廃業に追い込まれるケースもあります。リスクはサプライチェーンにも及びます。攻撃者は小規模事業者の脆弱性を裏口として悪用し、より大きな企業を狙うからです。
NIST が公表したサイバーセキュリティ・ホワイトペーパー50（CSWP）は、米国の全事業者の81.9%を占める層のサイバーリスクを抑えるための一連の推奨事項をまとめたものです。
同機関は、パスワード管理、ランサムウェアの脅威、規制要件への対応に関する指針を示し、課題の緩和を図っています。いずれも、ソロプレナーが自力でセキュリティ対策を構築するための時間、資金、人手を確保しにくい分野です。
NIST によると、このガイドは自社のサイバーセキュリティ・フレームワークを、従業員を雇わない事業者向けに平易な言葉へ置き換えたものです。ただ、読み通すには33ページあります。それだけの労力に見合う内容なのでしょうか。
Bitdefender のテクニカルソリューション担当ディレクター、Martin Zugec 氏は、実践的な核心部分の大半はソロプレナーでも十分に手が届くと話します。2ページ目にある短いリストに目を通せばよいといいます。リストには、フィッシング耐性のある多要素認証（MFA）、パスワードマネージャー、日常業務用の標準（非管理者）アカウント、自動更新、そして1つはオフラインで保管するテスト済みのバックアップが挙げられています。
「どれもセキュリティの専門知識は要りません。午後いっぱいあれば実施できます」と、Zugec 氏は Dark Reading に語りました。
評価できる点と課題
Zugec 氏は、NIST のほかの技術文書と比べて、CSWP ははるかに読みやすいと説明します。NIST が謳うとおり言葉は平易で、あらゆる対策に理由、最初の一歩、事業の成長に伴う変化の注記が添えられているといいます。
NIST は、事業拡大に伴って契約が増え、取引先や第三者の数も増えていくなかで、企業がどう対応すべきかも示しました。そうなると、第三者のサイバー対策の状況を把握することが一段と重要になります。そのためには、規制の最新動向を把握し続けることに加え、取引関係がもたらしうるリスクを管理する正式な手順を整える必要があります。
Huntress のサイバーセキュリティアドバイザー、Bryson Byrd 氏は、NIST のガイダンスを歓迎しつつも、実務者向けに書かれたような印象は否めないと指摘します。「最小権限」「リスク登録簿」「データ機密性分類」といった用語は、パン屋やコンサルタント業を営む人が使う言葉ではないというのです。
「長い間、ソロプレナーはサイバーセキュリティ指針で後回しにされてきました」と Byrd 氏は Dark Reading に述べました。「意図は正しいと思います。ただ、この種の指針は日常的に事業を営む人の言葉に近づくほど、実際に実行される可能性が高まります」
問題は言葉だけではないと、Byrd 氏は続けます。ガイドは、経営者がログの有効化やアカウントのセッション確認の方法を知っていて、別添のワークシート一式を使いこなせることも前提にしているといいます。また、インシデント発生後に顧客へ通知する前に法律顧問の意見を求めるよう推奨している点については、予算に含まれていないことが多い追加コストだと指摘しました。
Byrd 氏は、「世界一安全な会社をつくるために起業する人はいません」と述べ、人は時間をかけて何かを築くために事業を始めるのだと付け加えます。ガイダンスにはこの視点が欠けているようだというのです。ソロプレナーが資産の棚卸し、バックアップのテスト、机上演習、コンプライアンス管理に費やす1時間は、本来最優先であるはずの事業運営から奪われる1時間です。
「これをすべて1人に求めるのは、極めて煩雑で、率直に言って非現実的です」と Byrd 氏は説明します。
ほかにも残る空白と推奨事項
Byrd 氏は、「現実の世界で小規模事業者が被害に遭うのをよく目にする」分野で、ガイダンスに抜けがあると指摘します。1つ目はドメインレジストラです。攻撃者は小規模事業者のドメインを日常的に狙い、なりすまし攻撃を仕掛けて、顧客や取引先から金銭を吸い上げています。そのため、対処が重要です。ドメインを掌握されれば、攻撃者はメールも事業のウェブサイトも支配できてしまいます。
「レジストラのアカウントを多要素認証で保護し、レジストラロックを有効にして、自動更新をオンにすること。これはソロプレナーの基本対策に含めるべきです」と Byrd 氏は推奨します。
2つ目の抜けはメール認証です。Sender Policy Framework、DomainKeys Identified Mail、Domain-based Message Authentication, Reporting, and Conformance という3つの中核プロトコルは、事業者へのなりすましを防ぎ、正規のメールを確実に届けるうえで重要性を増していると、Byrd 氏は付け加えます。
3つ目は、1人で事業を営む場合に最も影響が大きいとも言える問題です。病気や家庭の事情、あるいは単に当然の休暇を取るために、経営者が長期間不在になったときにどうするかという点です。
ランサムウェア集団は、営業時間外や週末、休日を狙って事業者を攻撃します。即時の対応を要する事態が起きたとき、誰かがその場にいることが不可欠です。その有無が、インシデントで済むか、情報漏えいに至るかの分かれ目になりかねません。
