タグ: セキュリティ

あるリークサイトは、募金サイトGiveSendGoがハッカーに狙われた後、オタワでのトラック運転手による抗議デモ「Freedom Convoy（フリーダムコンボイ）」への寄付者に関する情報のキャッシュを受け取ったという。

GiveSendGoのウェブサイトは現地時間2月14日、サイトが乗っ取られ、ハッカーによってコントロールされていると思われるページにリダイレクトされるようになり、その数時間後に「メンテナンス中」となって、もはや読み込めなくなったと明らかにした。リダイレクトされたページは、新型コロナウイルス感染症のワクチン接種の義務化に反対してカナダの首都を襲い、1週間以上にわたって交通と貿易に広範な混乱を引き起こしたトラック運転手たちを非難した。

このページには、Freedom Convoyに寄付をした人たちの「生の寄付データ」と称される数万件の記録を含むファイルへのリンクも含まれていた。

しばらくして、非営利のリークサイト「Distributed Denial of Secrets」が、GiveSendGoから30MBの寄付者情報を受け取ったと発表した。この中には、同サイトで行なわれた「すべてのキャンペーン」に対する寄付者の自称氏名、電子メールアドレス、郵便番号、IPアドレスが含まれていた。

Distributed Denial of Secretsは、極右グループに関する一連の流出データを保管していることで知られるサイトだが、このデータは研究者やジャーナリストにのみ提供されると述べた。

ジャーナリストのMikael Thalen（ミカエル・タレン）氏によると、今回の情報漏洩は、1000件以上の身分証明書類を保存しているAmazon（アマゾン）がホストするS3バケットをGiveSendGoがインターネットに公開したままにしていた、以前のセキュリティ過失とは別のものだ。タレン氏は2月13日夜に今回のデータ漏洩を最初に指摘した。

関連記事：カナダのワクチン義務化に抗議するトラック運転手たちの寄付サイトから個人情報流出

GoFundMeがオタワで発生した暴力の警察報告を理由にクラウドソーシングキャンペーンを停止して数百万ドル（数億円）の寄付を凍結した後、マサチューセッツ州ボストンを拠点とするGiveSendGoは1月にFreedom Convoyの主要寄付サービスになっていた。週末には、カナダの裁判所がGiveSendGoが集めた資金へのアクセスを停止する命令を出したが、同社は命令に従わないと述べた。

抗議者らは2月初め、Freedom Convoのために800万ドル（約9億円）超を集めた。

GiveSendGoの共同設立者、Jacob Wells（ジェイコブ・ウェルズ）氏は、コメントの要請に応じなかった。

画像クレジット：Stephanie Keith / Bloomberg / Getty Images

［原文へ］

（文：Zack Whittaker、翻訳：Nariko Mizoguchi）

彼は私が聞いたことのない大学を卒業した。Villanova（ビラノバ大学）で修士号を取得したが、テーマは人材育成だった。米国海兵隊で16年過ごし、軍事、文民のさまざまな職についたが、サイバーセキュリティに直接関わったことはなかった。直近の職は建設会社のプロジェクトマネージャーだった。

私の会社、Sumo Logic（スモー・ロジック）の幹部たちに、セキュリティ運用センター（SOC）のマネージャー職として彼を雇うための面接をしてくれるよう頼んだとき、私は困惑と軽蔑のまなざしで迎えられた。「なぜ私がこの男と話をするのですか？」が典型的な反応だった。「まったく向いていないと思います」。

彼らが知らなかったのは、以前私がRoland Palmer（ローランド・パーマー）氏と面接して、30分で彼が適任だと結論を下したことだった。困難な任務に挑戦することへの彼の強い願望に私は感銘を受けた。この元海兵隊員はこれまでに、アフガニスタンにおける通信運用管理や、日本の放射性物質で汚染された地域から何百人もの人々を避難させるしごとなど、数々の厳しい挑戦と直面してきた。SOCの管理は、多くの危機とトラブル報告が絶え間なく起きる過酷な仕事だが、ローランド氏は履歴書にセキュリティ業務の経験がなかったにもかかわらず、生まれついた適任者に思えた。

私は同僚たちにこう言った。「あなたがたには彼と話して欲しいのですが、しなてくも私は彼を雇うつもりです」。結局全員がローランド氏に一目惚れした。彼は職を得た。

あれは3年前のことだった。2020年にローランドはシニアSOCマネージャーに昇進した。同じ年、彼は会社で最高水準の従業員功績表彰を受けた。

私がこの話をしているのは、信じられないほど競争の激しい雇用市場で優れた人材を雇う、という最大の難関を超えるために会社とサイバーセキュリティ組織は何をすべきかをものがたっていると思うからだ。

「サイバーセキュリティスキル危機は年々悪化の一途をたどり、半数以上（57％）の組織が影響を受けています」と、Information Systems Security Association（情報システムセキュリティ協会）とアナリスト会社のEnterprise Strategy Group（エンタープライズ・ストラテジー・グループ）がまとめた最新の報告書はいう。現在サイバーセキュリティ職には350万の空席があり、これはNFL（ナショナル・フットボール・リーグ）のスタジアム50個を満席にする人数だとCybersecurity Ventures（サイバーセキュリティ・ベンチャーズ）はいう。

