ウェビナー：フィッシングの変遷と対策
「ナイジェリアの王子」を超えて
2017年、FBIの推計によると、ビジネスメール詐欺による被害額は2016年と比較して88%増加した。しかし、多くのエンドユーザーは依然として、フィッシングといえば典型的な「ナイジェリアからのメール」を連想している。
このウェビナーでは、dmarcianの創業者であるティム・ドレーゲン氏とGreatHornのCEOであるケビン・オブライエン氏が、フィッシング攻撃の歴史――「ナイジェリアの王子」詐欺が横行した初期の時代から、今日の高度で標的を絞ったスピアフィッシングの脅威に至るまで――を解説します。
脅威の性質が変化する中で、我々の哲学的アプローチをいかにして最新の状態に保っているかを探り、それに追随するために使用する技術がいかに進化してきたかについて議論します。最後に、フィッシング対策として組織が検討すべき多角的なアプローチと、それらの連携方法について解説します。これには、認証フレームワーク、関係グラフ、機械学習などが含まれます。
このウェビナーに参加することで、以下の点を理解できるようになります：
- 今日最も悪質な脅威
- 従来のツールのメリットとデメリット
- これらの脅威に対処するための新たなアプローチ
「これまでのフィッシング対策は、ウェブサイトのセキュリティやファイアウォール／境界防御に重点が置かれてきました。しかし、フィッシング対策において効果的なのは、単に新しい、より優れた「ネズミ捕り」を用意することではなく、変化する環境に対応するためのより良い業務プロセスを導入し、従業員がより優れたツールとトレーニングを確実に受けられるようにすることです。」
「様々な関係性を持つ複雑な事象を、保護すべき静的な資産であるかのように扱うのではなく、この新しいアプローチは、組織内で人々がどのように振る舞うか、そして組織が（業界の枠を超えて）オンライン上でどのように機能するかに焦点を当てています。フィッシングに対する効果的な対応策は、従来のアプローチを基盤としつつ、人々のダイナミックな性質や、組織が自社の枠をはるかに超えてオンライン上で交流しているという事実を認識したものです。」 – ティム・ドレーゲン（dmarcian創業者）
以下は書き起こしです：
ロリータ・バ：
皆様、こんにちは。本日のウェビナー「ナイジェリアの王子詐欺を超えて：フィッシングの進化と対策」にご参加いただき、ありがとうございます 。 私はロリタ・バと申します。GreatHornのマーケティング担当副社長を務めており 、本日はGreatHornのCEOであるケビン・オブライエン氏、そしてパートナー企業dmarcianのCEOであるティム・ドレイゲン氏もご一緒しています。 本題に入る前に、いくつかご案内させていただきます。 ウェビナーの 所要時間は約40分から45分です。 ウェビナー中は参加者の皆様のマイクは ミュートになっていますが、画面右側の「GoTo Webinar」コントロールパネルにあるQ&Aパネルから、いつでもご質問をお送りいただけます。 本ウェビナーは 録画されており、登録者全員にアーカイブ動画とスライド資料が提供されます。 それでは、前置きはこれくらいにして、早速ケビンにバトンを渡します。ケビンから簡単な自己紹介をしていただき、続いてティムも自己紹介を行います。
ケビン・オブライエン：
ロリタ、ありがとう。ここに来られて嬉しいです 。 グレートホーンのCEO兼共同創業者、ケビン・オブライエンです。 今日の対談を楽しみにしています 。 簡単に 自己紹介をさせていただきます 。 私は サイバーセキュリティ分野で活動する シリアルアントレプレナーです 。 この分野に携わって 約20年になります。 今日は、メールセキュリティの脅威の変遷についてお話しします。 ティムが参加してくれることを本当に嬉しく思っています 。 ティム 、あなたにも自己紹介をお願いしましょう。
ティム・ドレーゲン：
では、ケビン、ありがとう。皆さん、こんにちは 。dmarcianのCEO、ティム・ドレーゲンです。 今日はお時間を割いてご参加いただき、誠にありがとうございます。 本日は 特別な日です。このウェビナーは、GreatHornとdmarcianによる初の共同開催となるからです。 両社とも メール業界に携わっていますが、そのアプローチは大きく異なります。そのため、協力し合い、知見を共有することで、すでに非常に有益な気づきが得られています。このウェビナーを通じてその知見を共有できることは、私にとって、そして皆様にとっても、特別な一日となることでしょう。 それでは 、次のスライドに進みます。
本日は私が冒頭の挨拶をさせていただく光栄に浴しました。こちらが 私です。これは 赤ちゃんの頃の私の写真で、自分の未来を映す水晶玉を見つめているところです。当時は、自分が これほど長い間メールの開発に携わることになるとは、夢にも思っていませんでした。 この赤ちゃんは泣き出しそうになっているのではなく、むしろ畏敬の念に満ちた表情を浮かべていると、私は 信じたいのです。 少なくとも、そう信じたいですね。 私は ソフトウェアエンジニアです 。 人生の最初の30年余りを シリコンバレーで過ごし 、見つかる限り最も難しい技術的課題に取り組んできました。 妻とペースを落として家庭を築こうと決めた時 、私は当然のようにメール関連の会社に就職しました。というのも、ご存知の通り、メールなんて大したことはないからです。 これは2000年代初頭のことです。冗談のつもりでした 。ずいぶん昔のある金曜日の午後、ビールを飲みながらの懇親会の最中、 ある副社長に呼び出され、世界最高のスパム対策フィルターを作るという会社の計画について意見を求められたのです。 当時、当社は企業市場への参入を計画していたため、超高速のメール送信プラットフォームを保有していました。その頃 、人々はセキュリティの重要性に気づき始めたばかりでした。そこで 、スパム対策ソリューションでこの企業向けセキュリティ市場に参入してみてはどうか？楽な 稼ぎだ。
さて、当時 、私は「大金を稼げるだろうが、問題は解決しないだろう」というような即興的な発言をした。当時の問題は 、私が見ていた限りでは、電子メールの基本的な身元確認に関するものだった。人々は 、あるメールが本物かどうかを簡単に見分けることができないのだ。 その何気ない一言がきっかけとなり、私は業界横断的な大規模な取り組みに参加することになりました。その結果、2012年頃にDMARCの技術仕様が公開されるに至ったのです。それ以来 、私は世界中でDMARCが採用されるよう、全力を尽くしてきました。しかし 、今日のウェビナーはDMARCだけについて話すわけではありません。次の スライドをお願いします。
私が今でも頭を悩ませているのは、現代社会における電子メールの規模と範囲の広さです。誰もが 、いつでもどこでも電子メールを利用しています。その規模は 依然として途方もないほど巨大です 。 メールの規模は、水道や電気といった公共サービスと同等だと私は考えています。しかし、メールを複雑にしているのは、それが単一の「もの」ではないという点です。むしろ、すべての構成要素が互いに連携する方法を記述した、巨大な技術仕様の集まりとして捉える方が適切でしょう 。 私の考えでは、電子メールの素晴らしい点は、誰もが独自のコンポーネントを作成し、既存のエコシステムと統合できることです。その結果、 世界最大のオンラインコミュニケーション媒体が生まれ、それは誰一人として完全には所有していません。だからこそ、取り組む価値があるのだと思います。私は このように考えなければなりません。そうでなければ、とっくに気が狂っていたでしょう。
