最近、企業や団体の情報漏洩が相次いで報道されています。
顧客情報が流出した。業務システムが停止した。身代金を要求された。
そうしたニュースを見るたびに、私は一つの光景を思い浮かべます。
それは、長い間、誰にも手入れされていない古い家です。
その家には、誰も気づいていない裏口があった
例えば、こんな家を想像してみてください。
築30年。外壁は少し色あせていますが、今でも家族が暮らしています。
玄関の鍵はしっかりかかっています。防犯カメラも設置しました。
家の持ち主は、これで安心だと思っています。
ところが、家の裏側に回ってみると、勝手口の鍵が壊れています。
二階の窓は、建て付けが悪くなって少し開いたまま。庭の物置には、以前の住人が使っていた合鍵まで残っています。
でも、家族は誰も気づいていません。
なぜなら、普段の生活では何も困っていないからです。
玄関から出入りできるし、雨漏りもしない。電気も水道も使える。
「ちゃんと暮らせているのだから、この家は大丈夫」
そう思っているのです。
ある日、泥棒がやってきます。
泥棒は、立派な玄関をこじ開けようとはしません。
家の周囲を一回りして、壊れた勝手口の鍵を見つけます。
そして、そこから静かに入っていきます。
玄関の最新式の鍵も、防犯カメラも、役には立ちませんでした。
これと同じことが、企業のシステムでも起きています
会社のホームページや業務システムも、実は家とよく似ています。
最初に作ったときは、きちんとした設計だったはずです。
その時点では、最新の技術を使い、必要なセキュリティ対策も行われていたでしょう。
ところが、5年、10年と使い続けるうちに、状況が変わってきます。
プログラムには、新たな弱点が発見されます。
サーバーのソフトウェアも古くなります。
以前使っていた管理者のアカウントが、そのまま残っていることもあります。
会社のホームページは、今日も普通に表示されています。
お問い合わせフォームも動いています。社員も毎日、問題なく仕事をしています。
だから、誰も心配しません。
しかし、表からは見えないところで、少しずつ「勝手口の鍵」が壊れ、「窓の隙間」が広がっているかもしれないのです。
そして、攻撃者は、その小さな隙間を探しています。
泥棒は、立派な家だけを狙うわけではない
「うちの会社は小さいから、狙われることはないでしょう」
そうおっしゃる経営者の方がいます。
気持ちはよく分かります。
でも、泥棒の立場で考えてみると、少し違う景色が見えてきます。
高い塀に囲まれ、警備員が常駐している豪邸。
一方には、裏口の鍵が壊れ、誰も見回りをしていない小さな家。
もし侵入しやすさだけで選ぶなら、どちらでしょうか。
サイバー攻撃では、企業の名前や規模を問わず、インターネット上の弱点を機械的に探す手口があります。
攻撃者は、必ずしも最初からあなたの会社を狙っているわけではありません。
鍵の壊れた家を探していたら、たまたまあなたの会社が見つかった。
そんなことが起こり得るのです。
こうした手口は以前からありますが、近年はその速度と精度がさらに上がっています。
問題は、家が古いことではありません
ここで誤解していただきたくないことがあります。
私は、古い家が危険だと言いたいわけではありません。
築50年でも、きちんと手入れされている家はあります。
傷んだ屋根を直し、窓を交換し、鍵を取り替え、定期的に点検を行う。
そういう家は、長く安心して暮らせるでしょう。
反対に、新築の家でも、玄関の鍵をかけ忘れれば泥棒は入れます。
システムも同じです。
古い技術を使っていること自体が、直ちに危険なのではありません。
ただし、開発元のサポートが終了し、見つかった弱点を修正できなくなったソフトウェアは別です。これは、壊れた鍵を交換したくても、交換部品がもう手に入らない状態に似ています。
そうなれば、鍵そのものを取り替える必要があります。
大切なのは、古いか新しいかではなく、安全な状態を維持できているかどうかです。
家を守るために、毎年建て替える必要はない
では、会社のシステムを守るにはどうしたらよいのでしょうか。
数百万円、数千万円をかけて、すべてを新しく作り直さなければならないのでしょうか。
必ずしも、そうではありません。
家であれば、まず建物の状態を調べます。
鍵は正常に動くか。窓はきちんと閉まるか。屋根から雨が漏れていないか。使っていない勝手口が開いたままになっていないか。
問題があれば、優先順位をつけて修繕します。
会社のシステムも同じです。
まず、現在の状態を知ること。
そして、危険な部分から順番に手を入れること。
もちろん、老朽化が進みすぎて修繕では対応できない場合には、システムの更新や作り直しが必要になります。
しかし、すべてを一度に新しくすることが、唯一の正解ではありません。
限られた予算の中で、何を優先すべきかを判断することが大切です。
そこで、AIに「家の見回り」を頼んでみることにした
私自身、仕事で複数の企業や団体のシステムを管理しています。
すべての家を毎日、自分の足で見回るのは大変です。でも、AIに手伝ってもらうことはできないだろうか。
そう考えて、既存のセキュリティ検査ツールとAIを組み合わせ、Webサイトの安全性を診断するツールを自作しました。
名前は「SecuRanger（セキュレンジャー）」。
AIが攻撃者の視点も取り入れながら弱点を調べ、「この箇所は早急に修理した方がよいでしょう」と、結果を日本語で報告してくれる仕組みです。
もちろん、本当に泥棒に入るわけではありません。管理者の許可を得たシステムに対して、安全に配慮しながら弱点を調べるということです。
ただし、AIも間違えます。
存在しない問題を報告することもありますし、危険な箇所を見落とす可能性もあります。
だから、AIが出した報告を鵜呑みにするのではなく、人間が確認して、対応を判断するようにしています。
一番怖いのは、「何も起きていないから大丈夫」という思い込み
家の鍵が壊れていても、泥棒が来なければ何も起きません。
窓が開いていても、雨が降らなければ困りません。
だから、つい修理を先延ばしにしてしまう。
システムでも、同じことが起こります。
昨日も動いていた。今日も問題なく動いている。だから明日も大丈夫だろう。
しかし、「今まで被害がなかったこと」と「今、安全であること」は、まったく別の話です。
これは、私がIT顧問として日々の仕事の中で、特に大切にしている考え方です。
セキュリティ対策とは、高額なシステムを導入することでも、難しい専門用語を覚えることでもありません。
まず、自分たちの家の状態を知ること。
壊れた鍵があれば直すこと。
そして、ときどき家の周囲を見回ること。
そんな当たり前の習慣から、始めればよいのだと思います。
あなたの会社のシステムにも、誰も気づいていない「開いたままの勝手口」があるかもしれません。
一度、点検してみてはいかがでしょうか。
今回、自作したSecuRangerについて、使用したツール、システム構成、導入手順、実際に遭遇した誤検知への対処、そして安全な診断のための運用ルールを、私の会社のWebサイトに詳しくまとめました。
AIを使ったセキュリティ対策に興味のある方、WordPressなどのWebサイトを管理している方、そして中小企業のIT担当者の方には、ぜひご覧いただければと思います。
▼ 詳しい開発記録・導入手順はこちら
「うちのサイト、大丈夫？」に応える——攻撃者もAIを使う時代の「AIにはAIを」。攻撃者に見つかる前に、自作したAIセキュリティ診断ツールの導入ステップ
コメント