有効な対策は？

　今回、i.JTBへの標的型攻撃は、顧客からの問い合わせを偽装したメールから始まりました。これまで、セキュリティの基本として「怪しいメールは開かない」と教育されてきたわけですが、本城氏は「企業が持つ情報を狙う攻撃では、そもそも『怪しいメール』は来ません」と断言します。彼らに「怪しいメールを見抜け」という責任を負わせるのは酷というもの。

　また、先に挙げたようにシグネチャ型のセキュリティ対策ツールでは、攻撃を防ぎきれないわけです。本城氏が所属するファイア・アイはマルウェアの振る舞いを分析して食い止めるサンドボックスを提供する企業ですが、その本城氏をして「サンドボックスによる阻止確率が99.9％、99.99％と進化していったとしても、攻撃を100％防ぐことは不可能」とコメントします。高度化した標的型攻撃を水際でたたき落とすことは、もはや現実的な解決策とは言い難いのです。

　最後に本城氏は、「経営者は『感染は防げないもの』と認識すべき」と提案します。例えば、抜本的な対策の1つとして「ネットワークの分離」を挙げます。個人情報や機密情報を扱うネットワークと、Web閲覧やメール送受信を行う通常業務ネットワークを分けて、被害の大規模拡大を防ぐわけです。当然、業務効率が低下することや導入コストがかさむといった痛みを許容しなければなりません。とはいえ、日本年金機構ではネットワークは分離されていたものの“業務効率”を優先した手順違反により1台のPCが感染しました。やはり従業員への教育は重要なのです。