マイページ
一つのIDが奪われたとき、どこまで届くのか
クラウドに情報を集めると、管理しやすくなる。更新や監視を専門家に任せられる利点もある。一方、一つの認証情報で広い範囲を操作できれば、それを奪われたときの被害も広がり得る。
便利さを評価するとき、その便利さを成立させている権限が、奪われた場合に何を可能にするかまで考えたい。だから、サーバーを分散すれば解決するとは限らない。別々のサーバーでも同じ管理者がすべてを動かせれば、被害は一緒に広がり得る。逆に、同じクラウド上でも、顧客や業務ごとに権限と通信範囲を分ける設計はできる。
一つのIDが奪われたとき、どこまで届くのか。情報を読む権限が、そのまま取引や削除の権限になっていないか。バックアップまで同じ権限で消せないか。バックアップも、存在するだけでなく、実際に復元できるかを試しておかなければ備えにはならない。
この範囲は、自社の中では終わらない。岩井コスモ証券の事案では、運用・保守を委託していたトレードワークスのシステムが不正アクセスを受け、7口座に意図しない注文が出された。情報が漏れたことと、売買管理システムが攻撃されたことは、同じ経路ではない。
重要なのは、自社の外にも、自社の顧客へ影響する操作権限が存在するという事実である。委託した仕事が顧客の資産に触れるなら、どの担当者が、何を、どの条件で操作できるかを把握する責任まで手放すことはできない。設定の変更を誰が承認するのか。不要になった権限はいつ消すのか。時に誰が接続を切れるのか。相手企業の名前を知ることから、相手に任せている権限を知ることへ進む必要がある。
サイバー防御措置を政府に求めたが…
『孫子』を、攻撃者に反撃するための本として読むだけでは、今回の問題の半分を見落とす。企業が守るべきものは、顧客が資産を扱い、仕事をし、暮らしを続けられる条件である。
GMOは、政府に能動的サイバー防御に関する措置を求めた。国境を越える攻撃基盤への対応には、企業だけでは担えない役割がある。だが、企業が要請すれば自動的に措置が実施されるわけではないし、仮に攻撃元の一つを止めても、流出した情報が回収され、奪われた権限がすべて無効になるとは限らない。企業自身の封じ込めと復旧は、政府の対応を待たずに進める必要がある。
この問題は、今後のAI活用にもつながる。AIが発注し、送金し、設備を動かすようになると、何を実行できるかという権限が、そのまま危険の範囲になる。工場や物流でフィジカルAIを使うなら、誤った指示を受けたときどこまで動けるのか、誰が止められるのか、止まった後に人が引き継げるのかを、導入の段階から決めておく必要がある。
技術が進めば、攻撃にも防御にも使える道具は変わる。しかし、権限を与える判断、危険を放置する判断、異常時に止める判断は、組織の問題として残る。
『古典で読み解く！10年後の未来』でお伝えしたかったのは、出来事の背後にある構造を見ることで、目の前のニュースを自分の仕事や暮らしに結び付ける視点である。今回も、人工知能の能力、企業の管理、顧客の生活、国家の役割が、一つの事案のなかでつながっている。
『孫子』は、サイバー攻撃への技術的な答えを知っていたわけではない。だが、守りたいという思いを、相手の要求へ直結させるのか、備えと保護の実行へ変えるのかという問いは、いまも有効だ。
