2024年6月20日
2020年初頭、極めて高度な技術を持つハッカー集団が、史上最大規模のサイバー攻撃の一つを実行した。ロシア政府のために活動しているとみられる彼らは、SolarWindsというIT管理ソフトウェア開発会社のコンピュータシステムに侵入し、同社の監視ツール製品群に悪意のあるコードを埋め込んだ。
6月までに、このマルウェアによってハッカーたちは数百もの連邦政府機関やフォーチュン500企業の内部システムへのAccessを獲得した。ハッキングが発覚するまでに、このグループは政府や企業の業務をスパイするのに十分な時間を数ヶ月間費やしていた。
この事件は、官民双方にとって、着実にエスカレートする脅威に対する警鐘となった。サイバー攻撃はインターネットの黎明期から存在していたが、ここ数年でより巧妙化し、陰湿で破壊的なものへと変化している。サイバー攻撃による直接的な損失額は50万ドル程度と小規模だが、国際通貨基金（IMF）は最近、少なくとも25億ドルにも達する極めて大きな損失のリスクが高まっていると報告した。
事態の重大性を鑑みると、企業をサイバー攻撃から守る責任は、企業の最高位のメンバー、すなわち取締役会に課せられる。今日、彼らの仕事の重要な部分の一つは、企業のシステムをサイバーセキュリティの脅威から守るための適切な文化とガバナンスが整備されているかどうかを評価することであり、そのためにはサイバーリスクに対する繊細な理解が必要となる。
「取締役会は当然、財務面で賢明である必要があるが、サイバーセキュリティに関しても同様に賢明でなければならない」と、Mastercardのサイバーセキュリティ・フェローであり、元最高セキュリティ責任者であるロン・グリーン氏は述べている。「彼らは、自覚しているか否かにかかわらず、毎日その課題に直面しているのです。」
しかし、そのレベルの専門知識を持つ取締役は稀である。米シークレットサービスの長官であるキンバリー・チートル氏は、サイバーセキュリティ企業に資金を提供するベンチャーキャピタル企業である ナイトドラゴン とディリジェント・インスティテュートによる 2023年の調査 を引用し、S&P500企業の取締役会のうち、サイバーセキュリティ専門家を擁しているのはわずか12％だと述べている。
取締役が自社および市民をサイバー犯罪から守るための支援として、Mastercardは米国シークレットサービス、サイバーセキュリティ・インフラストラクチャセキュリティ庁、全米企業取締役協会、ナイトドラゴンと協力して、サイバーセキュリティ・ボード・アカデミーという研修コースを開発しました。「これは、その格差を埋め始めるための、本当にまたとない機会です」とチートル氏は語る。
CISAとシークレットサービスが共催する取締役会アカデミーの第1回会合が、火曜日にメリーランド州サウスローレルにあるシークレットサービスのジェームズ・J・ローリー訓練センターで開催され、企業の取締役や業界の専門家が集まり、デジタルネットワーク保護の最先端技術について議論した。
マスターカードのサイバーセキュリティ・フェローであるロン・グリーン氏は、今週初めにメリーランド州で開催されたサイバーリスクとレジリエンスに関する研修会に出席した企業の取締役らに向けて講演を行った。（写真提供：レベッカ・エイブラハム）
「私たちは、その接続性を確実に強化したかったのです」と、CISAのディレクターであるジェン・イースタリーは述べています。彼女は、「民間企業が高度な技術を持つ国家主体に単独で立ち向かうことを期待されるべきではないのは明らかだ」と述べている。そのため、公共部門と民間部門間の連携を強化し、拡大することに非常に大きな重要性が置かれることになる。
ますます相互接続が進む世界において、サイバーセキュリティはチームワークで取り組むべき課題である。そこでマスターカードとそのパートナー企業は、フォーチュン500企業の役員や、米国の重要インフラを代表する多くの人々を招き、政府や業界の専門家から直接学ぶ機会を提供した。全米サイバーセキュリティ専門家協会（NACD）とインターネットセキュリティアライアンス（ISA）が提唱する効果的なサイバーリスク監視の原則に基づいたカリキュラムの中で、参加者は脅威、ガバナンス、保護、回復力について議論し、継続的なサイバー防御のためのベストプラクティスの基盤を構築した。
こうした攻撃では、被害は金銭的な側面にとどまらず、犯罪組織や国家支援を受けた組織がスパイ活動を展開したり、国家の重要インフラを無力化しようとしたりするなど、広範囲に及ぶ可能性がある。いかなる機関も対象外ではない。病院、学校、医学研究機関、州政府、地方自治体――すべてが標的となっている。また、米国のインフラの多くは民間企業が所有しているため、民間防衛においてビジネス部門は極めて重要な役割を担っている。
「企業のため、そして国のために、この問題に警戒を怠らない方法を見つけることは、我々の活動にとって不可欠です」と、半導体メーカーであるアナログ・デバイセズの独立取締役で、初回会合に出席した16人の取締役の一人であるスティーブン・ジェニングス氏は述べた。「我々は、法執行能力、最新の動向、最新のリスクについて、より深く理解しつつある。」
このプログラムは、官民連携を継続的に構築することで、参加者が互いに学び合い、脅威に先手を打つことができるようにしている。理事会メンバーは、拡大し続けるサイバーセキュリティ専門家のネットワークを活用できる一方、CISAとシークレットサービスは、より広範な民間セクターに向けたメッセージを微調整するためのフィードバックを得る手段を持つことができる。
「サイバーセキュリティは集団的な取り組みでなければならず、今後は産業界と公共部門の間でより相互に協力し合いながら、サイバー攻撃に対処していくことができるだろう」とジェニングス氏は述べている。「この脅威はすぐには消え去らないだろう。」これは長期戦になるだろう。
