Web サイトの30年 : より安全な Web の未来に向けて

本記事は、Web サイト誕生から30周年を記念し、次の30年における Web インフラやユーザーエクスペリエンスの進化について考察する全4回シリーズの第3回目です。

1995年に公開された映画「サイバーネット」からも分かるように、インターネットが犯罪に利用される可能性があることは、誕生当初から明らかでした。しかし、攻撃の対象となる領域がこれほど大規模に及ぶとは、誰も予想しませんでした。「インターネット」には、Web の土台となる光ファイバーケーブルの配線だけではなく、それに繋がるマシン、デバイス、データレポジトリなども含まれます。時代とともに、インターネットは犯罪や窃盗の主要手段の一つとして利用されるようになりました。

前回の記事では、よりダイナミックな思考で Web の構築に取り組み、最先端の Web の実現に必要なツールを再考する必要があるとお話ししましたが、セキュリティに対する新たなアプローチを探ることも、その課題の一部です。Web の誕生以来、当時からは想像もつかないような脅威に次から次へと直面する中、プライバシーやセキュリティに関するニーズが高まっています。

より安全でレジリエンス性の高いオンラインエクスペリエンスを効率的に実現するためには、セキュリティを念頭においたアプリケーションのデザイン、構築、実行に加え、過去30年間の Web の歴史から得た教訓を踏まえたセキュリティ対策が重要です。

歴史から得る教訓

インターネットのセキュリティ対策に警鐘を鳴らした大規模なサイバー攻撃、オーロラ作戦は、インターネットの針路を大きく変えました。2010年1月10日、Google は中国発のサイバー攻撃の被害を受けたことを公表しました。Google によると、この攻撃は中国の人権活動家の Gmail アカウントにアクセスすることを目的としていたそうですが、その過程で Google の貴重なソースコードも盗まれたことが分かりました。オーロラ作戦は、商業組織から知的財産を奪うために行われた、国家的サイバースパイ行為の実例の一つでした。

それ以前は、国家レベルのサイバー攻撃は他の国民国家のみに対して行われるものであるという、暗黙の了解がありました。しかしオーロラ作戦以降、攻撃者はアプリケーションに侵入するためには手段を選ばないことが明確になりました。攻撃者は、コードを侵害してネットワーク上の貴重なデータを取得・悪用するためであれば、Web アプリケーションの攻撃に6か月以上かかろうとも、労力を惜しみません。

水飲み場型攻撃も、このアプローチを使った攻撃方法です。攻撃者はサプライチェーンに侵入し、末端の顧客データを狙います。この種の攻撃は、アメリカ国防総省、国土安全保障省、、エネルギー省、国家核安全保障局、財務省の一部が不正侵入を受けた、ロシア政府による SolarWinds 攻撃など、多くのケースでみられるようになりました。また、この攻撃によって Microsoft、Cisco、Intel、Deloitte、AT&T を含む100社もの民間企業が被害を受けました。

被害はデータ窃盗だけではなく、データの完全性の損失にも及びます。場合によっては、データを改ざんすることが攻撃の目標を達成する上で好都合であることがあります。例えば金融機関では、取引情報のタイムスタンプにわずかな変更を加えることで、資金の流出を試みる攻撃が多数発生しています。また、タイムスタンプを改ざんして、株式買取を不正に操作する攻撃者も現れています。データの完全性を損ねるサイバー攻撃の中には、このように機関や制度などに対する信頼を失墜させることを主な目的とするものもあります。選挙データの完全性に対する不信感も、アメリカの民主主義にダメージを与えています。

悪質な攻撃者は、常に新たな手口を見つけて攻撃をしかけ続けます。この事実を受け入れ、それに対する適切な保護対策を実地することが、非常に重要なポイントです。

ゼロトラスト、セキュリティファーストの文化

従来の境界型セキュリティモデルでは、物理的なスペースが外部から保護されていましたが、境界内部は無防備な状態でした。組織は外部からの攻撃をブロックすることに集中するあまり、ネットワーク内からは全てのデータにアクセスできる環境を作ってしまっていたのです。

現在のセキュリティ対策は、ロケーションではなく、アイデンティティの検証に基づくゼロトラストモデルの方向に向かっています。ゼロトラストとは、組織の外部および内部からのアクセス全てを信頼できないものであるとして捉え、システムへのアクセス許可を与える前にアイデンティティを検証すべきであるという考え方です。

ゼロトラストモデルを導入するためには、セキュリティファーストの文化を築き、DevOps プラクティスにセキュリティを統合することが欠かせません。まず最初に攻撃者に狙われやすい場所をできるだけ多く特定し、開発プロセスの初期にテストや修正対策を導入する必要があります。特にテレワークがさらに普及し、従業員がデータのアクセスに使用するネットワークやデバイスを組織がコントロールするのが難しくなるにつれ、このアプローチはますます重要性を増しています。

より効果的な保護ソリューションに向けて

ゼロトラストモデルを実現するためには、セキュリティは開発やイノベーションの障害であるという認識を組織が克服する必要があります。そのためには、適切なツールを採用することが非常に重要です。

とりわけ、最先端の分散型組織を念頭において開発されたツールが必要になります。先日 Fastly によって公開されたレポート「転換期を迎えた Web アプリと API のセキュリティ」によると、企業は年間平均260万ドルを11種類の Web アプリや API のセキュリティツールに費やしています。

複雑なセキュリティソリューションは、DevOps チームの作業を妨害し、DevOps とセキュリティチームの効果的な連携を妨げてしまうことがあります。その結果、ツールの性能がフルに活用されず、悪質な攻撃を招き入れてしまう場合があります。

そのため、DevOps チームが使い慣れているツールや開発プロセスに直接統合可能なツールが必要です。セキュリティソリューションはイノベーションを妨げるものではなく、自動化が可能で、異なるアーキテクチャに対応し、高度な可視性とインサイトを提供しながらイノベーションを促進できるものでなければなりません。また、将来に向けてスケーラビリティを確保するためにも、より効率的でプログラム可能なネットワークを使用することも必要です。

今後、これらのツールを使ってアクセスをより詳細にコントロールできるようになるでしょう。つまり、ユーザーによってリソースへ異なるレベルのアクセスを与えることができるようになるわけですが、スピードやパフォーマンスを損ねることなくこの高度なコントロールを実現することが肝心です。このモデルに欠かせない明確なユーザー認証をエッジに移行することで、パフォーマンスとプライバシーの向上が可能になります。

ツールと意識の改革

ゼロトラストを実践するには、新しいテクノロジーを導入するだけではなく、新たな姿勢を身に付け、プロセスを具体的に再考することが求められます。

これからの30年に向けて、新しいインターネットの方向性について考えていかなければいけません。1970年代のネットワーク先駆者のおかげで、今の私たちは豊富な情報に恵まれています。個人または国家による高度なサイバー攻撃が一般的になった今、これらの脅威に対する効果的な保護対策を講じることが当たり前であるという意識改革が必要です。

Web サイトの30周年シリーズの最終回である次回の記事では、Web の未来に向けた構築に役立つ5つのポイントをご紹介します。