さて、これまでの背景説明はこれくらいにしておきましょう――最後までお付き合いいただきありがとうございます――本ウェビナーの本題に入りましょう。なぜフィッシングは依然として問題となっているのか、そしてそれに対して何ができるのか？この問いに答えるには 、より大きな文脈を考慮する必要があります。インターネットが進化し続け、 人々や犯罪者にとって新たな機会を生み出すにつれ 、犯罪者たちもまた、その新たな機会を悪用するために進化してきたのです。 電子メールを、単一の塊としてではなく、多くの構成要素が互いに連携し合う「エコシステム」として捉えれば、各構成要素の進化速度はそれぞれ異なり、特定の要素に特化した産業が存在することが、お分かりいただけるはずです。こうした断片的な進化により、 過去20年間にわたり、電子メール分野には多額の投資が行われてきました。 5年ほど前のアナリストレポートによると、スパム対策技術への年間支出は70億ドルから100億ドルの間と推定されていました。これはスパムをブロックするための技術に限った数字であり、すでに古い情報です。しかし、 メールセキュリティへのこの莫大な継続的な投資にもかかわらず、特定の脅威は既存のメールセキュリティソリューションをすり抜けています。先に話を進 めたいところですが 、そうはしません。 では、「なぜこうなるのか」と問う前に、まず脅威がどのようなものかを見ていきましょう。ケビン、あなたはこの分野の最前線に立っていますので 、次のスライドはあなたにお任せします。
ケビン・オブライエン：
ティム、ありがとう。興味深い話ですね 。アナリストや彼らの見解について話題が出たので、この分野で活躍する私のお気に入りのアナリストの一人の言葉を引用させてください。あるホテルの宴会場で行われたプレゼンテーションで 、彼はこう述べました。「電子メールは、真に『由緒ある』と定義できる数少ないエンタープライズシステムの一つであると同時に、極めて脆弱でもあるのです。」 これは、今日の議論において極めて重要なポイントだと思います。なぜなら、電子メールは誕生から47年近くが経過しているにもかかわらず、依然としてサイバーセキュリティ業界全体に多大な影響を与え続けており、ひいては、そうしたサイバーセキュリティ上の影響が収益に最も直接的な影響を及ぼす組織に対しても、同様に大きな影響を与えているからです。 しかし、この夏に私たちが実施したように、一般的な組織内のメールユーザーに尋ねてみると――情報セキュリティの専門家と非専門家をほぼ半数ずつ、計約300名のプロフェッショナルを対象に調査を行いました――ほとんどの人が 、最大の懸念はおそらくスパムだと答えます。これは 興味深い誤解です 。なぜなら、情報セキュリティの現場ではそのような認識は共有されていないからです。
調査によると――スライドの左側の列をご覧いただければわかりますが――組織内のユーザーはサイバーセキュリティについて考える責任を負っています。彼らの多くは 、電子メールという通信手段を通じて、フィッシングから標的型フィッシング、詐欺的な送信者による直接的な金銭要求、さらにはマルウェアの配布やいわゆるペイロード攻撃に至るまで、絶え間なく脅威にさらされていることを理解していると述べています。 さらに、こうしたハッキングの20％は、組織が導入している従来のセキュリティソリューションをすべて迂回して侵入しており、つまり是正措置が必要であることを意味します。情報セキュリティの世界では 、主に2つの重要な指標が重視されます。1つは「検知までの時間（Time to Detection）」、つまり何か悪いことが起きていることに気づくまでにどれくらいの時間がかかるか、もう1つは「対応までの時間（Time to Response）」、つまりその問題に対処し始めるまでにどれくらいの時間がかかるか、というものです。
電子メールは至る所で見られます。すべての ビジネスパーソンが利用しており、調査対象となったビジネスパーソンの100％が、仕事用のメールをすべて開封しています。 返信や具体的な対応はしないかもしれませんが、業務上の文脈でメールを送れば、確実に相手に届くと言えます。しかし、右側のコラムが 指摘しているように、一般の人々――つまり情報セキュリティの専門家ではない人々――は、概して受け取る「悪質なメール」をすべてスパムとして分類してしまいます。 こうして、情報セキュリティ業界では非常に興味深い状況が生じ始めています。私たちはメールが事実上、主要な脅威要因であることを認識している一方で、その影響を直接受ける人々の大半は、自分たちが解決しようとしているのはスパムの問題だと誤解しているのです。 本日の残りの時間では、その実態がどのようなものか、なぜスパムは問題の一部に過ぎないのか、そして、微妙なニュアンスを持ち、実際に直面する脅威に対応できる情報セキュリティ対策をどのように構築すべきかについて、詳しくお話ししていきます。
しかし、その前にまず背景を説明しておきたいのですが、これは技術的な問題ではないということです。ここでは 2社のテクノロジー企業のCEOが プレゼンを行っていますが 、これは製品の売り込みではありません。また、単に技術を導入したり、何かを購入したりするだけで、メールセキュリティの問題やフィッシングの問題を解決することはできないのです。 むしろ、ここには連続性があり、その範囲は業界レベルの管理（その一部については後ほど触れます）から、組織のプロセス、そして個人の責任にまで及びます。業界から個人に至るまでを網羅した対応策を持つことが 、このメールの問題解決に向けた第一歩として不可欠です。その話に入る前に 、ティムが共有してくれた背景を踏まえ、彼に話を譲りたいと思います。 ティム、あなたは現場の最前線で戦ってきた。脅威の変遷を目の当たりにしてきた 。この「対応の連続体」という概念について考えるにあたり、 問題がどのような経緯をたどってきたのか、現在の状況はどうか、そしてなぜここに至ったのかについて、その歴史を解説していただけますか？
ティム・ドレーゲン：
はい、お話しできますが、その前に少し補足させてください。GreatHornとdmarcianが共同で このウェビナーを企画するにあたり 、現代社会におけるメールセキュリティの考え方について、明確な全体像を提示したいと考えました。その過程で 、ケビンが先ほど述べたように、フィッシングへの効果的な対策には技術面以上の要素が必要であることが明らかになりました。効果的な対策には 、関与するさまざまな主体を考慮に入れる必要があります。 組織内には個人が存在します。また 、オープンなインターネット上に共存する組織があり 、前のスライドでは「業界」として示されていました。従来 、セキュリティ担当者は「多層防御」という概念を用い、主に組織の領域に属する要素、つまりファイアウォール、ゲートウェイ、パケット検査、ログ記録、イベント分析などにこの概念を適用してきました。 視点を広げ、個人と組織の関係、組織と業界の関係を考察することで、今日の高度な脅威に対処するメールセキュリティの考え方について、かなり明確な全体像を構築することができました。
