ニュートン・コンサルティング株式会社 プリンシパルコンサルタント 内海 良

リオ大会では、開催期間中に100万人を超える旅行者が訪れ、世界中で48億人が視聴するに至ったと報告されています。今回の大会では、巧妙化が進むサイバー犯罪に対し、どのような準備を行い、どのようなリスクマネジメント活動を行い、開催期間中にどのような問題が発生し対処したのでしょうか。

大会が終了して間もない9月27日、リオ2016オリンピック・パラリンピック競技大会組織委員会(リオ2016組織委員会)を訪問し、Technology Operation Centre(以降「TOC」)のマネージャであるMarcelo・Souza氏、テクノロジーサービス局ディレクターのElly・Resende氏、そしてCISO(最高情報セキュリティ責任者)のBruno・Moraes氏に話を聞きました。

大会開催に向けたリスクマネジメントの仕組み

オリンピック・パラリンピック競技大会は、約1カ月間の「本番」のために、4年以上も費やしてさまざまな準備を行います。運営主体である組織委員会は、立ち上げから大会開催に向けて組織規模を爆発的に拡大させていき、さらに、国や自治体、民間企業、IOC、各競技連盟などさまざまな組織とも連携できるよう一体的な取り組みを深めていきます。

このような特異な状況に対して、リオ2016組織委員会では「リスクマネジメント活動は大会開催4年前から実施した」(Elly氏)といいます。しかし着手段階では、具体的に誰がどのような業務を行うのか当然不明な点が多く、4年後の環境変化に伴うサイバー犯罪を見据えて動くにも想像力には限界があったとElly氏は難しさを指摘します。

そこで、現実的なアプローチとして、初年度はリスクマネジメントのコンセプトづくりを中心に行い、細かな分析ではなく、あくまで大まかな分析に基づきPDCAサイクルを回していったといいます。

オリンピックやパラリンピックのように数年後を見据えて準備をするイベントにおいては、PDCAの中で精度を高めていくという一定の「割り切り」を持つことが重要だということです。2年目以降は、毎年1度PDCAを回す形でリスクマネジメントに取り組んでいきました。

PDCAサイクルは、方針決定から事業影響度分析、リスク分析に基づく対応など、極めて標準的なもので、各プロセスの詳細度合いが異なるだけだったということです。PDCAを回しスパイラルアップで高めていくことは企業組織の取り組みと変わらず、仕組みそのものは王道の姿勢だったと言えるでしょう。

ただし、大会運営を見据えたPDCAを回す成功の鍵は、「積極的な連携なくしてありえない」(Elly氏)という点が企業単体と大きく異なる点だと感じました。例えば、事業影響度分析(BIA)の実施については、目標復旧時間(RTO)など、本来、業務を担当する部局の観点で決定されるべきものですが、細かな業務が定まっていない着手段階では当然、議論しても空中戦になることが多いと考えられます。

こういった場面では、テクノロジー局が積極的に他の部局のヒアリングを行い、目標復旧時間を仮設定した上で、徐々に精度を高めていったそうです。このようなリスクマネジメント活動を通じて、最終的にサイバー対応には、3つの注力ポイント必要であることが導き出されたとBruno氏は振り返っています。

サイバー攻撃を想定した訓練手法

1つ目は、リオ五輪のイメージを損なうようなサイバー・アクティビズム(SNSなどの情報共有・拡散を通じて大会の批判活動へつながるような事態)、2つ目は、フィッシング等に代表される詐欺行為、そして最後がインフラ等へのDDoS攻撃などです。

この3つの注力分野をはじめとする大会期間中のサイバー対応についてBruno氏は「大会運営をゆるがすような大きな問題は起きなかった」と前置きした上で、サイバー・アクティビズムについては、セキュリティチームによるスレット・インテリジェンス(脅威情報)や州警察によるソーシャル・ネットワーキングの監視チームと連携して、常に脅威となり得るものについて情報共有し対応を図ったと説明しています。

フィッシング対策については、パートナー企業と契約し、事前にリオ大会と類似する数千のインターネットドメインを特定してモニタリングし、ISPやウェブサイト提供業者と連携して、マルウェアが含まれているケースなどは積極的にテイクダウンを行っていったということです。

インフラへのDDoS攻撃などについては、組織委員会として防御デバイスを導入したほか、データセンター内のバックボーン回線上での対策など複数の手法で対応していきました。データセンターを分散しておいたことも、DDoSなどからの回復、レジリエンスの確保に一役買っていたようです。

その他にも、リオ市郊外のオリンピック・パークの中に設置されたMain Operation Center(MOC)内に、リオ市中心部の組織委員会庁舎内にあるTOCの代替拠点機能を備え、万が一TOCが使えなくなった場合のバックアップオフィスとして準備していたことや、計50以上のアプリケーションの立ち上げに当たり、開発段階からセキュリティ要件を明確にした上で、システム完成後には、20万時間、125に及ぶセキュリティテストを実施していたということです。

