コインチェックがNEMという仮想通貨を580億円分流出させてしまったことを明らかにしました。この件には、その被害総額や世間が仮想通貨に興味を寄せていたことから注目が集まり、また識者からは管理体制の未熟さや取引所のシステムに対する不満など、批判も集まりました。その原因について報道各社によれば、実はきっかけは標的型メールだったことが分かりました。犯人は約半年間をかけて複数の社員とSNSなどで交流、信頼を得たうえで不正プログラムを忍ばせたメールをそれらの社員に送ったのです。このメールを開いてしまった社員が感染源となり、結果的に巨額の資金流出を引き起こしてしまいました。次世代の金融技術を代表するブロックチェーンと絡めて語られることの多い仮想通貨ですが、その流出方法がいまやありふれたと言っても過言ではない標的型メールとは、正直拍子抜けの感もあります。逆に言えば、どんなに最先端の技術であっても結局はそれを使う側の人間のリテラシーが低ければ意味がないという事でもあります。コインチェックはこうした教育とセキュリティ検知をもっとしっかりやっておけばこれほどの事件を起こさずに済んだと筆者は考えます。この一件からセキュリティ担当者が学ぶべきなのは、セキュリティ環境を改善する際には情報機器にだけ意識を向けるのでなく、人の意識改善も必要である、ということです。Regulation、以下GDPR)のことをきちんと理解しているセキュリティ担当者、あるいはEC事業者というのはどれくらいいるでしょうか。EUなんて言われても関係ないと思われる方も多いのではないでしょうか。実はそんなことはありません。2018年現在、EUに居住している人にサービスを提供しているのなら、本拠地がどこにあるかに関わらず適用されるからです。気を付けなければいけないのは、対象は企業だけではないということ。EU圏内にサービスを展開しているのなら、個人であってもこの規則に従わなければならないのです。日本ではデータ保護に関する法律はまだまだ不十分ですが、この現状に甘えていてはいけません。将来的にこのGDPRがグローバルスタンダードになる可能性が十分にあるからです。GDPRについてここで詳細に解説をすることはしませんが、最先端のセキュリティ観念を学ぶという意味で、セキュリティ担当者だけでなく事業に関わる全ての人に学んでおいてほしいことです。昨今、ますますセキュリティの重要性が高まってきていますが、その実情はどうなっているのでしょうか。Japanの調査によると、多くの企業はセキュリティのための予算は確保されておらず、必要な時に適宜考える、という形をとっているようです。これでは年間を通して常にセキュリティを確保し続けることはできませんし、また人材も確保できません。そんな状況に置かれている日本企業のセキュリティ環境ですが、その調査によると過去1年間でランサムウェアの被害に遭った企業の割合は、全体の14.2%にも及ぶそうです。ショッキングな数字として、この14.2%の企業のうち、65%近くが復旧や賠償金のために500万円以上の費用を要したことも判明しました。中には億単位のお金がかかったケースというのも存在します。このサイトを通じて何度も申し上げていますが、「中小企業だから」というのはセキュリティ施策を行わない理由にはなりません。中小企業の方が、セキュリティに対する意識が甘いと考えられているため、狙われやすいという側面さえあるのです。意識してほしいのは、情報機器を利用している以上、常にサイバー攻撃のリスクはつきまとうということです。この現実と、先ほど述べた復旧までに500万円以上を要するという調査結果を鑑みると、きちんとセキュリティ担当者を雇い、セキュリティソフトを導入していった方がコストパフォーマンス的に優れていると言えるかもしれません。当然ながら、被害に遭ってから後悔するのでは遅すぎます。サイバー攻撃を未然に防ぐためにも、また万が一そうした被害に遭った場合、そこからの復旧をスムーズに展開するためにも、セキュリティ担当者を雇い、しっかりと自社のセキュリティを担保していくことが重要でしょう。セキュリティ被害だけにとどまらない損失ここまで、セキュリティ担当者が常にアンテナを張っておかなければならない理由を述べてきました。最後に見落としがちな、セキュリティの不備による具体的な損失の例を紹介したいと思います。6章で紹介したGDPRでは、軽度な違反は1000万ユーロか前年売上高の2%のうち、どちらか高い方、という制裁金が科せられています。ユーロで言われるとあまりピンと来ないかもしれませんが、1000万ユーロというのは日本円に換算するとなんと13億円!(1ユーロ130円で計算)そしてここからが大事なポイントなのですが、この制裁金は事業規模によって減額されたりはしません。世界的な大企業はもちろん、13億円もの制裁金が中小企業や個人にも降りかかる可能性があるのです。ちなみにこの不備によって具体的な被害がでるなど重大な違反に関しては、軽度違反の倍、2000万ユーロか前年売上高の4%のうち高い方が制裁金となります。26億円もの金額を納めなければならないなんて、正直想像もできない方が大半なのではないでしょうか。これはあくまでもGDPRに関しての話です。情報収集さえ怠っていなければ、GDPRの定める規則に準じることは可能です。この記事を読んで初めて知った、という方がいたら、今すぐにでも対策に取り掛かってください。アンテナを張って情報収集だけをしていても、それを現場に還元しなければ意味がありません。そのために必要なのは、予算です。「その情報をもとにセキュリティ環境をきちんと整備する」という事が、現代のセキュリティ担当者に求められていることなのです。現代ではネットワーク上に様々な脅威が存在しており、脆弱性にだけ気を付けていれば良い、という時代は終わりました。確かにセキュリティ担当者のやるべきことは多岐に亘っていますが、逆に言えばこれらはセキュリティ担当者にしかできない仕事なのです。自分の所属している企業を守るためにも、自分がセキュリティ担当者として何を求められているのかを常に意識するようにしましょう。サポート品質、価格、管理のしやすさを分かりやすく解説。セキュリティコンサルタントが使っている選定軸と、そのまま使える比較表を掲載中です。Edgeとは何か?~次世代UTMアプライアンスで実現する高次元のセキュリティ対策~ピックアップコンテンツ猛威を振るったマルウェア「Emotet」の振り返り。