しかし、インターネットの普及に伴いリスクがどのように変化してきたかを考察しなければ、議論は先へ進みません。そこで、 スライドの真ん中にある封筒から現れる人物に注目しましょう。私たちが「メールセキュリティ」と呼ぶもの 、そして今日そのリスクをどのように管理しているかというのは 、実は当初は全く異なるものとして始まりました。 昔々、信じられないかもしれませんが、人々はクローゼットの中や誰かの机の下といった場所で、実物のハードウェアを使ってメールサーバーを運用していました。それを担当していた人々は 、主に「システム管理者」として知られていました。彼らは 、すべてのマシンを稼働させ続ける賢い人々でした。彼らは 、日光を避け、謎めいた言葉しか話さない人々、つまり「親友」とも呼ばれる存在として見なされていました。当時 、スパムや迷惑メールは、主に厄介者として扱われていました。 当時、いくつかの商用ソリューションは存在しましたが、それらは主にシステム管理者がいない企業向けに販売されていました。あそこのITクローゼットにある擦り切れたケーブルが、その状況を象徴していると思います 。しかし 、時が経つにつれ、迷惑メールはプロのスパマーによって運営されるようになり、彼らが送りつけるくだらないメールに対処する仕事は、企業内の専任のIT担当者に委ねられるようになりました。 スパムメールの受信量は単なる迷惑から、事業運営への悪影響となり、ビジネスの妨げと見なされるようになりました。予算が 確保されるようになり、商用スパム対策業界は実質的に飛躍的な発展を遂げました。不要なメールの管理において 、ネットワークに流入するメールをフィルタリングする製品を購入することで解決できる問題となったのです。
しかしある時点で、プロのスパマーたちは、スパム送信を通じて培った技術や運用ノウハウを、別の方法でも活用できることに気づいた。それは、株式や詐欺、あるいは性機能向上薬のメールを送るためではなく 、人を欺く意図を持ってメールを送りつけるためだった。 そうして、メールセキュリティリスクの背後にある経済的要因は、メールを安価なマーケティングチャネルとして利用するものでから、犯罪者にとって実質的にコストをかけずに膨大な数の人々を詐欺の標的にする手段へと変化したのです。これが 、迷惑メールが単なる厄介者から「武器」へと変貌を遂げた経緯です。今日の状況がいかに深刻かを真に理解するためには 、テクノロジーがこれまで私たちに何をもたらしてきたかを振り返る必要があります。 それでは、次のスライドに進みましょう。これはかなり昔の話です。
ほとんどのスパム対策技術は、スパムの波を遮断するために開発されました。ここにあるように、4つの波があります。これらの波は それぞれ異なり、発生するタイミングも異なります。しかし、 よく見てみると、あるパターンが見えてきます。次の スライドをお願いします。
これまでに開発されてきたスパム対策技術は、主に、膨大な量のスパムと、スパムではないメール（いわゆる「ハム」）を収集し、機械学習の手法を用いてスパムにのみ一致するパターンを特定することで機能しています。これらの パターンは製品化され、インターネット上を氾濫するスパムの波を遮断するために活用されます。その精度が高ければ高いほど 、より多くの収益を得ることができます。 しかし、スパマーたちが、メールを使った詐欺が、数人のカモに精力剤を売りつけるよりもはるかに儲かると気づいたとき、スパム対策技術には依然として役割がありました。GreatHornはこの 現象を表現する素晴らしいフレーズを考案しており、私もそれを借用したいと思います。それを「ボリューム型フィッシング」と呼びましょう 。次のスライドです 。ありがとうございます 。
ここで、スパム対策技術は本格的に機能しなくなってきます。悪意のある攻撃者は 、この防御策を乗り越えるべく、手口を絶えず進化させているのです。ここに いくつかの実例があります。ケビン 、このスライドについて何か話したいことはありますか？
ケビン・オブライエン：
そうですね 。ボリューム型フィッシングについて話す際、私たちが目にする現象の一つは、誰もが個人のメールアドレスにこのようなメッセージを受け取ったことがあるということです 。メールを使ったことがある人なら 、見たことがあるはずです。あまりにも蔓延していたため、もはや 文化的なジョークのネタになっています。 ウェビナーのタイトルにもなっている「ナイジェリアの王子 」という手口は 、この種のフィッシングの中でも特に悪質な一派に由来しています。 しかし、これが企業の世界にも入り込み始めたのを目撃しており、今でも見受けられます。これらのメールの日付は 実在するものです。これらは 実際のスクリーンショットであり、当社の顧客である実在の専門家たち、そして場合によっては（聞き取れない）組織にも届いています。さて 、私たちはボリューム型フィッシングの検知において、かなり高い精度を達成できたと自負しています。 また、これらのメールの多くが迷惑メールフォルダに入っているのもお分かりいただけるでしょう。これは、ティムが先ほど指摘したように、この問題に対して20年近くにわたるスパムと正常なメールの収集データが蓄積されており、これらのメッセージと非常によく似た不審なメールをブロックできるようになっているためです。もちろん 、問題のすべてが解決されたわけではありません。ティム、戻ります 。
ティム・ドレーゲン：
ええ。次の スライドです。これがまさに 「やばい」状況です。悪意のあるメールが1通しかない場合 、そのサンプルを収集することも、ルールを設定することもできず、その悪意が人間の目の前に届く可能性が出てきます。こうした 小規模な、いわば「職人芸」的なフィッシングは、一般に「スピアフィッシング」と呼ばれています。 ボリューム型フィッシングのように、一度に大勢の人を騙そうと広範囲に網を張るのと違い、特定の個人を騙して不適切な行動をとらせることに焦点を当てたものは、フィッシングの中でも特別なカテゴリーであり、だからこそ「スピアフィッシング」という呼び名がついています。しかし、今ではこれが 一般的になったため 、この種の攻撃はスピアフィッシングと呼ばれず、単にフィッシングと呼ばれるようになりました 。 しかし、dmarcianの私よりもケヴィンの方が、こうしたサンプルを数多く目にしています。次のスライドでは、私たちのサンプルをご紹介します。
ケビン・オブライエン：
私がGreatHornを立ち上げた当初、当社の最初の構想は、スピアフィッシングのみに目を向け、メールセキュリティのその一点に焦点を当てることでした。現在はそれ以上のことを行っていますが 、それが出発点でした。当時私は ニューヨークにいて、満員の会場でこの問題についてプレゼンテーションを行っていました。4年、4年半前、スピアフィッシングという言葉は、業界でこの課題を表すために依然として使われていた用語でした。 当時、話を聞いていたあるベンチャーキャピタリストが、しばらくは礼儀正しく耳を傾けていたものの、やがて顔をしかめて、「なぜ海運貿易に関わるテクノロジー企業を立ち上げるのか」と尋ねてきたのを覚えています。明らかに誤解でしたし 、その時点で、彼女はおそらく私たちにとってふさわしい投資家ではないと悟りました。 少なくとも、彼女が想像していた私たちの事業内容に対して、投資したいと思わせるほど、彼女に十分な印象を与えることはできなかったのです。しかし実際には、その用語は誰もが耳にしたことのあるものでした。ただ、彼らがそのことを知らなかっただけなのです。
このプレゼンテーションの冒頭で実施したアンケートを思い出してください。スパムとスピアフィッシングの間には、依然として誤解や区別が曖昧な点があります。では、 実際にはどうなのでしょうか？ここで明確にしておきましょう 。ターゲット型 フィッシング、標的型攻撃、スピアフィッシング――これらは、攻撃者が通常、企業の幹部を装い、電子メールや様々な悪用手法を用いて、その企業内の別の誰かに何らかの行動をとらせる攻撃を指します。 機密データへのアクセス権を与えたり、送金を行わせたり、あるいはその後のより高度な攻撃に向けた追加情報を提供させたりするのです 。また、信頼できるサービスを装う形をとる場合もあります 。 皆さんもどこかで一度は、このようなものを見たことがあるでしょう。クラウド上にホストされているように見えるファイル――つまり、DropboxアカウントやGoogle Driveアカウント、SharePointアカウントにあるファイル――が送られてきて、誰かにそれを開くよう求められるというものです。 左下にあるように、Microsoft 自体が、配信が遅延している、あるいは配信に失敗したメッセージを解放するためにログインする必要があると主張しているように見えるかもしれません。もちろん 、これらは実際には Microsoft や経営陣からのメッセージではありません。これらは 、あなたの認証情報を盗み出したり、何らかの行動をとらせたりすることを目的としたスピアフィッシング攻撃なのです。