このセキュリティテストについては、脆弱性診断やペネトレーションテスト(侵入テスト)などが含まれますが、規模が大きなインシデント対応の観点で実施したものとしてはライブシステムを利用したRed演習「Cyber War Game」や、サイバー攻撃に加えIT障害や突発的な人員不足なども想定した実働演習「Technical Rehearsal」をそれぞれ複数回実施しています。

組織委員会庁舎の中

こうした準備のもと、大会期間中は4000万回のセキュリティイベントを検出し、2300万回にのぼるウェブサイトへの攻撃を遮断し、具体的に緩和措置をとったDDoS攻撃も223件発生したということです。さらに言えば、直接的にはリオ2016組織委員会の範疇外ですが、「アノニマス」が五輪開催に抗議し、リオ州政府や警察、公営企業などのウェブサイトに侵入し、データが盗まれたと見られる複数のサイトが一時的に閲覧できない状態に陥りました。リオ州の情報通信技術センターが「集中的なハッキング攻撃を受けている」としていて、復旧作業を急いでいるとの報道もされました。

それでも競技大会そのものの中止や延期につながる大きなインシデントが発生しなかったことは、一連の準備の賜物と言えるでしょう。

日本が見習うべきポイント

左から筆者、Elly 氏、Marcello 氏、弊社副島

Marcello氏とElly氏は、大会成功のポイントについて、「信頼感の醸成」と「責任分界点の明確化」の2点を挙げています。

信頼感の醸成については、「セキュリティは重要だが、対話しながら進めないと現場や他組織は情報開示に消極的になり、最終的に非効率になる」と何度も強調していました。

また「信頼感の醸成には時間がかかる。早い段階から情報交換を行い、時には外部組織を非公式にオフィスに招待し食事会など対話しやすい雰囲気での情報交換することが成功の鍵」とも話していました。

責任分界点については、さまざまな組織が連携して対応する中でコントロールできる範囲は限られる。ここを明確にすることが非常に重要ということでした。例えば組織委員会でフィッシングサイトを見つけてもテイクダウンまでは対応できません。

それを行うのはあくまでISP(インターネットサービスプロバイダ)であり、国や州からの指導があってこそ実現します。この責任分界点を明確にしておくことがポイントということです。

日本は縦割り組織で連携は特に苦手と言われています。2020年東京大会に向け、多くの組織が連携していくことは大きなチャンレジとなるでしょう。

【民間企業の備え】

最後に民間企業がどのような備えをしておくべきか私見を書かせていただきます。

まず認識すべきは、2012年のロンドン大会と比較すると、リオ大会でのサイバー攻撃の数は格段に少なかったことです。それはロンドンとリオの経済規模の差と見ることができます。つまり、サイバー攻撃者は効率を重んじます。東京はGDP世界第一位の都市であり、ロンドンを上回ります。リオでも民間企業が攻撃対象となり被害に遭っていますが、リオの数倍の攻撃が東京で発生する心構えが必要です。

東京大会では、テクノロジーがさらに進んでいることも容易に想定されます。メディアによるオンライン配信などは当然となり、システムはクラウド化が進み、トラフィック量はリオの数十倍か、それをはるかに凌ぐ規模になることでしょう。また新たな脅威としてIoTデバイスがDDoSの温床になり、ドローンなどを利用した物理的な攻撃とサイバー空間からの攻撃の融合も頻発し、今からは想像ができない未曾有の攻撃が発生するかもしれません。

企業組織は、被害者にならないだけでなく、加害者にならない対応が求められます。折しも先日、世界最大規模のDDoS攻撃がアメリカの主要サイトをターゲットとして発生し、多くのサービスがダウンすることになりました。テレビカメラなどのIoTデバイスがマルウェアに感染してボットネットを形成し、一斉にDDoS攻撃を初めたことが原因とされています。

しかし、常に求められる対応は基本のベースラインです。デフォルトパスワードの変更や、Telnet(テルネット:汎用的な双方向8ビット通信を提供する端末間およびプロセス間の通信プロトコル)、SNMP(IPネットワークのネットワーク監視およびネットワーク管理を行うためのプロトコル)の使用制限、発見された脆弱性への迅速な修正プログラムの適用は基本であり、最も重要な対策でもあります。

オリンピックのような大規模なイベントは、組織委員会だけで成功させることはできません。大会を間接的に支える金融機関や重要インフラ企業を狙った攻撃が多発することも予測されます。組織委員会の枠を超えて、内閣サイバーセキュリティセンターや各省庁のリーダーシップによる重要インフラ機関への一定レベルのリスク分析やサイバー演習をさらに高度化して推進していくことが求められるでしょう。

特に内閣サイバーセキュリティセンター(NISC)が行っている「重要インフラ訓練」は、他業種が一同に介してサイバー攻撃などを想定して行われるので、世界でも類を見ない訓練です。こうした機会を利用し、オリンピックをテーマにし訓練を実施することも大きな効果が得られるはずです。

繰り返しになりますが、東京大会ではこれまで経験しなかった未曾有の脅威が発生する可能性が高いと考えられます。しかし、やれることは限られています。過去の大会から学び、想像力を働かせ、関係組織が一丸となって取り組むことが何より重要です。

(了)