「信頼できる人物やパートナーに重要なアカウントへの緊急アクセス権を与える『ブレークグラス』計画は、今も必要です。ソロプレナーのサイバーセキュリティ計画には必ず盛り込むべきです」と Byrd 氏は助言します。
なぜ今なのか
かつて中小企業や自営業者は、自分たちは小さすぎて標的にならないと考えていました。この考えはその後、何度となく覆されており、状況は悪化の一途をたどっています。
自律型ツールや人工知能（AI）の進歩によって、攻撃の参入障壁は下がり、攻撃のコストも低下しました。攻撃者はこの層を大規模に狙えるようになっています。攻撃者の前には選択肢があります。防御の堅い大企業を狙って一度に大金を得るか、セキュリティの甘い数千の小規模事業者を狙うかです。後者のほうが、はるかに身代金を支払ってもらいやすいと気づいたのです。
課題が変化した以上、ガイダンスも進化しなければなりません。NIST で小規模事業者との連携を統括する Daniel Eliot 氏は、今回の文書は前身の NISTIR 7621 rev.1 から10年近くを経て公表されたものだと話します。
10年間で状況は大きく変わりました。最初の意見募集を経て、「寄せられたフィードバックがプロジェクトを前進させるうえで大きな力になった」といいます。
Zugec 氏は、AI によって多くのセキュリティ指針の更新が迫られ、同時に指針を書きやすくもなっていると指摘します。CSWP には新たに AI に関する項目が加わり、AI によってフィッシングがより巧妙になるという警告も盛り込まれていると、同氏は気づきました。
NIST は事業者に対し、リンクのクリック、ファイルのダウンロード、送金、アカウントへのログインを求めるメッセージは、必ず二度、三度確認するよう促しています。
AI に関する指針は現実のリスクと合っていない
ただ、Zugec 氏によると、一般に信じられていることとは異なり、AI が新種の攻撃をもたらしたわけではありません。変わりつつあるのは、事業を運営する主体と、事業運営が依存するものです。
同氏によると、ソロプレナーは AI アシスタントを使って、メールボックスの閲覧、コマンドの実行、コードの作成、さらには経営者の ID によるアカウントの利用までこなしています。1人で小さなチーム分の仕事ができる一方で、攻撃対象領域も広がります。
「多くのソロプレナーは、セキュリティ対策が追いつかない速さで成長しようと、エージェント型 AI を使うでしょう」と同氏は言います。「ガイドには、こうしたエージェントにどこまでアクセスを許すべきか、あるいは AI が書いたコードをどう保護するかについての助言がありません」
Zugec 氏がガイドで見つけた最大の空白は、「行動する AI」です。NIST は AI を受け身の存在として扱い、事業者が棚卸しをして出力内容を確認すべきものと位置づけています。しかし、エージェント型 AI の普及によって、人間が介在しない場面は着実に増えています。
エージェント型 AI のおかげで1人で事業を営める人が増えるほど、そうした事業のセキュリティはこれまで以上に重要になると、Zugec 氏は警告します。自力でアプリケーションを作るためにバイブコーディングに頼る人が増えているため、外部の支援が必要になるといいます。同氏は、公開前にコーディングとセキュリティの経験を持つ人物にコードをレビューしてもらうよう、ソロプレナーに促しています。
外部に公開されるものがあれば、攻撃者が到達できるということです。その場合は保護が必要になります。
「AI は動くソフトウェアを作るのは得意ですが、攻撃対象領域の小さいソフトウェアを作れるとは限りません」と同氏は言います。「ガイドはこの点に触れていませんが、ソロプレナーが最初に直面するリスクであることが多いのです」
Zugec 氏は、ほかにも弱点を見つけました。たとえば NIST は継続的な更新を求めていますが、ソロプレナーが、法的・契約上のセキュリティ要件をすべて追い続けたり、クラウド事業者とセキュリティ条件を交渉したり、システムを24時間体制で監視したりすることは、現実的にはできません。
2つ目に、ガイドはタスクに優先順位を付けておらず、1人で対応するチームには優先度の判断が難しくなっています。たとえば冒頭は、最も実行しにくいガバナンスの話から始まります。一方、MFA とバックアップに関する助言が始まるのは14ページ目からです。さらに、よくある攻撃経路である ClickFix（ユーザー自身にコマンドを貼り付けさせる手口）と、ログイン済みセッションを盗んで MFA を回避するマルウェアの2つが取り上げられていません。
「ガイドは約25の対策を挙げながら、チェックリストではないとはっきり述べています。そのため、多忙な経営者は何から着手するかを自分で決めなければなりません」と Zugec 氏は話します。ガイドが対象範囲を従業員数で定めている点も問題だといいます。従業員数は技術的には1人かもしれませんが、リスクは事業者がどんな情報を保有し、誰に狙われるかで決まるからです。
問題は規模だけではなく、何が外部にさらされているかです。副業で Etsy でキャンドルを売る人と、金融業界で数十億ドル規模の暗号資産を取引する人とでは、リスクが大きく異なります。
「1人で暗号資産を運用する事業者や、顧客の機密情報を扱うコンサルタントには、ガイドの基本水準をはるかに超える対策が必要です」と Zugec 氏は述べました。
翻訳元: https://www.darkreading.com/cybersecurity-operations/nist-solo-shouldnt-mean-less-secure