ランサムウェア攻撃やデータ侵害、サプライチェーン襲撃が急増する今、2021年前半の全世界におけるサイバー攻撃の件数は、前年同時期に比べて125％増加した。Accenture（アクセンチュア）の調査による。果たして企業は何をすべきなのか？

今日の最高セキュリティ責任者（CSO）は、人材探しを主要業務の1つとして受け入れるだけではなく、積極的に活用していく必要がある（私は週の少なくとも10％を充てており、それ以上のことも多い）。そして、優れたセキュリティ専門家がどこから来るかに関する古い先入観を捨て、自由で創造的な人探しをしなくてはならない。

5つのアドバイス：

窓際族症候群に注意せよ

正直な話をしよう。採用にあたり、誰でもいいから連れてこようという誘惑にかられることがある。それは、サイバーセキュリティ職が必要だからだけでなく、不調な四半期の後に空席の職がレイオフで減らされないよう人員を確保しなくてはいけない、という圧力が加わるためだ。

これをやってはいけない。サイバーセキュリティは、仕事のできないチームメンバーを抱えておくにはリスクが高すぎるくらい重要だ。

学歴偏見

有名大学を出ることは名誉であり、その価値を疑うつもりは毛頭ないが、私の必要条件リストでは下の方に位置する。意欲、熱意、ストレス下での平静、団結心、そして状況認識のほうがはるかに重要だ。

2015年のSumoでの最初の1週間、私はスタンフォード、UCバークレー、MITなどの大学を卒業した同僚幹部たち数人と、顔合わせを行った。自分について話す番が来たとき、私は会議室の全員に向かって自分の母校について話した。Regis University（レジス大学）はコロラド州デンバーにあるイエズス会系の小さな大学だ。

私は気後れしなかった。誇りを持っていた。そして人を雇うとき、私はスキルと個人の資質を学歴よりも優先する哲学を今も守っている。

立ち直る力は経験と同じかそれ以上に重要だ

サイバーセキュリティ部門で働くことは、世界で最もストレスのかかる仕事の1つであり、慢性的な悩みで燃え尽きてしまいがちだ。 Chartered Institute of Information Security（情報セキュリティ協会）の報告によると、セキュリティ専門家の51％が仕事のストレスで夜寝られないという。

そういうわけで、過去のセキュリティ経験は大きなプラスではあるものの、プレッシャーに対処し、さらにはプレッシャーを楽しむ能力が等しく重要だ。私は求職者に必ずこういう「この仕事は単調でつらいものになります。しかしその使命は絶対不可欠です」。これを聞いて目を輝かせる人がいる、それこそ求めている人材だ、履歴書になんと書かれていようとも。

従来と異なる情報源を活用する

ローランド・パーマー氏は、最高のサイバーセキュリティ専門家が必ずしもサイバーセキュリティ世界から来る必要がないことを示す一例だ。しかし、他にもたくさんある。

例えば私はソフトウェア開発組織がセキュリティ人材の育成に好適な場所であることを発見した。 DevOps（デブオプス）などのアジャイル開発手法は、開発と運用とセキュリティを伝統的な縦割り構造から引っ張り出した。今や全員が力を合わせて、迅速で効率的で堅牢なソフトウェアパイプラインを育てることを期待されている。

これによって、デベロッパーがセキュリティの専門知識の幅を広げ、会社のソフトウェアライフサイクルを別な形で推進しながら、自らの領域を広げる新しい機会を与えることができる。

私はよく開発者にこういう「うちのチームに入れば、クラウドのインフラストラクチャの仕事も、アプリケーションの仕事も、APIとマイクロサービスを融合させる仕事もすることができます。そしてその過程でソフトウェアパイプラインの高いレベルの理解を深め、セキュリティが織り込まれたカルチャーを推進することができます。そして将来エンジニアリングに戻ることにした時、あなたは今や決定的に重要な幅広い経験とセキュリティ習慣を身につけたうえで戻ることができます」。

私は経理業務の経験者にも注目している、それは彼らに規制遵守の姿勢とセキュリティ業務に不可欠な細部への注意力があるからだ。

共感を呼ぼう

私がセキュリティ業務を始めた頃、他の社員が廊下を歩く私を見て隠れるようになったのを感じた。彼らには私が、何かのセキュリティ問題で叱りつけにきた悪い奴に見えていた。

今のより協調的なカルチャーでは、もはやそれは受け入れられない。セキュリティ専門家は、信頼できるてームメートとして近くにいて安心感をあたえる存在にならなければならない。

好むと好まざるとにかかわらず、一流の人材を雇うことは、CSOの仕事の中で最も重要かつ困難な部分になってきており、すぐには変わりそうにない。しかし、決断力と形にとらわれない思考があれば、困難に打ち勝つ答えを導くことができるだろう。