特に右上のものが気に入っています。というのも、実際に私たちもそれを受け取ったからです。このウェビナーの冒頭で司会を務め、紹介をしてくれたロリタも、私からのものと思われるメッセージを受け取ったそうです。私は これまでのキャリアの中で様々な呼び名をされてきましたが 、「アール・ジョーダン114」という名前は決してその一つではありません。これは完全な詐欺でした。 しかし、これは現在攻撃者がどのような手口に頼っているかを示しています。つまり、この「ノック攻撃」は、将来的に、右下にあるような「DocuSign」の署名が必要な文書を装った、類似ドメイン（ルックアライクドメイン）などを利用した、おそらくはより複雑な攻撃を実行しようとしている誰かの前兆と言えるでしょう。 しかし、その「U」にはウムラウトが付いており、この2つの小さな点が、販売契約に署名することと、攻撃者に認証情報を渡してしまうこととの違いなのです。
この問題に対して、私たちはどう対処すべきでしょうか？ティムが指摘したように 、この問題を解決するために技術だけに頼ることはできませんし、スパムに対する従来のアプローチ――つまり 、大量のデータを収集し、そのデータセットを基に機械を調整して、どこがスパムでどこがハム（正当なメール）かを判別させる――も、こうした「低強度かつ持続的な攻撃」に対しては 通用しません。 そこで、先ほど触れたように、先進的な組織は現在、スピアフィッシング問題や、より広義のメールセキュリティ問題に対して、プロセス技術と人材への投資を融合させたアプローチを展開しています。これについて簡単に触れたいと思います 。まず、これら3つの要素が何を意味するのかを理解する必要があると思います。
プロセスとは、ビジネスにおいて策定される、正式な書面による一連のルールのことです。誰かが「私のメールに返信してほしい」とか、「未払いの請求書に基づいて送金してほしい」とか、「このリンクをクリックしてメッセージを承認してほしい」と言った場合 、プロセスレベルの統制では次のように定めます。 「口頭での確認と電話連絡がない限り、送金は行わない」あるいは「送信者が誰か分からない場合は、リンクをクリックしてはならない」といった内容になります。これは 良いことです。一定規模の組織の多くは 、監査要件として、プロセスを特定の基準に準拠させることを求められており、通常は年1回、これらの内容がスタッフに周知されていることを証明しなければなりません。
その課題の一つは、そのプロセスが必ずしも守られないという点です。そこで、私たちが提案する対応フレームワークの第2段階は、テクノロジーへの投資です。ただし、単にブロックすることで問題を解決しようとするのではなく、エンドユーザーに対してプロセスの内容や適切な行動をリマインドし、適切な対応ができるよう支援するテクノロジーです。 この点については、後ほどティムに詳しく説明してもらいます。なぜなら、テクノロジーを文脈に照らし合わせて考察し、それが電子メールとどのように整合するかという点は重要なテーマであり、今日だけでなく今後も時間を割いて検討していくべき課題だからです。
しかし、この三本足の最後の足となるのが「人」という要素です。皆さんもご覧になった通り、誰かがロリタやチームのメンバーを標的にし、「行って何かをしてほしい」と頼むような事例があります。セキュリティの専門家の間には、「人間こそが最も弱いリンクである」という誤解や誤った認識があります 。これは 、恐怖心を煽ってソフトウェアや技術を売り込もうとする、実に残念な手法です 。 私たちは、エンドユーザーこそが攻撃を阻止・防止する最大の機会であると考えています。そして、テクノロジーを活用してプロセスと人の間に強固な連携を築くことで、その「最も弱い環」とされる要素を、最も強力な資産の一つに変えることができるのです。ティム 、ここについて少し補足していただけますか？特に、先ほど話していた「多層防御」の概念について具体的に説明していただけますか？
ティム・ドレーゲン：
そうですね。ここでのポイントは、 単なる技術の問題にとどまらず、こうしたことを話し合うことで生まれる 「責任を分かち合う」という感覚にあるのです。私たちが共同作業を行っていた際も 、こうした考え方を基にしていました。プロセスと技術、そして人が、個人レベル、組織レベル、さらには業界を横断してどのように相互作用するのか、その仕組みを整理して把握しようとしていたのです 。これらを統合するにあたり 、行と列で構成されたマトリックスでは、その洞察を十分に捉えきれていないと感じました。 鍵となるのは、特定の標的領域に適用される従来の「多層防御」とは対照的に、関係性そのものにあるのです。しかし、そこに至るより良い方法は 、人々が与えられたものを使って行ってきたことと、より広い視点からアプローチした際に効果的なことを比較対照することだと思います。その広い視点とは、業界がどのように相互運用しているか、組織が何をしているか、そして組織を構成する個人がどうあるかを考慮することです。 つまり、人々や組織を保護し、一般市民を啓発するための「多層防御」ではなく、全体的な視点から捉えることです。そうすることで、最初の要素である「ユーザーエンゲージメント」にたどり着くと思います 。これが次のスライドの内容です。
ケビン・オブライエン：
ティム、ユーザーエンゲージメントに関して興味深い点の一つは、あなたが先ほどおっしゃったように、「多層防御」という概念が、単に人々がデータにアクセスできないようにすることだと考えられていることです。これは 、この用語に対する根本的な誤解であり、誤用です 。 「多層防御（Defense in depth）」という概念は、当初、米国国立標準技術研究所（NIST）において、主に学術研究から生まれ、その後1990年代半ばから2000年代初頭にかけて、正式な政策提言として定着しました。 この概念は、セキュリティプログラムに適用して単一障害点を排除することを目的としています。しかし残念なことに、実際の運用では 「ユーザーは信用できない」という前提のもと、ユーザーと業務遂行の間に可能な限り多くの「防御」層を挟むという形になってしまいました。 もしユーザーを問題視し、ユーザーを締め出し、メールの観点から生じる主な問題が「迷惑メール」や「スパム」だった時代に設計された技術を用いるとしたら――そうですよね？――次のようなセキュリティ手法は、 「ユーザーにはその内容を見せないようにし、迷惑メールフォルダに放り込み、隔離しておけばいい。何かが業務プロセスを妨害したかどうかは、情報セキュリティチームに任せておけばよい」というセキュリティのあり方は、実際には適合しません。 クラウドインフラの進化を振り返ると、今日のユーザーが個人のタブレットやスマートフォンを持ち込んで仕事に就き、10年や15年前ならエンタープライズグレードのメールシステムだったものに、Gmailアカウントやどこかのウェブ上の最新メールアカウントを5分程度の登録で簡単にアクセスできるようになったことは、状況を一変させています。ユーザーを締め出すような方法は、もはや通用しないのです。 ティム、現代的なアプローチについて、そして現在実際に成果を上げている事例について、少し話していただけますか？
