せいうちセキュリティ

研究論文からサイバー犯罪とセキュリティを考えてみる

【犯罪学シリーズ②】誰が犯罪を行うのか

犯罪学シリーズ第二弾です。参考文献は引き続きこちらの本。

サイエンス超簡潔講座 犯罪学 | ティム・ニューバーン, 岡邊 健 |本 | 通販 | Amazon

「誰が犯罪を行うのか?」というのも難しい問いですが、犯罪学で一定の成果が挙げれれている領域でもあります。詳しく見ていきましょう。

 

もくじ

 

男性のほとんどは犯罪を行ったことがある?

「いやいや犯罪なんて俺とは無縁ですよ」と思った方がほとんどかと思います。そりゃそうですよね。法的に秩序が保たれている社会で犯罪を行えば裁判にかけられて刑務所に行くはずです。ですが、犯罪学シリーズ第一弾で言及したとおり、刑事裁判にかけられる犯罪はほんの一握りにしかすぎません。イギリスの研究によると、犯罪者として特定されるのは全犯罪の6%にも満たないとか。したがって、実際にお巡りさんにお世話になったことがない人の中にも、「犯罪行為を行ったことがある」人はたくさんいるということになります。イギリスの非行発達研究によると、なんと男性の94%が「四十代後半までに少なくとも一回の犯罪行為を行ったことがある」と回答しています。なんだが自分の行いを振り返ってドキドキしてきますが、犯罪行為は特定の少数派だけのものではないということなのです。世代によりますが、今の30-40代だと「今思えばあれって違法ダウンロードかもな…」と思い当たる節がある人はかなり多いのではないでしょうか。

たまに聞く「やんちゃしてた」と表現される行為のほぼすべては犯罪行為です。話が少し横道にそれますが、「若いころやんちゃしててね~」と自慢気に昔話をする人が年齢にかかわらずいますが、私はそういう人が大嫌いです。自分の「やんちゃ」という行為で傷ついた人がいることを忘れている愚か者だからです。そういう人が周りにいたら全力で軽蔑していきましょう。

 

年齢犯罪曲線

やんちゃも含めて、犯罪を行ったことがある人のほとんどは、だいたい十代後半とかの思春期にやっちゃってることが多いです。特に男性は、自分の過去を振り返ってみると中高生のときに心当たりがあるのではないでしょうか?これは「年齢犯罪曲線」と言われる犯罪学の大きな発見の一つです。年齢犯罪曲線とはその名の通り「年齢によって犯罪にかかわる可能性が異なる」という普遍的な傾向のことです。人間のほとんどは、思春期から犯罪活動や反社会的行為を起こす可能性が高くなり、十代後半にそのピークを迎えて、そのあとは急速に減少します。この傾向は、文化や人種、性差や時代に左右されないものなので「普遍的知見」と言われます。人類みな、思春期は荒れて、社会人になると落ち着くもんなんですね。

裏を返すと、三十代以降も暴力行為や反社会的行為をとる人は少数派だということです。このあたりは「青年期限定型」と「ライフコース持続型」の説明で詳述します。ただし一つだけ例外があり、ホワイトカラー犯罪に限っては、その性質から初犯が三十代後半~四十代であることが多いです。このあたりの解釈はサイバー犯罪と関連してくるところですね。

ちなみに、犯罪に関しては性差がかなりあります。犯罪の大部分は男性によるもので、女性はごく少数であることがわかっています。女性が行う犯罪行為で一番多いのは詐欺で、全体の4割を占めます。

 

ホワイトカラー犯罪

犯罪の中で異質と言えるものの一つにホワイトカラー犯罪があります。ホワイトカラーという言葉がもはや死語な気もしますが、ここではわかりやすさを重視して従来通りホワイトカラーと呼びます。いわば、知的生産を行っている職業についている人たちによる金銭的利益を目的とした犯罪のことです。会社勤めのサラリーマンによる詐欺行為や法人による粉飾決済などがその例です。

ホワイトカラー犯罪の対極にあるのが「ストリート犯罪」です。窃盗や暴行、器物損壊や不法侵入とかですね。「犯罪」と聞いてまず頭に思い浮かべる犯罪の類です。いわば「警察沙汰になる犯罪」なわけですが、こういった種類の犯罪を行う人は社会的地位が低かったり、貧困層だったりすることが多い傾向にあります。こういったストリート犯罪が被害者にもたらす損害はアメリカで年間約8340億ドル。一方で、ホワイトカラー犯罪は社会的地位が高い人で、収入が高い層で行われることが多く、その被害総額もアメリカだけで年間1.6兆ドルと言われています。ホワイトカラー犯罪のほうが経済的に凶悪と言えます。

