タグ: サイバー攻撃 / サイバーセキュリティ（用語）

彼は私が聞いたことのない大学を卒業した。Villanova（ビラノバ大学）で修士号を取得したが、テーマは人材育成だった。米国海兵隊で16年過ごし、軍事、文民のさまざまな職についたが、サイバーセキュリティに直接関わったことはなかった。直近の職は建設会社のプロジェクトマネージャーだった。

私の会社、Sumo Logic（スモー・ロジック）の幹部たちに、セキュリティ運用センター（SOC）のマネージャー職として彼を雇うための面接をしてくれるよう頼んだとき、私は困惑と軽蔑のまなざしで迎えられた。「なぜ私がこの男と話をするのですか？」が典型的な反応だった。「まったく向いていないと思います」。

彼らが知らなかったのは、以前私がRoland Palmer（ローランド・パーマー）氏と面接して、30分で彼が適任だと結論を下したことだった。困難な任務に挑戦することへの彼の強い願望に私は感銘を受けた。この元海兵隊員はこれまでに、アフガニスタンにおける通信運用管理や、日本の放射性物質で汚染された地域から何百人もの人々を避難させるしごとなど、数々の厳しい挑戦と直面してきた。SOCの管理は、多くの危機とトラブル報告が絶え間なく起きる過酷な仕事だが、ローランド氏は履歴書にセキュリティ業務の経験がなかったにもかかわらず、生まれついた適任者に思えた。

私は同僚たちにこう言った。「あなたがたには彼と話して欲しいのですが、しなてくも私は彼を雇うつもりです」。結局全員がローランド氏に一目惚れした。彼は職を得た。

あれは3年前のことだった。2020年にローランドはシニアSOCマネージャーに昇進した。同じ年、彼は会社で最高水準の従業員功績表彰を受けた。

私がこの話をしているのは、信じられないほど競争の激しい雇用市場で優れた人材を雇う、という最大の難関を超えるために会社とサイバーセキュリティ組織は何をすべきかをものがたっていると思うからだ。

「サイバーセキュリティスキル危機は年々悪化の一途をたどり、半数以上（57％）の組織が影響を受けています」と、Information Systems Security Association（情報システムセキュリティ協会）とアナリスト会社のEnterprise Strategy Group（エンタープライズ・ストラテジー・グループ）がまとめた最新の報告書はいう。現在サイバーセキュリティ職には350万の空席があり、これはNFL（ナショナル・フットボール・リーグ）のスタジアム50個を満席にする人数だとCybersecurity Ventures（サイバーセキュリティ・ベンチャーズ）はいう。

ランサムウェア攻撃やデータ侵害、サプライチェーン襲撃が急増する今、2021年前半の全世界におけるサイバー攻撃の件数は、前年同時期に比べて125％増加した。Accenture（アクセンチュア）の調査による。果たして企業は何をすべきなのか？

今日の最高セキュリティ責任者（CSO）は、人材探しを主要業務の1つとして受け入れるだけではなく、積極的に活用していく必要がある（私は週の少なくとも10％を充てており、それ以上のことも多い）。そして、優れたセキュリティ専門家がどこから来るかに関する古い先入観を捨て、自由で創造的な人探しをしなくてはならない。

5つのアドバイス：

窓際族症候群に注意せよ

正直な話をしよう。採用にあたり、誰でもいいから連れてこようという誘惑にかられることがある。それは、サイバーセキュリティ職が必要だからだけでなく、不調な四半期の後に空席の職がレイオフで減らされないよう人員を確保しなくてはいけない、という圧力が加わるためだ。

これをやってはいけない。サイバーセキュリティは、仕事のできないチームメンバーを抱えておくにはリスクが高すぎるくらい重要だ。

学歴偏見

有名大学を出ることは名誉であり、その価値を疑うつもりは毛頭ないが、私の必要条件リストでは下の方に位置する。意欲、熱意、ストレス下での平静、団結心、そして状況認識のほうがはるかに重要だ。

2015年のSumoでの最初の1週間、私はスタンフォード、UCバークレー、MITなどの大学を卒業した同僚幹部たち数人と、顔合わせを行った。自分について話す番が来たとき、私は会議室の全員に向かって自分の母校について話した。Regis University（レジス大学）はコロラド州デンバーにあるイエズス会系の小さな大学だ。