ティム・ドレーゲン：
まず、私の見解としては、ユーザーを隔離するという手法はまったく機能していないという点には同意せざるを得ません。「悪質な」リンクをクリックしないようユーザーを教育するためのガイダンスは数多く存在しますが 、こうしたトレーニングを専門とする企業からの報告によると、ユーザーは常に悪質なリンクを回避できていないのが実情です。 そのようなアプローチは、研修プログラムとしては有効ですが、実際に送られてくる最も悪質なメールを防ぎ、深刻な被害を食い止めるという点では、実際には効果的ではありません。したがって、 私の見解では、ユーザーがメールを処理する際には、明らかにより優れたツールが必要なのです。 そこで、スライド下部に示した現代的なアプローチでは、ユーザーがメールを処理する際により優れたツールが提供される機能が増えつつあります。これにより、不審なものを発見した際、ユーザーはより適切な対応をとれるようになります。 これは、メールを隔離領域に送り込み、最終的に専門家が解放するというモデルではなく、むしろユーザー自身が十分な視覚的シグナルを得て――「自分で調査を行う」とまで言うつもりはありませんが――技術的な部分によって多くの危険な要素が取り除かれているため、ユーザーが被害を受ける可能性が低くなっているのです。
ケビン・オブライエン：
それは、もちろん、テクノロジーが果たすべき役割について話すための絶好の切り口ですね。 「鋭い角を丸める」という発想は気に入っています。現代的なアプローチにおいて、 テクノロジーが確かに 役立つのは 、明らかに悪質なメールをメールボックスから排除する点 だと思います。これは 、エンドポイントデバイスやネットワークファイアウォールと同様に、「善悪」という二元的な分類観を持つことが有効に機能する領域です。 マルウェア、ファイルハッシュの検出、脅威の静的解析、複数のリアルタイムブラックリストに登録されている悪意のあるURLなど、こうしたものは排除可能です。セキュリティ専門家が情報不足であるとか、愚かであるとかいう わけではないことを認識すべきだと思います 。こうした 手法は、セキュリティの他のあらゆる領域で非常にうまく機能しています。 しかし、技術的な観点からこの二分法的な分類の考え方を持ち込み、私たちが説明している問題にそれを適用できると考えるのは、うまくいきません。ティムのスライドにある、波から飛び出す一匹の魚を見て思うのですが 、その孤立した、巧妙に作られた危険な攻撃メッセージは、マルウェアの大量拡散に対処する場合に有効な手法をすり抜けてしまうでしょう。
そこで、企業が次に取り始めた対策は、「まあ、悪意のある行為を100％すべて検知することはできないと分かっている。それなら、ユーザーを教育しよう 」というものでした。 ユーザーへの教育には、それなりの難しさがあります。まず 、エンドユーザーの行動に変化をもたらすことは非常に困難です。オフィスで働くプロフェッショナルであれ、その他の場所で働く人であれ、人は 変化に抵抗を示すものです。ですから、 47年も前からあるシステムであるメールを使えないと告げるのは、ほとんど不可能です。ほぼ 全員が、少なくとも10年から20年は使い続けているのです。 そんなことはうまくいきません。そして 第二に、私たちがユーザーに求めている行動は、2018年現在のインフラに対する期待と一致していません。「怪しいと思われるリンクにマウスカーソルを合わせてください」と指示した場合 、ユーザーには、第一にセキュリティの専門家としてそのリンクが怪しいかどうかを判断すること、第二にマウスカーソルを合わせることが求められます。 もし相手がiPadを使っていたらどうでしょうか ？空港にいたら？ あるいは 自宅でスマートフォンを眺め、夜9時、寝る前にメールをチェックしているとしたら ？マウスカーソルなどあるはずがありません 。つまり、 技術と教育を組み合わせればフィッシングの問題が解決するという考えは完全に誤りであり、それがまさに、今日この問題がこれほど重大かつ広範なものとなっている理由なのです。 しかし、もっと良い方法があります。ティム ？
ティム・ドレーゲン：
ええ、ちょっと補足ですが、情報セキュリティのコミュニティでは、ユーザーが問題だという認識があります。私も、ある程度はユーザーが問題であるという点には同意します。しかし、 人を静的な資産のように扱うことは、ユーザーという問題を解決する上で最も効果的な方法ではないと思います。人は 静的な資産ではないのです。 ケビンが指摘したように、ユーザーは世界中を移動します。彼らは 組織と本質的に動的な関係にあるため 、世界中を移動する存在として扱う必要があります。つまり、 ユーザーを悪意ある脅威から守るために鎧の層で囲むという従来の方法では不十分であり、人々は外の世界に出て、予期せぬ事態に直面することを認識しなければならないのです。 したがって、より良い方法は、リスクを低減できるよう調整可能なプロセスに人々を組み込むことです。すべてを解決する単一の技術的解決策があると考えてしまうのではなく、複数の要素を組み合わせたアプローチとして扱う方が賢明です 。その――
ケビン・オブライエン：
「取らないで――いいよ、ティム、ごめんね。」
ティム・ドレーゲン：
えっ、まさか、あなた？
ケビン・オブライエン：
私たちの言葉を鵜呑みにしないでください。プレゼンテーションの冒頭で紹介した調査結果をご覧ください 。もし 、テクノロジーとトレーニングだけでこの問題が解決できるという考えが正しければ、情報セキュリティ部門の回答者の20％が、毎週是正措置を講じていると報告しているような結果は出なかったはずです。 一般的な組織が1週間で1億通もの電子メールを受信すると仮定すれば、これは極めて高い失敗率と言えます。ユーザーを標的としたメッセージに対して手動で対応しなければならないという 20％の失敗率、そしてサイバーセキュリティ侵害の個々のインシデントごとに数万ドルから数十万ドルのコストがかかることを考えれば 、これは許容できる誤差の範囲ではありません。 「技術だけで十分だ」という考え方には一定の役割があるかもしれませんが、スパム対策がフィッシングや標的型フィッシングに対しても有効だという誤った認識が根強く残ることを許してはなりません。幸いなことに 、私たちにできることはいくつかあります。ティム 、まずは業界の視点から話していただけませんか？
ティム・ドレーゲン：
これが私のお気に入りです。ありがとうございます 。これは 私にとって特に思い入れのある話題です。多くの 組織は、インターネット上で信頼を構築・維持するために利用可能な、現在すでに存在する技術を十分に活用できていません。ここで言っているのは、 SSL証明書を使ってウェブサイトのようなオンライン資産を保護したり、ファイアウォールなどで境界線を防御したりすることではありません。 現在、組織が、インターネット上の誰もが、あなたであると名乗るオンライン上のあらゆるものを確実に信頼できるようにする技術を導入するよう促す、大きな取り組みが進められています。 電子メールの事例を見ればわかるように 、組織にこれらの技術を採用させるには長い時間がかかるでしょうが、それは必ず行わなければなりません。 違いは、 オープンなインターネット上での相互運用性であり、それは製品ではありません。 基本的には、電子メールと同じように、一連の技術仕様なのです 。 ですから、もしあなたが企業であり、インターネット上に存在しているなら、あなたと通信しようとする他の誰もが、安全な方法でそうできるようにする方法を考え出すべきです。企業を見つけることは可能です 。これらの技術を導入するのに役立つ製品もいくつかありますが 、繰り返しになりますが、技術そのものはすべて相互運用性に関するものです。 したがって、オープンなインターネット上の誰もが「あなたがあなたである」と確実に判別できるようにこれらの技術を活用することは、問題への新たなアプローチと言えます。それは単なる防御的な姿勢ではなく、インターネット上で自らを信頼される存在となることを意味します。だから、 人々に推測させるようなことはしないでください。オンライン上で確固たる安定した存在感を確立するようにしてください。 ケビン （会話が重なり、聞き取れない）
