はじめに：2021年の脅威トレンドを振り返る意義
IPA（独立行政法人情報処理推進機構）が発表した「情報セキュリティ10大脅威 2021」は、単なる過去の記録ではありません。このリストは、現代の企業が直面している攻撃手法の変遷と、防御側の対応のギャップを浮き彫りにした重要な指標です。実務の現場に立つセキュリティエンジニアやIT管理者は、これらの脅威を個別の事象として捉えるのではなく、攻撃者の「経済的動機」と「組織的なサプライチェーン攻撃」という二つの大きな潮流として理解する必要があります。本稿では、2021年の10大脅威を振り返り、現代のインフラ環境における具体的な対策手法について技術的な観点から解説します。
1. 組織を狙った脅威：ランサムウェアの進化とサプライチェーン攻撃
2021年の脅威における最大のトピックは、ランサムウェアによる被害の深刻化と、サプライチェーン攻撃の顕在化です。特に「ランサムウェアによる被害」は、単なるデータの暗号化に留まらず、窃取した情報を公開すると脅す「二重脅迫」が標準となりました。
実務においては、バックアップの確保だけでは不十分です。攻撃者はバックアップデータやバックアップサーバー自体を標的にするため、オフラインかつ不変（イミュータブル）なバックアップの運用が不可欠です。また、サプライチェーン攻撃については、自社が堅牢であっても、委託先や利用しているソフトウェアの脆弱性が入り口となります。
2. テレワーク環境におけるセキュリティの再定義
2021年はパンデミックの影響を受け、リモートワークが急速に普及しました。これに伴い、「テレワーク等のテレワーク環境を狙った攻撃」が上位にランクインしました。VPN機器の脆弱性を突いた侵入や、認証情報の窃取が横行したことは記憶に新しいでしょう。
ここで重要なのは、境界型防御からゼロトラストアーキテクチャへの移行です。VPNに依存したアクセス制御は限界を迎えています。以下のコード例は、認証と認可を分離し、コンテキストベースのアクセス制御を実装するための概念的なポリシーの例です。
認証・認可のポリシー実装例（概念）
// 従来のVPN依存型ではなく、IDP（Identity Provider）を通じた条件付きアクセス
const accessPolicy = {
user: “employee_id”,
context: {
device_managed: true,
location: “trusted_ip_range”,
mfa_verified: true
},
evaluate: function(request) {
if (this.context.device_managed && this.context.mfa_verified) {
return “ALLOW”;
} else {
return “DENY_FORCE_MFA”;
}
}
};
このようなポリシーを実装することで、単なるパスワード認証を超えた、デバイスの状態や場所に基づく動的な制御が可能となります。
3. 標的型攻撃とビジネスメール詐欺（BEC）
「ビジネスメール詐欺（BEC）」は、技術的な脆弱性よりも人間の心理を突く攻撃です。2021年の脅威においても、依然として高い順位を維持しています。技術的な対策としては、メールのなりすましを防ぐためのSPF、DKIM、DMARCの導入が必須です。
特にDMARCの設定は、受信側での判定基準を明確にするため、実務において優先的に取り組むべきタスクです。以下に、DNSレコードでの設定イメージを示します。
DMARCレコードの設定例
v=DMARC1; p=reject; rua=mailto:security-reports@example.com; ruf=mailto:security-forensics@example.com;
この設定により、認証に失敗したメールを拒否（reject）し、その結果を管理者にレポートとして送付することが可能になります。これにより、攻撃者のなりすましをネットワークレベルでブロックすることができます。
4. 内部不正と人的ミスへの対策
技術的な防御策をどれだけ固めても、内部不正や管理ミスによる情報漏洩は防ぎきれません。2021年の10大脅威には「内部不正による情報漏洩」が含まれています。これに対する実務的なアプローチは、特権IDの管理（PAM: Privileged Access Management）と、ログの監視です。
特権IDの利用には、必ず申請・承認ワークフローを通し、操作内容を録画または詳細なログとして記録することが求められます。また、SIEM（Security Information and Event Management）を導入し、異常なアクセスパターンを自動検知する環境を整える必要があります。
5. 脆弱性対策の自動化とパッチ管理
「脆弱性対策情報の公開に伴う悪用」は、常に上位に位置する脅威です。パッチ適用の遅れは、攻撃者にとっての招待状です。特に、クラウド環境やコンテナ環境においては、CI/CDパイプラインの中に脆弱性スキャンを組み込むことが必須です。
以下は、コンテナイメージをビルドする際に脆弱性をチェックするワークフローの概念です。
CI/CDパイプラインにおける脆弱性スキャンの自動化例
GitHub Actions等のCIツールでの実行を想定
steps:
- name: Build Docker Image
run: docker build -t my-app:latest .
- name: Scan Image for Vulnerabilities
uses: aquasecurity/trivy-action@master
with:
image-ref: ‘my-app:latest’
format: ‘table’
exit-code: ‘1’ # 深刻な脆弱性があればビルドを停止
このように、開発段階からセキュリティを組み込む「DevSecOps」の実践が、2021年以降のセキュリティ運用の標準となっています。
6. 経営層へのレポーティングと予算確保
セキュリティ対策を推進する上で、技術者にとって最大の障壁となるのは「経営層の理解」です。2021年の10大脅威を報告する際は、単に「危険です」と伝えるのではなく、事業継続計画（BCP）の観点から、被害が発生した場合の損害額を算出し、投資対効果（ROI）を説明することが求められます。
例えば、ランサムウェア被害によるシステム停止が1日続いた場合の売上損失、顧客への賠償金、ブランド棄損による長期的損失を試算し、それを回避するためのセキュリティ予算を提示する手法が有効です。
7. 今後の展望：インシデント対応能力（IR）の向上
どんなに強固な防御を敷いても、100%の防御は存在しません。したがって、実務者が最も注力すべきは「インシデントが発生した後の対応能力」です。2021年の脅威を教訓に、組織はCSIRT（Computer Security Incident Response Team）の体制を整備し、定期的な演習を行う必要があります。
特に、ランサムウェアの被害を想定した「インシデントレスポンス訓練」は、全社的なコミュニケーションフローを確認する上で非常に重要です。誰が意思決定を行い、誰が外部機関（警察や専門家）に連絡し、どのような手順でシステムを隔離するか。これらをマニュアル化し、定期的に更新・訓練することで、被害を最小限に抑えることが可能です。
まとめ：実務者が取るべきネクストアクション
「情報セキュリティ10大脅威 2021」が示したのは、攻撃の高度化と、それに対する防御側の対応の遅れです。実務に携わる私たちは、以下の3点を軸に日々の運用を最適化していく必要があります。
1. ゼロトラストの徹底: ネットワーク境界に頼らない認証とアクセス制御の導入。
2. 自動化の推進: パッチ管理や脆弱性スキャンをCI/CDプロセスに組み込み、人的ミスを排除する。
3. レジリエンスの強化: インシデント発生を前提とした、迅速な復旧体制とコミュニケーションフローの構築。
セキュリティは一度完成して終わりではありません。攻撃手法が日々進化するように、私たちの防御手法もまた、技術の進歩に合わせてアップデートし続けなければなりません。本稿が、貴社のセキュリティ対策を一段上のレベルへ引き上げるための参考となれば幸いです。
最後に、セキュリティ担当者は孤独な戦いを強いられがちですが、IPAが提供するガイドラインや最新の脅威情報、そしてコミュニティでの知見共有を積極的に活用してください。技術者同士の連携こそが、現代の巧妙なサイバー攻撃に対抗する最大の武器となるはずです。
コメント