私は気後れしなかった。誇りを持っていた。そして人を雇うとき、私はスキルと個人の資質を学歴よりも優先する哲学を今も守っている。

立ち直る力は経験と同じかそれ以上に重要だ

サイバーセキュリティ部門で働くことは、世界で最もストレスのかかる仕事の1つであり、慢性的な悩みで燃え尽きてしまいがちだ。 Chartered Institute of Information Security（情報セキュリティ協会）の報告によると、セキュリティ専門家の51％が仕事のストレスで夜寝られないという。

そういうわけで、過去のセキュリティ経験は大きなプラスではあるものの、プレッシャーに対処し、さらにはプレッシャーを楽しむ能力が等しく重要だ。私は求職者に必ずこういう「この仕事は単調でつらいものになります。しかしその使命は絶対不可欠です」。これを聞いて目を輝かせる人がいる、それこそ求めている人材だ、履歴書になんと書かれていようとも。

従来と異なる情報源を活用する

ローランド・パーマー氏は、最高のサイバーセキュリティ専門家が必ずしもサイバーセキュリティ世界から来る必要がないことを示す一例だ。しかし、他にもたくさんある。

例えば私はソフトウェア開発組織がセキュリティ人材の育成に好適な場所であることを発見した。 DevOps（デブオプス）などのアジャイル開発手法は、開発と運用とセキュリティを伝統的な縦割り構造から引っ張り出した。今や全員が力を合わせて、迅速で効率的で堅牢なソフトウェアパイプラインを育てることを期待されている。

これによって、デベロッパーがセキュリティの専門知識の幅を広げ、会社のソフトウェアライフサイクルを別な形で推進しながら、自らの領域を広げる新しい機会を与えることができる。

私はよく開発者にこういう「うちのチームに入れば、クラウドのインフラストラクチャの仕事も、アプリケーションの仕事も、APIとマイクロサービスを融合させる仕事もすることができます。そしてその過程でソフトウェアパイプラインの高いレベルの理解を深め、セキュリティが織り込まれたカルチャーを推進することができます。そして将来エンジニアリングに戻ることにした時、あなたは今や決定的に重要な幅広い経験とセキュリティ習慣を身につけたうえで戻ることができます」。

私は経理業務の経験者にも注目している、それは彼らに規制遵守の姿勢とセキュリティ業務に不可欠な細部への注意力があるからだ。

共感を呼ぼう

私がセキュリティ業務を始めた頃、他の社員が廊下を歩く私を見て隠れるようになったのを感じた。彼らには私が、何かのセキュリティ問題で叱りつけにきた悪い奴に見えていた。

今のより協調的なカルチャーでは、もはやそれは受け入れられない。セキュリティ専門家は、信頼できるてームメートとして近くにいて安心感をあたえる存在にならなければならない。

好むと好まざるとにかかわらず、一流の人材を雇うことは、CSOの仕事の中で最も重要かつ困難な部分になってきており、すぐには変わりそうにない。しかし、決断力と形にとらわれない思考があれば、困難に打ち勝つ答えを導くことができるだろう。

編集部注：本稿の執筆者George Gerchow（ジョージ・ガーチョウ）氏は、 Sumo Logicの最高セキュティ責任者。

画像クレジット：Ivan balvan / Getty Images

［原文へ］

（文：George Gerchow、翻訳：Nob Takahashi / facebook ）

英国の外務省が「深刻なインシデント」の対象となり、緊急のサイバーセキュリティ支援を要請せざるを得ない事態となっていたことがわかった。

このインシデントは、最近発表された公開入札書類で確認されたものだ。現地時間2月4日に公開されたこの書類では、外務・英連邦・開発省（FCDO）が、サイバーセキュリティの契約先であるBAE Applied Intelligence（BAEアプライド・インテリジェンス）社に「緊急の業務支援」を要請したことが明らかになっている。

この通知によると、FCDOは、2022年1月12日に締結された「当局のサイバーセキュリティインシデントを分析するためのビジネスアナリストおよびテクニカルアーキテクトの支援」を行う契約を発行した後、同社の援助に対し46万7325.60ポンド（約7300万円）を支払っている。

しかし、これまで公表されていなかったこの事件の詳細は、依然として不明のままだ。

「当局は深刻なサイバーセキュリティインシデントの対象となったが、その詳細は公表できない」と、この書類には書かれている。「このインシデントを受けて、修復と調査をサポートするために緊急の支援が必要となった。この業務の緊急性と重要性のため、当局は一般手続きや制限手続き、あるいは競争的交渉手続きの期限を遵守することができなかった」。