しかし、実際に裁判沙汰になったり法執行機関が対応するケースはストリート犯罪が多いんですね。ここが重要で、特定の犯罪の影響が過小評価されているわけです。サイバー犯罪もある種の専門技能を必要とする犯罪行為で、その主たる目的は金銭的利益です。FBIのサイバー犯罪苦情センター(IC3)が発行したレポートによると、2022年のアメリカにおけるサイバー犯罪の想定被害総額はおよそ103億ドルらしいです。飛んでもない数字ですね。サイバー犯罪の社会的影響も間違いなく低く見積もられています。サイバー犯罪者の影響度も同じように過小評価されているでしょう。

 

「青年期限定型」と「ライフコース持続型」

もう一つ、「誰が犯罪が行うのか」を考えるうえで重要な理論があります。デューク大学のテリー・モフィットが提唱した犯罪者の二類型、『青年期限定型』と『ライフコース持続型』です。犯罪者がこの通りに完全に二分化されるわけではないですし、生きている限り犯罪に関わり続ける人間であっても加齢とともに犯罪から離れていく傾向もあります。それでもなお、モフィットのこの二類型は犯罪者の大枠を掴むうえで非常に有益です。

犯罪行為を行う者のほとんどが『青年期限定型』であり、もっとも暴力性や反社会性が顕在化しやすい十代後半をピークとして、その後は犯罪から離脱していきます。それに比べて『ライフコース持続型』は、その名の通り生涯にわたって犯罪を繰り返して生きていきます。つまり、ほとんどの人間が人生のどこかで犯罪行為をしたことがあるものの、ほぼ全員が犯罪から離脱していきます。その中の一握りだけ、ずーっと犯罪と切り離せない生活を行う者がいるということですね。「ライフコース持続型」は少数派ではあるものの、「なぜ犯罪を行うのか」という問いへの答えを探すには絶好の研究対象なので、今でも世間の注目を集めます。しかし、それと同じくらいかそれ以上に、「なぜ犯罪を行わなくなるのか」という問いへの答えも重要です。現代の犯罪学では「犯罪から離脱するのはなぜか」というのも重要なアジェンダになっています。

 

「サイバー犯罪」を行うのは誰か

誰がサイバー犯罪者かを決めるには、何がサイバー犯罪かを決める必要があります。APTを犯罪とみなすのかどうかとか色々ありますが、サイバーハームをもたらすものをすべてサイバー犯罪として考えてみましょう。

まず、サイバー犯罪者と一般犯罪者(≒現実世界で起きる犯罪を行う人)の大きな違いは、そのスキルセットです。不正アクセスやフィッシングなどの詐欺行為を行うには、当然ながら基礎レベル以上のIT知識とハンズオンスキルが必要です。ネットワーク技術だけでも7層ありますし、各層での攻撃手法と対策が異なります。しかもキルチェーン全体で見ると情報収集から目的の達成までに複数の攻撃手法を繰り返し用いるため、自分が手を動かすのであればかなりの腕じゃないと無理です。サイバー犯罪業界も分業制が進んでいるので、犯行の実行者ではなくても犯人になれそうですが、それでも自分がカモられないためにも知識は必要です。まずは犯行実施のための「ITスキル」というハードルがあるので、犯行におよぶ人間は少数派だと言えます。その意味ではSTEM教育のレベルは一つの基準になりそうです。

年齢犯罪曲線がサイバー犯罪にも当てはまるかどうかは不明ですが、おそらくは当てはまらないと思います。サイバー犯罪はストリート犯罪ではないですし、どちらかというとホワイトカラー犯罪に近い条件と動機だからです。また、犯行主体が行為そのものを「犯罪」と認識していない場合が相対的に多いと見られます。APTの場合はそもそも国がその行為を正当化しているし、闇バイトと同じで実行者には詳細が告げられずに、「大丈夫大丈夫!ただのペネトレーションテストだから!」的な感じで伝えられるケースもあるようです。怖えー。国内情勢が不安定な国や、国家作戦領域としてサイバー空間が定義されている国は犯行主体が存在すると考えていいでしょう。

そもそもの立件が難しいために、サイバー犯罪においては主体が誰かという事実をもとにした議論よりも、政治色が強く出ます。また、ストリート犯罪のように公共の福祉や治安の観点で議論されることはほぼありません。しかし、サイバー犯罪でブイブイ言わせているのが投資詐欺やフィッシングなどの手法だということを鑑みると、ゴリゴリのサイバー犯罪者集団という枠だけではなく、法執行機関ときちんと連携して「時代に合わせてデジタル手法を取り入れてきたマフィア」を主体として想定しておくことは重要かと思います。