ケビン・オブライエン：
ええ、その通りです。これに関連して言えるのは 、情報セキュリティの観点から――ここで明確にしておきたいのは、業界標準技術の導入に関する課題は、組織がこうした標準の一部を活用することで解決できるということです ――情報セキュリティの視点から同じ課題を見つめ直し、その種の標準導入に関して、自組織が適切な状態にあるかどうかを判断し始めることができるということです 。 なぜこれが重要なのでしょうか？ 先ほど見た、私になりすました事例のようなものを考えてみてください 。私は 、そのメールアドレスが他人の名前だったという事実について冗談を言いました。エンドユーザーには、それを 判別するのは難しいのです 。 もし、私の名前の綴りと同じ「Kevin O’Brien」という人物が、私のスタッフにメールを送った場合、もし私たちがそのような業界標準の保護策を講じていなければ、その攻撃者は、スマートフォンでメールを見たときに表示される「Kevin O’Brien」というフレンドリーネームだけでなく、私のドメイン名である「GreatHorn.com」も使用できてしまいます。 これは問題です。なぜなら、エンドユーザーが本物のケビンとなりすましを見分ける手段が全くなくなってしまうからです。しかし、 これらの基準（これらは技術でも、購入する製品でもなく、あくまで基準です）を実装すれば、その企業内で本物の送信者と文字通り全く同じ方法でなりすますことはできなくなり、結果として偽名として表示されることになります。 結果として、誰かのGmailアドレスとして表示されることになります。このアプローチの優れた点は、スペクトラムの観点から組織内の階層を下って検討し、単一の防御層だけでなく、複数の防御層を用いて自身を守る方法を考えられるようになることだと思います。 ティム 、どうぞ。
ティム・ドレーゲン：
この図には本当に目が離せません。これまでのウェビナーでは、多くの内容を扱ってきました 。GreatHornとdmarcianが協力し始めた当初 、私たちは多くの検討を重ね、膨大な資料を作成しました。これは全3回シリーズの第1回になると思います 。さて、この図を 要約すると、注目すべき3つの大まかなカテゴリーがあります。それは、「業界」、「組織」、そして「個人」です。 従来、これらは独立した領域として捉えられてきましたが、私たちの経験上、フィッシング対策の効果を高めるには、これらの領域の「間」に注目する必要があります。つまり 、個人と組織の関係、そして組織と業界の関係です。この 「関係性」の部分が極めて重要です。 業界の観点から見ると、インターネット上で相互運用するための標準に基づいた方法があり、それによって組織を信頼できる存在にすることができます。何かが本物かどうかを推測する必要はありません 。組織として、インターネットと正しく相互運用するためのあらゆる技術を取り入れるべきです 。これは 情報セキュリティの観点からの話です。 組織はまず何よりも、インターネット上で信頼される存在となるべきです。個人の視点から見ると 、GreatHornは、個人同士の関係、および個人と組織との関係を分析する分野で先駆的な役割を果たしてきました。したがって、 フィッシングが示す問題領域の全容を俯瞰した際、これは私たちがこれまでに作成できた中で最も簡潔な図表となります。
ケビン・オブライエン：
ここで重要なのは、これらには共通点があるということです。ティムと私が、両組織間のパートナーシップ構築の可能性に共に期待を寄せている理由の一つは、私たちがこの課題の異なる側面を解決している一方で、その中間部分で両者が結びついているからです。業界全体の保護体制を整え 、ユーザーに適切な文脈を提供するためには、組織としてのコミットメントが必要であり、多くの場合、それは同じメンバーによる組織的な取り組みとなります。 メールの管理責任を負っている方、情報セキュリティについて考えている方、あるいは、自社の所在地、保有するデータの種類、資金調達情報、一般公開されているインターネット上の情報に関連して、経営幹部を標的とした高度なサイバー脅威からビジネスを守ろうとしている方にとって、組織レベルでの個別対応計画を策定することこそが、効果的に身を守る唯一の方法です。 これを実際にどう形にするかについて話し合う絶好の機会だと思います。今後、そのような計画がどのように策定されるかについて、より詳細に解説するウェビナーも開催する予定ですが、 まずは私たちの出発点を理解していただくために、ティムさん、ご自身の業務について少しお話ししていただけますか？私は GreatHornについてお話しし 、その後、質疑応答の時間を設けたいと思います。
ティム・ドレーゲン：
ああ、そうだ、ちょっとだけ。Dmarcian 自体は、DMARCが公開された直後に作成されたもので、その唯一の使命は、DMARCをインターネットに定着させることです。 DMARC自体は単なる技術に過ぎません。それは 、インターネット全体で信頼を築くための構成要素、あるいはむしろ基盤となるものです 。これは 相互運用性を可能にする要素の一つであり、送信したメールが本物かどうかを相手が推測する必要がないようにするものです 。私たちの 焦点は、組織とその業界の間のその領域に明確に置かれています。
ケビン・オブライエン：
一方、GreatHornはメールセキュリティプロバイダーであり、当社の役割は、クラウドメールシステムを導入している組織に対し、メールボックス内の脅威がどこにあるかを把握できるよう支援することです。そして、自動的かつ即座に反応するポリシーを通じて、それらに対処します。つまり、特定のメッセージが詐欺であるかどうかをエンドユーザーに判断材料として提供できるほか、情報セキュリティチームが数時間や数日ではなく、数秒単位で脅威に対応できるよう支援します。
ロリータ・バ：
素晴らしいですね。お二人とも、お時間を割いていただき、またこれまでご提供いただいた内容に感謝いたします 。皆様にお知らせですが、 GoToWebinarのコントロールパネルにある「質問」タブからご質問をお寄せいただけます。すでにいくつかご質問をいただいております 。 まもなくそれらにお答えします。 なお 、ウェビナー終了後には、録画とスライドをメールでお送りする予定です。また、両社のCEOからも、今後複数のウェビナーを開催する予定であるとの話がありました。 次の2回については 、こちらに一覧を掲載しています。 日程は現在調整中ですが 、決定次第、必ずお知らせいたします。 第2回のウェビナーでは、今回取り上げた理念的な議論について具体的な方策を話し合う予定で、第3回では両社の事業内容についてより深く掘り下げて解説する予定です。
質問についてですが、まず最初の質問は、「従業員の意識向上を目的として、自社の従業員を対象にフィッシング詐欺の模擬攻撃を実施することについて、皆さんはどうお考えですか？」というものです。
ケビン・オブライエン：
