あらゆる物がインターネットで結ばれるIoTや仮想通貨などITテクノロジーは日常生活にさらに密接になりつつある。一方でネットワーク社会に対する脅威はより巧妙化し多様化している。金融業界で企業横断的にITの脅威に取り組む一般社団法人金融ISAC(Information Sharing and Analysis Center)の専務理事/CTOを務め、長年、企業のサイバーセキュリティ対策を担ってきた鎌田敬介氏は、サイバー上のリスクをビジネスリスクとして捉えることが重要だと話す。鎌田氏にサイバーセキュリティをめぐる現状と課題を聞いた。

技術と運用の両面から防御する

「守るべきものは何かを認識して対策を」と話す鎌田敬介氏

── 国際金融システムを揺るがすサイバー事件として、2016年2月に起きたバングラデシュ中央銀行の不正送金があります。バングラ中銀から不正な送金指示がされ、米ニューヨーク連邦準備銀行のバングラ中銀口座から8100万ドルがフィリピンの銀行の個人口座に振り込まれました。国際的な送金システムを担うSWIFT(国際銀行間通信協会)は事件後、対応策を発表しています。 鎌田氏　サイバー犯罪に対するシステム上の対策として技術的に様々な取り組みが行われているところですが、一方でテクニカルではどうしても防げない不正というものがあります。例えば内部の担当者が悪意をもってやるとか。技術的な問題とは別にシステム上、どうしようもない問題は常につきまとう。そういうところで不正が行われないよう運用面でカバーをするという考え方が現在のサイバーセキュリティでは主流になっています。例えば監視カメラをつけるとか、複数人数で決済しないと処理ができないようにするとか、いろんな運用上の仕掛けを作って不正が起きないようにすることがますます重要になっています。 ── バングラ中銀の事件でも内部関与の指摘は当初からありました。 鎌田氏　バングラ中銀の件は、SWIFTの送金指示を出すバングラ中銀のパソコンがコンピューターウィルスに乗っ取られて操作され、送金指示が行われました。コンピューターを操作する作業は、ウィルスに感染して遠隔操作されたということですので、そこだけ見れば内部不正があったとは考えられません。しかし、送金する時にSWIFTからこういう風にやりなさいという作業指示というか、フローがあるのですが、犯罪者がフローも理解してやったということが1つ大きなポイントとしてあります。 ── その部分は内部関与の疑いが残るということですか？ 鎌田氏　内部の人間が関与していた疑いはありますが、一方で攻撃者がそのパソコンを長期間監視して、業務フローをすべて理解したうえで犯行に及んだ可能性もあります。バングラ中銀事件の本質的な問題は、SWIFTという国際送金ネットワークに接続するパソコンを他のネットワークに接続してはいけないというSWIFTの指示にバングラ中銀が従っていなかったという運用面での問題がありました。