 

以上、犯罪学シリーズ第二弾でした。最後まで読んでいただきありがとうございました。

ではまた次回。

 

【犯罪学シリーズ①】意外と奥深い「犯罪」の定義

いちおう大学で犯罪学を勉強していたので、犯罪学の観点でサイバーセキュリティを考えてみようシリーズをやってみようと思います。参考文献は日本語で出ているこちらの本。真面目ないい本です。

サイエンス超簡潔講座 犯罪学 | ティム・ニューバーン, 岡邊 健 |本 | 通販 | Amazon

日本では「犯罪学部」というものがそもそも無い(あったとしても授業の一つとかのレベル)ので、仕事をしていても結構珍しがられます。学生のときの専攻分野を活かせるのは幸せです。少しでも皆さんの役に立てば嬉しいです。

 

もくじ

 

犯罪学は意外と地味

本題に入る前に、ちょっと小話。

仕事でも盛り上がるので、初対面の方に自己紹介するときは「犯罪学を勉強してました」と言うようにしています。すると、ありがたいことにだいたい興味を持っていろいろと質問してくれます。ありがたや。そして、だいたい40%くらいの確率で「犯罪心理学やられてたんですね~」と言われます。後日再開したときのこともカウントすると50%くらいに上がります。

その時に訂正するのもなんかイヤらしいし、細かい話をするとお互いに面倒なのでさらっと流すようにしているんですが、犯罪心理学と犯罪学って違うんです。犯罪心理学はそれこそ心理学ですが、犯罪学はどちらかというと社会学に近いかなという感じです。「感じです」というのも曖昧な表現ですが、犯罪学という学問のストライクゾーンが結構広いためにこのような表現になっています。Garland D. (2011) は「犯罪学には明確な理論的対象もなければ、独自の調査方法もない」と言っています。つまり犯罪学は、ざっくりと「犯罪/犯罪者/犯罪被害者」を対象にしつつ、社会学・心理学・統計学・法学などの手法がダイナミックに入り乱れる学問であると言えます。

そして、犯罪学は意外と地味です。「クリミナルマインド」や「羊たちの沈黙」の効果もあり、犯罪心理学はダークな雰囲気を醸し出す知的なイメージや、相手が右手で顎を触ったのを見て「彼は嘘をついている(ドヤ)」的なことができるメンタリスト的なイメージがついているのかもしれません。これも実際の心理学的アプローチとは乖離がありますが、犯罪学はうんざりするほど地味です。コントロール群と比較して統計調査したり、大量の論文をメタ分析したり、事例分析をコツコツしたり。もはや、すさまじいほど地味です。そんな学問に魅力を感じた私です。サイバー犯罪心理学ってあるのかな。

 

犯罪とは「違法行為」のことか?

さて、本題です。犯罪とは何か。これがまた哲学的な問いでして、一筋縄では答えが得られない問いです。「おいおい、犯罪を定義できなくて何が犯罪学だよ」と言いたくなる気持ちもわかりますが、犯罪および犯罪者の定義に慎重になるべき理由が存在します。見てみましょう。

犯罪を定義する際に真っ先に思い浮かぶのは「違法な行為=犯罪」という考え方です。シンプルでいいですよね。確かに、刑法には犯罪の定義が詳細に記されています。しかし、この定義で犯罪学の対象を定めてしまうと、どうしても漏れが出てきます。違法のものしか犯罪として扱わないのであれば、グラフィティ(落書き)なんかは対象外でしょうか?ネット内の誹謗中傷はどうでしょうか?よくよく考えてみると、法律で規定されていない行為でも「それって犯罪だよね?」的なものはけっこうあります。

また、犯罪学という学問の可能性を考えるうえで考慮すべきは「法と道徳は交差する」という点です。伝統的に刑事法では、「その行為自体が間違っているとする犯罪(Mala in se)」と「禁止されているがゆえに間違っているとする犯罪(Mala prohibita)」が区別されてきました。殺人、強盗、強姦、窃盗などは、どの文化でもどの時代でも犯罪とされてきたものの、その刑罰の重さは地域や時期による差がかなりあったりします。

視野を広げると、犯罪は単に法的規範の違反行為ではなく、道徳的・社会的な逸脱行為なのではないか、という考え方が出てきます。この考え方は現代でも大きな影響力を持った考え方です。じゃあ何をもってして逸脱と判断するのかというのも難しいところですが、明確な境目がないからこそ犯罪学の存在価値があるのだと思います。社会的な課題は常に、曖昧な境界から生まれます。それを研究対象から取りこぼしたくはありませんよね。

 

