コロナ禍がもたらす情シスの危機

辻氏
最初に言いたいのが、昨今は何でもかんでも“コロナ禍”で一括にして語ってしまいがちなので、まずはそこを改めるべきなのでは、ということです。確かに、新型コロナウイルス感染症の影響を受けて、在宅ワークなどリモート環境で仕事をする機会が増えてはいます。しかし、そのことが原因となって特に気をつけねばならなくなった情報セキュリティ・リスクと、いままでも変わらず最大限に注意すべきであった情報セキュリティ・リスクとを、一緒に考えてはいけないのではないでしょうか。
　
たとえば、スパムメール内のリンクを踏んでマルウェアに感染してしまうといった被害はずっと以前からありますよね。そのスパムメールの文面が、世界的に注目されている事件や、季節系などのイベントから、コロナ絡みのものへと単純に置き換わっただけなのに、あたかもコロナ禍特有のサイバー攻撃であるかのように語ってしまっては、本質を見失いかねません。イベント便乗であろうとコロナ便乗であろうと、スパムメールをきっかけとした攻撃への対策というのは、基本的に変わらないのです。
　
その一方で、社外からのVPN接続やクラウド利用などをこれまで大々的には行ってなかった企業が、コロナ禍により急遽全面的に実施せざるを得なくなったというケースはかなり多いはずです。そうした組織を狙ったサイバー攻撃に対する備えというのは、コロナ禍ならではのセキュリティ対策としてぜひ取り組むべきものです。
　
つまり、前者と後者をわけて考えなければいけないのではないか、ということなのです。

熱海氏
私も同じ意見ですね。むしろコロナ禍でリモートワークなどが普及したことによって、もともと潜在的に存在していた問題が顕在化したとも言えるのではないでしょうか。
　
自分が情シスをやっていた数年前と、ヒト・モノ・カネにまつわる問題自体は何も変わってはいないという印象を持っています。コロナ禍でテレワークをしなければならなくなったことで、IT予算がそこに費やされることにより、もともと予定していた“何か”──たとえば定期的な機器の更新などができなくなっているはずです。これは、昨今叫ばれているデジタル・トランスフォーメーション（DX）の促進の阻害要因となっているかもしれません。
　
本来の情シスの役割というのは、単にITシステムを運用保守するだけではなく、未来の明るい職場づくりでもあるはずなのですが、コロナ禍のバタバタでそれが遠のいてしまっているような気がしています。
　
もともとテレワークや在宅勤務というのは、人事部主導で段階的に環境を整備していくというのが一般的でした。それがコロナ禍で一挙にテレワークを行わねばならなくなったことで、ルール作りを含めて多くの役割が情シスにのしかかってきたというのが現実ではないでしょうか。

piyokango氏
中堅中小企業の情シスが特に注意すべきセキュリティ・リスクとして真っ先に思い浮かべるのが、2020年夏に猛威を振るったマルウェア「Emotet」でした。幸いにして今年1月に司法当局により摘発を受け活動は停止されたものの、それまでに被害を受けた組織を追ってみたところ、比較的規模の小さな企業が多いと感じました。
　
ここで引っかかるのが「Emotetは誰も知らないようなマルウェアだったのか?」という点です。
　
最初にEmotetが国内で話題になったのは、被害が拡大して多くのメディアで報道された2019年秋ごろのことです。Twitterでは「最恐ウイルス」などと取り上げられて大きな話題にもなりました。でも実は、EmotetはWordマクロの自動実行を無効化させるなどの対策が有効で、対策自体はそこまで難しくはないのです。なので話題となった時点で私もEmotetは多くの人に知られるようになった既知のマルウェアと、つまり対策も行われもはや第二波は来ないだろうと、安心していたんです。
　
それが2020年夏には2019年をも上回る大規模な被害をもたらすことになってしまったわけですが、この結果を受け、対策をしていて当然と思われた脅威であっても、その存在を把握していない情シスがまだまだいたのだと、コロナ禍を通じて知らしめることになったわけです。

辻氏
そうした問題点がコロナ禍を通じて浮き彫りになったという現実については、良い方向に捉えて、次なる対策へとつなげていくべきでしょうね。Emotetのように、きちんと攻撃手法をとらえた対策をしておけば防げる脅威というのは多いですから。それが新型コロナウイルスの影響によって急ごしらえで動いたために、対応すべきアクションをスキップしてしまったというのが実状のはずです。
　
だからこそ、いままでもやれと言われていたこと、なのにできていなかったことをちゃんと整理して、自分たちの組織を取り巻く脅威を把握し、どうすればそうした脅威から守ることができるのか、現状を見つめ直すことが大事なのだと思います。

熱海氏
情シスが陥りがちな間違いが“いままで起きていないから大丈夫”と勘違いしてしまうことです。そのため何か起きてしまったときに、あわてふためくことになります。そうならないよう、いま何が起きているのか、どのようなことが起きる可能性があるのかを、まずは情シス内できちんと可視化してみることが必要でしょうね。