サイバーセキュリティ意識向上にまつわるよくある誤解

まもなく始まる「サイバーセキュリティ意識向上月間」に向けて、善意から広められながらも悪影響を及ぼすことの多い、セキュリティに関する一般的な通説や誤解の広がりに備える必要があります。こうした話題は、経験豊富な専門家の間でも意見が分かれることがあります。そこで、データに基づく視点から、幅広い企業を対象に解説します。

このように対象が広範であることが、しばしば意見の相違を生む原因となります。各企業は、リスクと許容可能な損失、該当する脅威モデルと想定される脅威アクター、自社環境の固有性について、それぞれ検討する必要があります。ただし、共通して重視すべきなのは、組織内の経験則や、理解を伴わない模倣、確証バイアスや生存者バイアスではなく、データ、専門知識、客観性です。

ここでは「3大リスク」として、メール内のリンクのクリック、公共Wi-Fiの利用、そして「ジュースジャッキング」、つまりスマートフォン向け無料USB充電の危険性を取り上げます。

#1 メール内のリンクをクリックする

要点：フィッシングや詐欺を見分ける明確な兆候を教えることは重要ですが、「リンクをクリックしない」といった非現実的な助言は、効果がないばかりか有害になりかねません。

「安全な利用」に関する意識向上は、一般的な問題に対処しながら、従業員がテクノロジーをより適切に利用できるよう支援する有効な取り組みです。しかし、「リンクをクリックしない」といった基本的な行動を変えるよう長年求めてきたものの、効果は上がっていないようです。Verizonの「2023年データ侵害調査報告書」によると、すべての侵害の74%に人的要因（メールに限らない）が関与しています。また、Cyentia Instituteの「2022年情報リスクインサイト調査」では、20業種中18業種で、フィッシングが初期アクセス手法の上位3位以内に入っています（「情報」および「その他のサービス」では4位）。

事故は起こるものです。善意があり、トレーニングを受けた従業員であっても、長い目で見れば悪意のあるリンクをクリックしてしまいます。ユーザーにメールの使い方を変えるよう何年も働きかけてきたにもかかわらず、セキュリティプログラムが今なおメールとデバイスのセキュリティに投資している理由の1つは、ここにあります。さらに懸念されるのは、貴重なセキュリティ意識向上トレーニングでこの話題に時間を割くことです。実用性に欠けるため受講者の関心を失い、かえって逆効果になっています。

企業には、従業員がリンクをクリックしてしまっても耐えられる、より高いレジリエンスが必要です。従業員も、特に現場の実情を報告すること（「異変に気づいたら報告する」）で貢献できますが、このリスクを軽減する責任はセキュリティチームにあります。

#2 公衆Wi-Fiの利用

要点：公衆Wi-Fiは、ビジネス用途でも安全に利用できます。

公衆Wi-Fiは、自宅やオフィスのネットワークよりも信頼性が低く、危険性が高いという認識が根強く残っています。しかし、リモートワークが急増した2020年から2022年にかけてを含め、公衆Wi-Fiが大規模に悪用されたという報告はありません。米国連邦取引委員会（FTC）は、2011年に公衆Wi-Fiの利用を控えるよう警告しましたが、2023年には、安全に利用できるようになった技術の進歩を反映してガイダンスを更新しました。

一方、公共の場での機会犯罪に当たるノートPCやデバイスの盗難は実際に発生しており、より可能性の高いリスクです。このリスクは、ストレージ暗号化、モバイルデバイス管理（MDM）、ロックアウトポリシーへの投資によって軽減できます。その一例として、米国保健福祉省公民権局（OCR）が公開している、500人以上に影響を及ぼした、保護対象保健情報の暗号化されていない状態での漏えいに関する報告のアーカイブ一覧があります。この一覧によると、2009年以降、ノートPCやその他の携帯型電子デバイスの盗難または紛失が4,600件以上発生し、3億4,500万人以上が影響を受けています。

