今年10月は、米国国土安全保障省の指導のもと始まったサイバーセキュリティ啓発月間の22周年にあたります。この取り組みは、オンラインや接続されたデバイスを使用する際にリスクを低減するために日々行動を起こすことの重要性を強調するものです。
今年のテーマは、私たちのコミュニティを支えるシステムやサービスを守るために不可欠な政府機関や中小企業に焦点を当てています。これらの組織は、国家の重要インフラを守るうえで中心的な役割を果たしています。サイバーセキュリティ・インフラセキュリティ庁（CISA）の「サイバー強国アメリカの構築」というスローガンのもと、州・地方・部族・準州政府、そして重要インフラを所有・運営する民間企業は、サイバー脅威に対する防御を強化し、レジリエンスとセキュリティを向上させることが求められています。
最近のインシデントは、この呼びかけの緊急性を浮き彫りにしています。米国およびカナダの通信会社が大規模な障害に見舞われ、米国州兵部隊がハッキングされました。その他の攻撃も、通信、製造、公益事業、輸送、エネルギーなどの重要インフラ分野を標的にしています。これらの各インシデントは、私たちの日常生活を支える産業のセキュリティ確保にまだ多くの課題が残されていることを示しています。
CISAが10月にサイバー・レジリエンスと強固なセキュリティ管理の重要性を強調しているのは評価に値します。しかし、セキュリティ実務者は一年を通してこれらの脅威に直面しており、リスクを再認識する必要はほとんどありません。本当の課題は、組織がサイバーセキュリティ戦略を強化するために、どこに時間とリソースを投資すべきかという点です。
現代のサイバー攻撃の構造を詳しく見ることで、指針が得られます。効果的な防御は、単に多くのツールを導入することではありません。それらのツールが連携し、攻撃の連鎖をあらゆる段階で断ち切ることが重要です。
なぜアイデンティティが最も悪用される攻撃経路であり続けるのか
テクノロジーや攻撃手法は常に進化していますが、ひとつだけ変わらない事実があります。それは、アイデンティティが今なお最も一般的な攻撃経路であるということです。ファイアウォール、エンドポイント検知、ゼロデイ防御に数十億ドルが投じられているにもかかわらず、攻撃者は有効な認証情報を侵害することで、これらの制御をしばしば回避しています。
業界レポートはCISOがすでに知っていることを裏付けています。侵害の70%以上が、認証情報の窃取、フィッシング、特権アカウントの悪用など、アイデンティティの不正利用に関係しています。SaaSアプリケーション、クラウドワークロード、リモートワークの急速な普及により、アイデンティティの境界が企業の境界となっています。従来のネットワーク境界はもはや存在しません。今や、すべてのユーザー、デバイス、アプリケーションのログインが潜在的な侵入口となっています。
広告。スクロールして続きをお読みください。
攻撃者がアイデンティティを標的にするのは、それが最も効率的な経路だからです。攻撃者はますます「ハッキング」ではなく「ログイン」しています。有効な認証情報は、持続的なアクセス、横方向の移動、データの持ち出しを直接可能にします。マルウェアやブルートフォース侵入と異なり、アイデンティティベースの攻撃は通常の活動に紛れ込みます。従業員のログイン情報をフィッシングしたり、過剰な権限を持つサービスアカウントを悪用したりするのは、安価で拡張性が高く、非常に効果的です。
アイデンティティギャップを埋める
アイデンティティが新たな境界であるなら、それを守ることが最優先事項となります。これには、従来のコンプライアンス重視のアイデンティティ管理から、積極的なアイデンティティセキュリティへの転換が必要です。実践的なステップは以下の通りです：
- 大規模な最小権限の実装： 不要なアクセス権を排除して攻撃対象領域を減らす。
- アイデンティティ行動の継続的な監視： 失敗したログインだけでなく、異常を検知する。
- 非人間アイデンティティの保護： サービスアカウント、API、マシンアイデンティティは見落とされがちだが、非常に脆弱。
- フィッシング耐性のある認証の採用： パスワードや従来型の多要素認証（MFA）を超え、より強固な方法へ移行する。
- 従来のID・アクセス管理（IAM）ツールの強化： 新たなアイデンティティ脅威検知やリスク軽減ソリューションを取り入れ、動的かつ多層的なリスクオーケストレーションを実現する。
- ライフサイクル管理の自動化： 入社・異動・退職プロセスで孤立アカウントや過剰権限アカウントが発生しないようにする。
サイバーセキュリティ啓発月間は行動への呼びかけ
サイバーセキュリティ啓発月間2025のメッセージは明確です。認識だけでは不十分です。アイデンティティセキュリティはITの衛生管理の一部としてではなく、経営レベルの最優先事項として捉え直さなければなりません。攻撃者はもはや「侵入」しているのではなく、「ログイン」しているのです。組織がアイデンティティをセキュリティ戦略の基盤として位置づけない限り、侵害は今後もニュースの見出しを飾り続けるでしょう。
この10月は、組織が防御体制を再評価し、アイデンティティ保護を近代化し、最も悪用されている攻撃経路へのレジリエンスを構築する絶好の機会です。アイデンティティセキュリティは単なる防御の一層ではありません。2025年以降のサイバーセキュリティの基盤なのです。
