私たちは守り切れるのか？ ②
攻める側と守る側は、同じものを見ているか
私たちは、疲弊しているのではないでしょうか。
「PHP2Shell」への緊急対応、そして日々続く脆弱性への対応。その中でふと、現場に積み重なっている確かな「疲弊」を感じました。
なぜ私たちは、これほどまでに疲弊していくのか。その背景には、根本的な「歪み」があるのではないかと思います。
昨日は、サイバー犯罪による莫大な損失予測と対策支出の対比を通じ、私たちの投資が「現場の力」につながっているかを問いました。今日は、もう一つの歪み----攻める側と守る側の間にある、視点の違いについて考えたいと思います。
組織は日々、新しい技術を取り入れ、ツールを導入し、ルールを整備していきます。それは本来、前進であるはずです。しかし、光があれば、必ず影が生まれます。
技術の進化という光。その裏で、私たちが抱え続ける「サイバーの影」も増えていきます。
導入した技術はやがて古くなり、更新や見直しが追いつかなければ、技術的負債として積み重なる。ツールは増え続け、管理と運用の負担が現場を圧迫する。ルールも追加される一方で、古くなったものが残り、形骸化しながら人々の行動を縛っていく。
守るために取り入れたものが、守る側を疲弊させていくのです。
技術、ツール、ルール。この３つの「手段」だけを見つめ、追い続けていては、いずれ現場は立ち行かなくなります。
一方で、攻撃者はどうでしょうか。
「攻撃する側は100回のうち１回成功すればいい。守る側はすべてを防がなければならない」
よく使われるこの言葉は、守る側の難しさを表しています。しかし、攻撃者は単に「数打ちゃ当たる」で攻撃しているわけではありません。失敗から学び、手口を変え、ときには知識や道具を共有しながら、進化を続けています。
そして何より、彼らは何を狙えばよいのかを分かっています。
お金を奪う。情報を盗む。業務を止める。信頼を壊す。
入り口となるシステムや製品。その裏、その中には「人間」がいます。人々の情報、関係、信頼。そして、長い時間をかけて築いてきた仕事や暮らし、人生と財産があります。
攻撃者は、その価値を利用し、奪い、壊そうとします。技術の弱点とともに、人の事情や心理、関係性を捉え、本質を突いてくるのです。
では、守る側はどうでしょうか。
私たちは、技術やツール、ルールの向こう側にいる「人間」を、どれだけ見ているでしょうか。
技術やツール、ルールは、「どう守るか（How）」を実現する手段です。その出発点には、「何を守るのか（What）」「何のために守るのか（Why）」という問いがあるはずです。
システムを守るのは、それを利用する人の仕事や暮らしを守るため。情報を守るのは、その情報に結びつく人々の安全や財産、信頼を守るためです。
私にとって、守るべきものをたどった先にいるのは、常に人間です。
ところが、次々と発覚する脆弱性を追うことに精いっぱいになり、その原点が見えにくくなってはいないでしょうか。
技術が進化すれば、人間を攻撃する手法も進化していきます。その中で、「見抜いてください」「ルールに従ってください」と求め続ける。個人の注意深さや忍耐に頼り続ける。
それでは、対策を担う人も、守られるはずの人も疲弊してしまいます。
攻撃者が人間を見ているとき、守る側が技術やルールだけを見ているとしたら。そこに、視点の歪みがあるのではないでしょうか。
現場の人々は、どんな状況で判断を迫られているのか。何に迷い、何があれば安全に行動できるのか。そして、その人や組織にとって、失ってはならないものは何なのか。
人間中心サイバーセキュリティ（HCC）は大きな概念であり、幅広い分野です。さまざまな定義や考え方があってよいと思います。その中で、私が考え、提案するHCCは、２つの変化を求めています。
１つ目は、人間から考え始め、人間に終わること。
技術を出発点にするのではなく、まず、そこにいる人間を見る。その人の状況や判断を理解し、必要な対策を考え、最後に「その人を守れているか」に立ち返ることです。
２つ目は、守るものに焦点を当てること。そのために、まず整理整頓をすることです。
何がどこにあり、誰が使い、何のために必要なのか。失うと、誰にどんな影響があるのか。まずは、自分たちが守るものを把握することから始めます。
同時に、守るために積み重ねてきた技術やツール、ルールも整理する必要があります。今も必要なのか。役割が重なっていないか。現場の実態に合っているか。役目を終えたものを手放すことも、大切なセキュリティ対策です。
光を取り入れるだけでなく、その裏に生まれた影にも向き合う。整理整頓は、守るべきものを見えやすくし、守る人の負担を減らすための土台になります。
そのうえで、攻撃も視野に入れながら優先順位をつけ、限られた人手や時間、費用を、大切なものを守るために使っていく。それが、私の考える「身の丈に合ったセキュリティ」です。
昨日は、投資が現場の力につながっているかを問いました。今日は、その力が何を守るために使われているかを問いたいと思います。
技術の光を追う中で、その影にいる人間を見失っていないでしょうか。
私たちは、守るべきものを、守れているでしょうか。