一方、ローカルネットワークトラフィックのセキュリティは、引き続き次のような傾向を示しています。

• Googleの「ウェブ上のHTTPS暗号化」透明性レポートによると、Google全体のトラフィックの90%超が暗号化されており、WindowsやMacなどのオペレーティングシステムでも暗号化トラフィックが広く採用されています。
• Let's Encryptの統計によると、MozillaのFirefox Telemetryに基づく「FirefoxでHTTPSを使用して読み込まれたWebページの割合」では、世界のユーザーのトラフィックの約80%、米国と日本のユーザーのトラフィックの約90%が暗号化されています。
• Googleの「転送中のメールの暗号化」透明性レポート」によると、Google（Gmail）で送受信されるメールの90%超が暗号化されています。
• DNSセキュリティ機能の導入には依然として課題がありますが、アプリトラフィックに対する強力な暗号化サポートや、企業が管理するトラフィックでVPNおよび同等の技術が広く普及していることにより、ある程度緩和されています。DNSSECの導入率は低く（.comドメインのうち保護されているのは約5%とするVerisignのDNSSEC Scoreboardによる）、2020年に急速に普及し始め、その後も成長を続けています。同様に、DNS over HTTPS（DoH）もオペレーティングシステムやブラウザーでサポートされています。

デバイス上でネットワークに公開されたサービスが稼働していない限り、パブリックWi-Fiに他のWi-Fiネットワークと比べて固有のリスクはほとんどありません。なお、ユーザーデバイスでそのようなサービスが稼働するのは、極めて例外的であるべきです。ゼロトラストのアプローチを採用する場合、パブリックWi-Fiは、パブリックかプライベートかを問わず、ネットワークを決して信頼しないという原則を示す好例です。

#3 「ジュースジャッキング」――スマートフォン向け無料USB充電の危険性

要点：この攻撃は複数の機種で実証されていますが、実際に悪用されたことを示す確かなデータはありません。また、ユーザー側で低コストの対策が可能なため、やむを得ない場合に無料のUSB充電器を使用しても、通常は問題ありません。

スマートフォンを放置して盗難に遭うおそれがある場合や、こうした攻撃の「デモ」が行われる可能性が高いセキュリティカンファレンスなど、USB充電ステーションの利用を避けた方がよい場面もあります。しかし、「ジュースジャッキング」が実際以上に大きく取り上げられていることを裏付ける確かなデータはありません。

• 米国連邦通信委員会（FCC）は、この攻撃が実際に発生したと確認された事例は把握していないとしています。
• Snopesは「ジュースジャッキング」に関する警告をファクトチェックし、2019年のロサンゼルス郡地方検事局による警告と、2023年のFCCおよび連邦捜査局（FBI）による警告について、広範に行われていることを示す証拠はないと結論付けました。この調査結果は、KrebsOnSecurityでも参照され、FCCとFBIによる2023年の警告について報じる際に取り上げられました。

このリスクが懸念される場合、雇用主と従業員の双方が低コストで対策を講じられます。

1. コンセント接続型のUSB充電アダプターや、特に出張者の携行品として一般的になっている小型モバイルバッテリーを使用します。
   
2. USBに接続した際、スマートフォンに「データを共有」や「このコンピューターを信頼」などの確認が表示された場合は、「充電のみ」を選択してください。
   
3. ユーザーのリスクが著しく高いと評価された場合は、データ通信を遮断する、またはデータ通信機能を持たない専用の充電器やケーブルの導入を検討してください。

無料のUSB充電ステーションでより大きなリスクとなるのは、デバイスを放置し、誰かに持ち去られることです。この場合も、企業がデバイス管理とセキュリティ衛生対策の徹底に投資することは、一般に妥当なリスク軽減策となります。

こうした問題への認識を高めることが、なぜ悪いのでしょうか？認識が高まるのは、常に良いことではないのでしょうか？

通常、セキュリティが同僚から好意的な関心を寄せられることはほとんどなく、会社が義務付ける研修も関心を引くものではありません。こうした貴重な機会と第一印象は、セキュリティチームにとって最もコストのかかるリソースの一つです。

よくても、重要性や関連性がない、不正確、または現実的でない内容に費やす時間は無駄になります。最悪の場合、セキュリティチームは聞き手の関心を失い、次回はメッセージがどれほど重要でも耳を傾けてもらえなくなります。

より大きな問いは、なぜこのような通説や誤解が根強く残っているのかということです。記事の冒頭で述べたように、その一因は人間にあります。

もう1つの要因は構造的なもので、こうした誤解がコンプライアンスフレームワークや事業契約に盛り込まれていることです。このような規定は、特に具体的に記述されているにもかかわらず、技術の進歩に合わせて更新されない場合、すぐに時代遅れになります。その結果、セキュリティプログラムは、古くなった要件や根拠のない要件への対応を余儀なくされます。さらに、チームのメンバーがそれらを受け継ぎ、転職先にも持ち込んでしまいます。このように汚染された知識は、マルウェアよりも厄介です。