はい、まず私が簡単に説明してみます。その後、ティム、もし補足したい点があればお願いします。なぜ そのようなことをするのか、という点についてです 。第一に 、自社の従業員を対象としたフィッシング攻撃キャンペーンを実施することで、現在の自社の状況を把握するための基準を得ることができるからです。 ベンチマークは有効な手法です。何を変えようとしているのか、そして改善すべき指標がどのようなものかを理解することは、少なくとも現状を把握するための基準となります。 しかし、 自社従業員を対象にフィッシング攻撃を行い、その結果を見て「従業員がこれほどまでに騙されるのは懸念すべき事態だ」と結論付けることには、理屈が通じません。 残念ながら、予算は限られており、時間も有限です。情報セキュリティチームの中には、従業員へのフィッシング攻撃を繰り返し、コンテンツを配信し、リンクをクリックするたびに動画を視聴させるなど、十分な頻度で実施すれば、あとは（聞き取れない）手を引いて、それで完了、問題が解決したと考えてしまうケースが見受けられます。しかし、それは機能しません 。 統計によると、直近のフィッシングシミュレーションから6ヶ月も経たないうちに、数値は元のベースラインに戻ってしまいます。 従業員の異動などによる状況の変化がある上、さらに悪いことに、セキュリティチームはフィッシング問題に対して効果的な対策を講じたと信じ込んでしまうことになります。しかし実際には、問題を地下に潜らせたか、あるいはビジネス部門から「自分たちを愚かに見せた」としてセキュリティチームへの反感を買っているかのどちらかです。したがって、 現状を把握するための優れた手法ではありますが、あくまで出発点に過ぎず、そこで終わらせるべきではありません。ティム、何か 付け加えることはありますか？
ティム・ドレーゲン：
そうですね。個人的には、組織全体に問題があることを認識させるには、 素晴らしい方法だと思います。 多くの人は、特にIT業界にいない人なら尚更ですが、自分のメールクライアントが詐欺から身を守るための対策を何も講じていないことや、人々の受信箱に届く非常に危険で巧妙なものが驚くほど多いという事実を知らないかもしれません。私が話す情報セキュリティ担当者やメール業務に関わっていない人たちのほとんどは 、メールプロバイダーやITスタッフ、あるいは誰かが安全を確保する役割を果たしていると単純に思い込んでいます。 だから、受信トレイを開いてリンクをクリックし始める時、彼らはこう考えるのです。「宇宙に車を打ち上げたり、月面着陸を果たしたり、地球を周回する衛星もあるのに、どうして自分のパソコンで他人に危害を加えられるようなことができるのか？」と。ただボタンを押しているだけなのに。 だから、多くの人は、実はメールの世界がエンドユーザーにとってかなり危険だということを全く認識していないんです。意識を高める手段としては、間違いなく有用だと思います 。問題を完全に解決するわけではありませんが 、意識を高めたり、将来的な対策を取る正当な理由になったりすることはあるでしょう。いわば、情報セキュリティのビジネスケースを構築するツールのようなものですね 。
ロリータ・バ：
ありがとうございます。次の質問です 。「最近、当社を装った人物によるフィッシング詐欺の被害に遭った顧客がいます。これを防ぐにはどうすればよいでしょうか ？」
ケビン・オブライエン：
ティム、まずは君が最初の草案を作ってみてはどうかな？
ティム・ドレーゲン：
質問の内容を正しく理解できたか確認させてください。誰かが あなたになりすまして顧客にメールを送ったということですね。あなたがすべきことは 、自分のメールが容易に識別できるようにすることです。 DMARCのような技術を活用できます。 これは メールを識別しやすくするために開発されたものです 。おそらく、私がまずお勧めする対策はこれ でしょう。 しかし、メールを送信する相手が正しい行動をとることを期待する必要がないよう、より強固な対策も講じることができます。ケビン、その点についてはあなたがお話しできると思います。
ケビン・オブライエン：
こうした攻撃が発生した際によく見られる傾向として、組織がDMARCの導入や、メール認証全般に関わる措置を講じていないか、あるいはその対策が不十分であることが挙げられます。 例えば、当社が提携しているフォーチュン500企業を例に挙げると、そのブランドに関連するドメインは1,000近くあり、エンジニアリングチームの開発者が新しいサービスや、それらを名乗ってメールを送信できる新しいサーバーインスタンスを作成しています。彼らは基本的なメールインフラの構築には素晴らしい成果を上げていますが、それを継続的に監視し、通常の業務運営の中で新たな脅威がどこから発生し得るかを検討することは、 手動で行おうとすれば、それは途方もない作業になります。システムを通過するすべてのメールを収集し、潜在的なセキュリティ脆弱性の発生を防ぐことを検討できるアプローチを持つことが 、この方程式のもう一つの側面です。これら両方を同時に実行すること―― ちなみに、従来のアプローチではこれができていません。 単に「悪意のあるものを隔離する」というモデルを採用している場合、ユーザーに届く悪意のあるものばかりに目を向けてしまい、ティムが言及している点については可視性が得られません。外部から見て、自社はどのように 映っているのでしょうか ？これは測定可能です 。 この問題に対処するための技術やプロセスを導入することは可能です。そうすれば 、顧客に対して自社を装った攻撃を受けるリスクは大幅に低減され、市場にそのようなメールが流出することもなくなります。
ロリータ・バ：
ありがとうございます。次の質問は 、主にケビンさんへのものだと思います。次のようなシナリオがあります 。「DMARCがすでに導入されている状態で、メールが完全に拒否されるケースです。メールのバックエンドはG Suiteですが、ユーザーの多くはメールの閲覧や操作にOutlookを好んで使用しており 、Gmailのウェブクライアントは利用していません。このような ハイブリッド環境において、 不審なメールについてユーザーに追加の情報を提供するアプローチは有効でしょうか ？」
ケビン・オブライエン：
答えは、「うまく機能させることは可能だ」ということです。プラットフォーム提供者（この場合はGoogle）が提供する機能だけでは、それを実現することはできません 。そこには大きな ギャップがあり、質問者が挙げたような状況に直面したことがない限り、そのギャップは明らかにはならないものです。 Googleを個人用メールや仕事で利用している場合、Googleにはかなり堅牢なスパム対策フィルターが備わっています。また、基本的なコンテキスト分析に基づいたアラート機能も拡張され始めており、「このメッセージには財務情報が含まれています。詐欺の可能性があります 。送信者を確認してください 」といった警告が表示されるようになっています。Chromeを開いてGoogleにログインしている状態であれば、これは 素晴らしい機能です 。 しかし、多くの組織と同様に、ユーザーベースがOutlookを利用している場合、突然、そのレベルの保護を受けられなくなってしまいます。GreatHorn特有の機能ではありますが、メッセージ自体にそのコンテキストを組み込み、プラットフォームプロバイダーに依存せずに済む方法は いくつかあります。 そのようなプロセスを実施すれば、DMARCで完全拒否ポリシーを導入し、ブランドのなりすましに対する予防措置を講じたのと同様に、理論上はプロバイダーから提供されるはずの保護機能を回避してユーザーを標的にしようとする者に対しても、予防措置を講じることができるようになります。 これは、エンドユーザーの利用環境（iPhone、iPad、Outlook、あるいはWebメールを閲覧するブラウザなど）に関わらず実施可能です。