編集部注：本稿の執筆者George Gerchow（ジョージ・ガーチョウ）氏は、 Sumo Logicの最高セキュティ責任者。

画像クレジット：Ivan balvan / Getty Images

［原文へ］

（文：George Gerchow、翻訳：Nob Takahashi / facebook ）

英国の外務省が「深刻なインシデント」の対象となり、緊急のサイバーセキュリティ支援を要請せざるを得ない事態となっていたことがわかった。

このインシデントは、最近発表された公開入札書類で確認されたものだ。現地時間2月4日に公開されたこの書類では、外務・英連邦・開発省（FCDO）が、サイバーセキュリティの契約先であるBAE Applied Intelligence（BAEアプライド・インテリジェンス）社に「緊急の業務支援」を要請したことが明らかになっている。

この通知によると、FCDOは、2022年1月12日に締結された「当局のサイバーセキュリティインシデントを分析するためのビジネスアナリストおよびテクニカルアーキテクトの支援」を行う契約を発行した後、同社の援助に対し46万7325.60ポンド（約7300万円）を支払っている。

しかし、これまで公表されていなかったこの事件の詳細は、依然として不明のままだ。

「当局は深刻なサイバーセキュリティインシデントの対象となったが、その詳細は公表できない」と、この書類には書かれている。「このインシデントを受けて、修復と調査をサポートするために緊急の支援が必要となった。この業務の緊急性と重要性のため、当局は一般手続きや制限手続き、あるいは競争的交渉手続きの期限を遵守することができなかった」。

BAEとの契約については、The Stack（ザ・スタック）によって初めて報じられた。

名前を明かさなかったFCDOの広報担当者は、TechCrunchに対し、同局はセキュリティについてはコメントしないが「潜在的なサイバーインシデントを検知し、防御するためのシステムを持っている」と語った。この広報担当者は、機密情報へのアクセスがあったかどうかなど、この事件に関する詳しい質問には答えなかった。

TechCrunchは英国のデータ保護当局にも連絡を取り、この事件が報告されたかどうかを確認したが、まだ回答は得られていない。

なお、今回明らかになった事件が報じられる数日前には、国際的な文化交流と教育機会の促進を専門とする英国の公的機関であるBritish Council（ブリティッシュ・カウンシル）でも、重大なセキュリティ上の過失が発覚している。Clario（クラリオ）のセキュリティ研究者が、保護されていないMicrosoft Azure（マイクロソフト・アジュール）のストレージ・サーバー上に14万4000の暗号化されていないファイルを発見したが、その中にはブリティッシュ・カウンシルの学生の個人情報やログイン情報が含まれていたのだ。

2020年12月には、サセックス州にあるFCDOの執行機関であるWilton Park（ウィルトン・パーク）がサイバー攻撃を受けており、英国の国立サイバーセキュリティセンターによる調査の結果、データが盗まれた証拠はないものの、ハッカーが6年間にわたって同機関のシステムにアクセスしていたことが判明している。

画像クレジット：Chris J. Ratcliffe / Getty Images

［原文へ］

（文：Carly Page、翻訳：Hirokazu Kusakabe）

セキュリティテスト自動化SaaS「AeyeScan」を提供するエーアイセキュリティラボは2月3日、第三者割当増資による3億円の調達を完了したと発表した。引受先は、リード投資家のグロービス・キャピタル・パートナーズ（GCP）、またSalesforce Ventures（米国セールスフォース・ドットコムCVC）、G-STARTUPファンド（グロービス）、既存投資家のANRI。

調達した資金により、開発体制拡大に向けた採用を強化し、プロダクトの継続的な機能追加と改善を推進する。また、既存顧客、パートナーとの連携強化・深耕を図るべく営業体制を強化する。さらに、新たなセキュリティモデルを模索するSaaS企業や、自社開発プロダクトを有する企業へのマーケティング活用・営業を展開し、開発・運用とセキュリティがシームレスに連携するDevSecOps実現に向けた取り組みを開始する。

AeyeScanは、いつでも誰でも高品質な脆弱性診断を可能にするSaaS型Webアプリ診断ツール。これまで専門家に依頼していたウェブサイト・ウェブサービスの安全性を確認する脆弱性診断を自社で実施する「診断の内製化」や、アプリケーション開発時における「セキュリティテストの自動化」「DevSecOpsの実現」をサポートするものという。

ウェブサイトやSaaSへの脆弱性診断の実施は、運用負荷・コストなど課題が山積しており、昨今話題となっているLog4jの脆弱性は、脆弱性対応への課題を改めて浮き彫りした。AeyeScanでは、最新の自動化技術を駆使し、人手に依存せず高度な脆弱性診断を実現し、これら課題の解決を支援する。

エーアイセキュリティラボは、「セキュリティエンジニア不足を我々の有する技術力で解決する」を理念に2019年4月に創業したスタートアップ。サイバーセキュリティ技術のプロフェッショナル集団、特にウェブアプリケーションセキュリティに深い知識と経験を有するメンバーが在籍しており、クラウドを活用したセキュリティサービスの開発提供および各種コンサルティングを提供している。