13:00Tweet印刷するAAサイバー攻撃といえばすでに使用しているPCを狙うもの――それは危険な思い込みなのかもしれません。購入したばかりのPCにウィルスがすでに侵入している、そんな攻撃も現実にあると、サイバーセキュリティを専門に研究している横浜国立大学の吉岡克成先生はいいます。聞くに聞けないサイバー攻撃の実態と対策について、吉岡先生に教えていただきました。氏2005年に横浜国立大学にて博士(工学)取得。Q1:サイバー攻撃のトレンドは、どのようになっているのでしょうか?今の時点における最新の動向をぜひ教えてください。吉岡先生:わかりました。注意を要するポイントをお話しましょう。取引先のメールアカウントを事前に乗っ取り、取引先になりすましたメールを用いて、本来の標的である企業や組織を狙う攻撃や、一時期話題になった、重要なデータを人質に身代金を要求するランサムウェアなど、非常に巧妙で手の込んだ攻撃が増えており、ますますセキュリティ対策が難しくなってきています。企業や組織に導入されたPCやシステムが稼働を始める前の段階から、すでにサイバー攻撃が始まっているという、より悪質なものもあります。いうことかというと、機器やソフトウェアの設計から製造、配布の過程ですでに悪意のある改ざんや不正なソフトの混入が行われている可能性があるということです。最近では、モバイル機器にマルウェアがプレインストールされているという事例が多数確認されていますが、過去には、出荷時のPCが既にマルウェア感染していたという報告もあります。OSやPCに備わっているセキュリティ機能が意味をなさなくなり、重要な情報の漏洩につながるだけでなく、他社への攻撃に悪用されたり、システムを破壊する行為の起点にもなってしまうこともあるのです。Q2:そんなサイバー攻撃もあるのですね。PCにはさまざまなパーツが使用されています。一つ一つの部品が調達され、ハードウェアとして組み立てられ、ファームウェアやBIOSと呼ばれるもっとも基本的なプログラムが組み込まれ、さらにOSやアプリケーションがインストールされて、PCは1つの製品として完成します。製品として完成した後には、メーカー/ベンダーの工場から販売会社などに配送され、お客様のもとに納入され、利用されるわけです。そのどこかの段階で攻撃が実施されるのですから、ひとことで「こうすれば大丈夫」と言い切るのは難しいというのが正直なところです。第一に、信頼できる企業が作っているのか、つまり製造から納入、廃棄に至るライフサイクル全体のセキュリティに対して、きちんとした対策をしているメーカー/ベンダーなのかということが非常に大事になっていると考えられます。製品自体にも不正な改ざんに対する対策がなされていると、より安心できるといえるでしょう。製造中に不正なチップを挿入するという攻撃も怖いですが、配送中の製品のファームウェアに何らかの書き換えを行ったり、不正なアプリケーションの追加を行うというソフトウェア的な改ざんの方が技術的に容易です。これに対して、ファームウェアやOS、アプリケーション等の改ざんを防止するようなソリューションを組み込んだセキュリティ対策は非常に有効な手段であると思います。Q3:では、信頼できるメーカー/ベンダーをどのように見極めればいいのか、何を基準に選べばいいのか、教えてください。製造の現場では、効率などが重視され、製品のセキュリティに焦点が当てられていない場合があります。先ほど述べた通り、製品のライフサイクルを通じてセキュリティを重視し、万が一問題が発生した場合には迅速に対応可能な体制や技術を有しているメーカー/ベンダーを選ぶことが重要です。安かろう悪かろうではないですが、目先のコストにとらわれてリスクのある選択をするのではなく、セキュリティにしっかりと投資をしている製造者を選ぶ意識を持つことが重要だと思います。そのような製造者の技術水準や体制を客観的に判断することは難しいため、何らかの指標が必要となります。SP-800」シリーズがあります。日本政府も国際的に評価されているセキュリティ標準として重視しているものです。製造者がこれらに対応しているかは、大きな判断材料といえると思います。※本コンテンツは日本HPから提供を受け、ダイヤモンド社ブランドコンテンツチームで一部編集したものです。COLUMNHPのビジネスPCなら、ビジネスを守る“安心”が手に入る。Labs」を保有し、そのセキュリティ部門は長年に渡ってサイバー攻撃の手口とその対策の研究を続けています。古くからTCG、NIST、ISO等の標準化団体と協力し、先端技術の開発と同時に標準化にも積極的に貢献してきました。SP800-193」に対しては早い段階から協力し、自社製品への実装のみならず、その仕様化にも貢献してきました。HPがセキュリティ標準への対応を業界に先駆けて行うことができるのも、このような最新技術の開発とその標準化をリードする方針の賜物です。その一部をご紹介しましょう。SP800-193」に準拠した方法で予防、検知、復旧を実現します。PCの電源が入るたびに実行され、攻撃による改ざんや破損など、不正な状態であることを検知すると自動的に正常な状態に復旧します。Controller」を利用し動作の信頼性を担保しています。Controllerは、HPが独自に開発し、第三者機関で認証されたセキュリティ専用のチップです。Startなどのセキュリティ機能に信頼の基点を提供し、確実な動作を保証します。CPUやメモリなどから電気的に隔離され動作するため、極めて攻撃の対象になりにくい構造になっています。セキュアな製品をセキュアに作る東京生産/サプライチェーンセキュリティ対策HPでは製品のライフサイクル全般におけるセキュリティ対策を重視しています。セキュアに製品を作るためのプロセスを厳格に実行し、製品に使用されるすべての電子部品に対し、米国国防総省の厳格な基準を満たすことを全世界における調達基準としています。日本で供給するビジネスPC製品の多くを東京の工場で生産。品質に厳しい日本のお客様のご要望にお応えし、セキュリティにも確かな品質を付与できるよう、力を尽くしています。