ロリータ・バ：
ケビン、ありがとう。次の質問は、 お二人へのものです。まずはティムからお願いします 。その後、ケビン、何か補足があればお話しください。「もし 組織に、ユーザー向けのトレーニングプログラムやフィッシング攻撃を検知する技術が現在ない場合、どこから手をつければよいでしょうか？ 最優先すべきことは何でしょうか ？」
ティム・ドレーゲン：
ああ、それは良い質問ですね。少し 言い換えてみますので 、ロリタさん、私の理解が正しいか確認していただけますか。まだトレーニングプログラムは導入されていない状況ですが 、意識向上という最初の段階にはどう取り組めばいいのでしょうか。少し背景を説明すると 、ある企業の情報セキュリティ担当者で、予算もなく、必死に訴えているのに、誰も耳を貸してくれないという状況です。ロリタさん 、この理解で合っていますか？
ロリータ・バ：
そうですね。つまり 、ゼロからのスタートで、トレーニングも技術的な基盤も整っていない状況で、フィッシングの脅威に対処しようとする場合、まず何から手をつければいいのでしょうか？そのプロセスをどのように 始めればよいのでしょうか？
ティム・ドレーゲン：
ああ、なるほど、わかりました。まず第一に「可視化」が重要だと思います 。意識を高めるためには 、目に見える形で確認し、報告できる材料が必要です。DMARCを使えば、 無料でデータの収集を始めることができます 。それによって 、オープンなインターネット上で人々があなたのドメインをどのように利用しているかが分かります。多くの場合 、情報セキュリティの専門家はそのデータを起点として活用できるでしょう。 データを収集し、処理し 、他の人に提示することで、 問題が存在すること、つまりオープンなインターネット上で誰かがあなたの組織を装っていることを示すことができます 。通常 、これだけで最初の議論を始めるには十分ですが、そのような情報を収集する他の手法もあります。 自社のメールサーバーを確認し、どれだけのスパムがブロックされているかを把握することもできます。これを簡単な指標として活用し、 経営陣や同僚に「オープンインターネット上で実際に問題が発生している」と伝えることができます 。これらは 、他者の助けをほとんど借りずに実行できる非常に基本的な手法です。情報セキュリティ の専門家は、こうした取り組みを通じて可視性を高め始めることができます。
ケビン・オブライエン：
そこで検討すべきもう一つの点は、ユーザーベースがあり、危険なメッセージやフィッシングの疑いがあるメッセージを受信しているにもかかわらず、トレーニングに関するプログラムが整備されていない場合、どのように意識向上を図ればよいかということです。さて 、これまでコンテキストについて多く語ってきましたよね？ 情報セキュリティチームは、優れたポリシーを作成するために予算を必要としません。送金の取り扱い方法、機密情報の要求への対応方法、そして特に、スピアフィッシング攻撃でよくあるように企業の主要幹部になりすましたり、会社が利用しているビジネスサービスを装ったりする、潜在的に危険な送信者に対してユーザーにどう対応してほしいかといった一連のプロセスを確立すればよいのです。 そうしたポリシーを策定し、ユーザーに具体的な状況（コンテキスト）を提示すればよいのです。
これは、従来のメールセキュリティのアプローチとは大きく異なります。従来の方法では、まず技術を購入し、すべてのメールをそのシステム経由で送受信するようにメールのルーティングを変更し、さらにユーザーに隔離機能の操作方法を指導し始めなければなりません。 これは大変な作業です。「ねえ、今までメールのやり取りをしたことのない相手からメッセージが届いたよ。送金内容について尋ねてきていて 、社内の誰かの表示名を使っている。なりすまし攻撃の可能性があるから、脅威かもしれない。ところで、 そういう事態に備えて、こんなポリシーを定めているんだ」とユーザーに説明するのです 。 こうした説明は素晴らしい出発点となります。また、ある意味では、フィッシングの意味をまだ理解していないユーザー層に対して、一般的な話から始めようとするよりも効果的です。なぜなら、彼らは「今受け取ったそのメールこそが、メールセキュリティに注意するよう言っている時の話そのものなのだ」と教わっていないからです。
ロリータ・バ：
ありがとうございます。まもなく正時ですので 、あと1つだけ質問を受け付けます。 他にも質問がある方は、どうぞ遠慮なく引き続きご投稿ください。 時間切れで直接お答えできなかった質問については、メールにて回答させていただきます 。 この 質問は、ティムさんに向けたものだと思います。 「DMARCはDKIMのようなものとどう違うのですか？」という質問です。
ティム・ドレーゲン：
DMARC自体は、DKIMの上に構築されたオーバーレイです。DKIMは 、基本的にメールにドメインを紐付けることを可能にする技術であり、その紐付け情報はDKIM署名という形でメッセージと共に送信されます。一方、DMARCは これとは大きく異なります。DMARCは 、DKIMが組み込むことができるフレームワークのようなものであり 、それによってDKIM自体の有用性を高めるものです 。 DMARCはオーバーレイです。ドメイン所有者であれば、フィードバックが得られるため 、インターネット上で自分のドメインがどのように使用されているかを実際に確認できます。メールを識別しやすくするための取り組みを行っていることを世界に示すプロセスでは、 DKIMを使用し、さらにSPFと呼ばれる別の技術を用いて、メールとドメインの間の実際の紐付けを行います。 繰り返しになりますが、DMARC自体はフィードバックを提供し、ポリシーメカニズムも提供するオーバーレイです。DMARCのポリシーメカニズム機能により 、世界に向けて「我々はすべての作業を完了しました。当社の正当なメールはすべて 、SPFまたはDKIMのいずれかを使用して識別可能です」と宣言することができます。 そうすれば、スイッチを切り替えて、「我々はこのすべての作業を完了しました。もし 我々からのものだと称するメールを受け取ったとしても、それがDMARCに準拠していない場合は、遠慮なく即座に破棄してください」と世界に伝えることができます。つまり、 これらは異なる技術ですが、互いに補完し合っているのです。
ロリータ・バ：
素晴らしいですね、ティム、ありがとう。先ほど申し上げた通り 、開始時に約束した45分を少しオーバーしてしまいましたが、追加で回答できた質問が、皆様にとって有意義な時間となったことを願っています。フィッシングの変遷についてティムとケビンが解説するのを、お時間を割いてお聞きいただき、改めて皆様に感謝申し上げます。 また、今後の2回のウェビナーにもぜひご注目いただければと思います。 先ほどお伝えした通り、次回の「フィッシング対策の近代化ガイド」は、より実践的で具体的な内容となります。そして3回目では、両社についてお話しする予定です。 その間 、スライドやウェビナーの録画へのリンクが記載されたフォローアップメールにもご注目ください。また、ご質問がございましたら、どちらの会社にもお気軽にお問い合わせください。 喜んでお答えいたします。お時間をいただきありがとうございました 。また、TimとKevinにも、お時間を割いていただいたこと、そして素晴らしい内容を提供していただいたことに感謝いたします 。皆様にとって素晴らしい一日となりますように。本当にありがとうございました 。それでは、また 。