BAEとの契約については、The Stack（ザ・スタック）によって初めて報じられた。

名前を明かさなかったFCDOの広報担当者は、TechCrunchに対し、同局はセキュリティについてはコメントしないが「潜在的なサイバーインシデントを検知し、防御するためのシステムを持っている」と語った。この広報担当者は、機密情報へのアクセスがあったかどうかなど、この事件に関する詳しい質問には答えなかった。

TechCrunchは英国のデータ保護当局にも連絡を取り、この事件が報告されたかどうかを確認したが、まだ回答は得られていない。

なお、今回明らかになった事件が報じられる数日前には、国際的な文化交流と教育機会の促進を専門とする英国の公的機関であるBritish Council（ブリティッシュ・カウンシル）でも、重大なセキュリティ上の過失が発覚している。Clario（クラリオ）のセキュリティ研究者が、保護されていないMicrosoft Azure（マイクロソフト・アジュール）のストレージ・サーバー上に14万4000の暗号化されていないファイルを発見したが、その中にはブリティッシュ・カウンシルの学生の個人情報やログイン情報が含まれていたのだ。

2020年12月には、サセックス州にあるFCDOの執行機関であるWilton Park（ウィルトン・パーク）がサイバー攻撃を受けており、英国の国立サイバーセキュリティセンターによる調査の結果、データが盗まれた証拠はないものの、ハッカーが6年間にわたって同機関のシステムにアクセスしていたことが判明している。

画像クレジット：Chris J. Ratcliffe / Getty Images

［原文へ］

（文：Carly Page、翻訳：Hirokazu Kusakabe）

ロシア連邦保安庁（FSB）は現地時間1月14日、悪名高いランサムウェア集団「REvil」を摘発し、その活動を停止させたと発表した。

この前例のない動きは、ロシア国外で活動する他のランサムウェア集団に対するメッセージとなることは間違いなく、ロシア当局はモスクワ、サンクトペテルブルク、リペツクの各地域で、REvilのメンバーとみられる14人が所有する25の建物を家宅捜索した。

2021年7月に活動を停止し、その後、9月に復活に失敗したREvilは、Colonial Pipeline（コロニアル・パイプライン）、JBS Foods（JBSフーズ）、米国のテクノロジー企業Kaseya（カセヤ）を標的とした攻撃など、過去12カ月間で最も被害が大きかった攻撃のいくつかを指揮したとみられている。

関連記事：ランサムウェア犯罪組織「REvil」、そのデータリークブログが乗っ取られて再び姿を消す

FSBは、4億2600万ルーブル（約6億4000万円）超と50万ユーロ（約6500万円）、60万ドル（約6800万円）の現金、暗号資産ウォレット、コンピューター、高級車20台を押収したと発表した。

FSBは声明で、米当局の要請を受けて捜査を行い、その結果は通知された、と述べている。

拘束されたランサムウェアのメンバーは「支払手段の違法な流通」の疑いでロシアの法律に基づいて起訴された。ロシア当局は、容疑者の名前を公表していない。

「FSBとロシア内務省による共同捜査の結果、組織的な犯罪コミュニティは存在しなくなり、犯罪目的に使用されていた情報インフラは無力化された」とFSBは声明で説明している。

今回のサプライズの摘発のニュースは、7月の米国のテクノロジー企業Kaseyaに対するランサムウェア攻撃を指揮したとして、米司法省がランサムウェア集団REvilにつながる22歳のウクライナ人を起訴してからちょうど2カ月後に発表された。また、欧州警察機構（Europol）が調整役を担った作戦により、2021年には他に7人のREvilメンバーも逮捕された。7月にはバイデン大統領がロシアに追従するよう促し、ロシアのVladimir Putin（ウラジーミル・プーチン）大統領にこれらの犯罪組織を崩壊させるための行動をとるよう圧力をかけた。

FSBがとった行動は、1月14日にウクライナの外務省、国家安全保障・防衛評議会、政府閣僚のウェブサイトを含む政府ウェブサイトが大規模なサイバー攻撃でダウンしたわずか数時間後に行われたものでもある。当局者は、結論を出すのは時期尚早だとしながらも、ロシアによるウクライナに対するサイバー攻撃の「長い記録」を指摘した。

画像クレジット：FSB / public

［原文へ］

（文：Carly Page、翻訳：Nariko Mizoguchi）