はじめに：2021年の脅威を振り返る重要性
日本のITセキュリティ現場において、IPA（情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威」は、単なる統計資料ではありません。それは、私たちが直面しているリスクの変遷を理解し、翌年度以降のセキュリティ予算やリソース配分を決定するための羅針盤です。2021年に公開された10大脅威は、コロナ禍によるテレワークの急速な普及と、それに伴うデジタルシフトの歪みを如実に反映したものでした。本稿では、当時の脅威を振り返りつつ、現在もなお我々の基盤を揺るがす本質的なリスクについて、実務的な観点から深掘りします。
脅威の構造的変化：パンデミックが加速させた攻撃手法
2021年の10大脅威において、特に注目すべきは「組織」向け脅威の筆頭として挙げられたランサムウェアです。従来のランサムウェアは、不特定多数にメールをばら撒き、感染した端末を暗号化する「ばら撒き型」が主流でした。しかし、2021年を境に、特定のターゲットを狙い撃ちにし、ネットワーク内に侵入した後に機密情報を窃取してから暗号化を行う「二重脅迫型」へと完全にシフトしました。
この変化の背景には、テレワーク環境の脆弱性が存在します。VPN機器の脆弱性を突いた侵入や、不十分な認証設定を悪用したアクセスが急増しました。実務者として我々が学ばなければならないのは、境界防御（ペリメータセキュリティ）がもはや機能不全に陥っているという現実です。
実務者が直視すべき上位脅威の分析
2021年のランキングを俯瞰すると、以下の3つの要素が攻撃者のトレンドを決定づけていました。
1. 脆弱性の悪用：VPNやクラウドサービスの設定不備。
2. 認証情報の窃取：フィッシング詐欺やパスワードリスト攻撃。
3. サプライチェーン攻撃：自社が強固でも、取引先や委託先から侵入されるリスク。
特に、「テレワーク等のニューノーマルな働き方を狙った攻撃」は、単なる一時的なトレンドではなく、現代のITインフラの「仕様」に対する攻撃です。攻撃者は、我々が「利便性」を優先するために緩めたセキュリティ設定の隙間を、正確に突いてきます。
コードで見る防御の最前線：ゼロトラストへの一歩
境界防御が限界を迎える中、実務レベルでは「ゼロトラストアーキテクチャ」の考え方を導入する必要があります。まずは、認証の強化とアクセス制御の厳格化から着手すべきです。
例えば、単純なパスワード認証から脱却し、多要素認証（MFA）を強制することは必須です。以下は、Pythonを用いた簡易的なMFAの概念コードですが、実務ではIdP（Identity Provider）を活用した連携が推奨されます。
簡易的な多要素認証のフロー例
import pyotp
def verify_mfa(secret, user_input_otp):
totp = pyotp.TOTP(secret)
# 現在の時刻に基づいたワンタイムパスワードを検証
if totp.verify(user_input_otp):
return True
else:
return False
実際の実務では、これを認証基盤（OktaやAzure ADなど）に統合する
ユーザーはパスワード入力後に、生成されたコードを入力するプロセスを経る
このようなコードレベルの制御だけでなく、ネットワークレベルでは「最小権限の原則」を適用し、セグメンテーションを行うことが求められます。攻撃者が侵入したとしても、横方向への移動（ラテラルムーブメント）を封じ込める設計が、実務上の最優先事項です。
サプライチェーン攻撃への対策：自社だけの視点からの脱却
2021年の脅威において、多くの企業を震撼させたのがサプライチェーン攻撃です。自社のセキュリティ対策が完璧であっても、業務委託先の管理体制が甘ければ、そこが踏み台になります。
実務におけるサプライチェーン対策として、以下のステップを推奨します。
1. インベントリ管理：どこの誰と、どのようなデータをやり取りしているかを明確にする。
2. セキュリティ評価：取引先に対して、ISMSやプライバシーマークだけでなく、具体的なセキュリティ要件（MFA導入、パッチ管理状況など）の報告を求める。
3. 契約による縛り：万が一のインシデント発生時の報告義務や、損害賠償の範囲を契約書に明記する。
これは技術的な対策以上に、法務や調達部門を巻き込んだ「組織的な運用」が求められる領域です。
インシデント対応の現実：検知と封じ込めの重要性
どれほど強固な防御を構築しても、100%の防御は不可能です。2021年の教訓から、我々は「侵入されることを前提とした対応計画（IRP: Incident Response Plan）」を策定すべきです。
実務的には、EDR（Endpoint Detection and Response）の導入が不可欠です。EDRは、端末内の不審な挙動をリアルタイムで監視し、攻撃の兆候を早期に発見します。以下は、EDRから取得したログを解析して異常を検知するための疑似的なロジックです。
不審なプロセス起動を検知する簡易シェルスクリプトの概念
実際にはSIEMやEDRのコンソールで設定するクエリに近い
grep “powershell.exe” /var/log/syslog | grep -E “encodedcommand|bypass” > suspicious_activity.log
if [ -s suspicious_activity.log ]; then
echo “警告: PowerShellの不審な実行を検知しました。直ちに隔離してください。”
# 自動的にネットワークから隔離するAPIを叩く等の処理へ
fi
このように、ログの監視と自動化されたレスポンスを組み合わせることで、インシデントの被害を最小限に抑えることが可能です。
組織文化としてのセキュリティ：技術的負債の解消
最後に、最も見落とされがちなのが「組織のセキュリティ文化」です。どんなに優れた技術を導入しても、それを運用する人間がフィッシングメールを開封してしまえば、防御は崩壊します。
2021年の10大脅威を振り返ると、人間を狙ったソーシャルエンジニアリングは依然として強力です。定期的な教育訓練は「形式的な作業」になりがちですが、これを「自分事」として捉えさせるためには、経営層がセキュリティを「コスト」ではなく「事業継続のための投資」と認識し、明確なメッセージを発信し続けることが必要です。
結論：2021年の教訓をどう活かすか
2021年の情報セキュリティ10大脅威は、我々に対して「過去の延長線上に未来はない」と警告していました。テレワーク環境、クラウド活用、サプライチェーンの複雑化。これらの変化は、攻撃者にとっての「新たな狩場」となっています。
実務者として求められているのは、単一の製品導入ではありません。以下の3点を軸とした包括的な戦略です。
1. ID中心のセキュリティ（ゼロトラスト）への転換。
2. 侵入前提の検知・対応体制（EDR/SOC）の構築。
3. サプライチェーン全体を巻き込んだガバナンスの強化。
セキュリティ対策に終わりはありません。2021年の脅威を過去のものとせず、その教訓を現在の運用に落とし込み、継続的な改善を回し続けること。それが、今の時代を生き抜くITプロフェッショナルの責務です。
我々が守るべきは、ただのデータではありません。顧客の信頼であり、企業の存続そのものです。技術の進化を味方につけ、攻撃者の一歩先を行く防御体制を、明日からまた構築していきましょう。
コメント