犯罪の「相対性」

犯罪の定義を考えるうえで、もう一つ非常に重要な観点があります。それは相対性です。つまりどういうことかというと、ある行為が犯罪と言えるかどうかは場所と時代と文化によって異なるということです。

わかりやすい例だと「昔は犯罪だったけど今は犯罪じゃない」パターンの行為です。歴史をさかのぼると結構あります。

  • 中絶…イギリスでは1967年まで非合法。
  • 同性愛…アメリカでは2003年の最高裁判決以前は非合法。
  • 混血結婚(異なる人種同士の結婚)…アパルトヘイト政権下で非合法。

結構最近まで犯罪とされてきたことがわかります。あまり実感がありませんよね。あと逆のパターンで「昔は犯罪じゃなかったけど今は犯罪」もあります。アヘン系麻薬の歴史を遡るとエグいです。昔ってバンバン使ってたんじゃん的な。ちなみに、アヘン・モルヒネ・ヘロインは親戚同士です。

そしてもうひとつ。相対性の中に「発達の相対性」という大事な概念があります。いわゆる「刑事責任能力」が問われる年齢の違いのことですね。刑事事件の裁判になると、犯人の年齢によって扱い方が変わります。年齢によって知性や体力の違いは出ますし、社会性や道徳観の差も出ます。大人になると忘れてしまいますが、子供のころの自分はそれなりに残虐だったはずです。学生のころの自分を説教したい人も多いはずです。

ここまで見てきたとおり、犯罪という概念はそう簡単なものではありません。なので、現在の一般的な考えとして、犯罪学の研究対象を「犯罪」から「ハーム(害、危害)」に移すというものがあります。ハームの考え方はこちらにも書いたので読んでみてください。

https://seiuchisecurity.hatenablog.com/entry/2023/04/24/090000

 

「犯罪」の定義を考えることの意味

結局のところ「犯罪とは何か」という問いへのわかりやすい答えはありません。なぜ無いのか?それは、私たちが「犯罪」と呼んでいる行為があまりにも多岐にわかっており、それらには「犯罪」と呼ばれていること以外に共通点がないからです。飲酒運転、薬物使用、売春、なりすまし、詐欺、不正アクセスといったものを、刑事法以外で結びつけるものは見当たりません。これは驚くべきことです。

では、なぜ私たちはそれでも「犯罪」という言葉を日常で使えているのか。それは私たちがある一定のバイアスをもって「犯罪」を認知しているからです。犯罪と聞いたときにまず頭に思い浮かぶ行為はなんでしょうか。おそらく、殺人や強盗などの「非常に凶悪だが発生頻度は低い」ものだと思います。ニュースとかで流れる系のやつですね。しかし現実には、犯罪のほとんどは些細なもの(=ハームがほとんどない)です。万引きや誹謗中傷、違法ダウンロードや交通法違反など…これらも犯罪ですが、刑事法で裁かれない割合のほうが圧倒的に多いです。私たちは犯罪という行為に対して、客観的ではないのです。それを自覚することが、犯罪学の第一歩だと思います。

 

「サイバー犯罪」とは

サイバー犯罪という言葉も同じように解釈がやっかいです。詐欺や窃盗をサイバー的な手法でやりました系の犯罪(= Cyber-Enabled Crime)もあれば、サイバー的な手法でなかればできない系の犯罪(= Cyber-Dependent Crime)もありますし、その複合もあります。特にフィッシングなどの詐欺系のサイバー犯罪の場合は、サイバーの観点からこねくり回すよりも、従来の犯罪のやり方が時代に合わせて変わっただけと捉えて対策を打つほうが効果的かもしれません。残念ながら、詐欺は人間が言語的な動物である以上なくなりません

また、そもそもサイバー犯罪を規定する刑法が圧倒的に少ないです。サイバー空間自体が1960年から徐々に作られてきた新しい世界なので、そりゃそうですよね。もっとも古いものでも1986年に施行されたCFAA(コンピュータ詐欺および乱用法)とECPA(電子通信プライバシー法)です。前者が不正アクセス、後者がプライバシー保護の原型ですね。そして2002年にFISMAが制定されてからは、国同士の作戦領域としてのサイバー攻撃やAPTがハームとして認識されるようになりました。サイバーハームの認知が上がったとはいえ、法律の角度からサイバー犯罪を捉えようとすると局所的になってしまいます。立件が超難しいという点も従来の犯罪とは一線を画すところでしょう。

最後にもう一つ。サイバー犯罪の異質性を一つあげるとすれば「犯罪者の論理が先立つ」ところです。現実世界の犯罪との比較で考えてみましょう。100戸あるマンションがあったとします。その一戸の玄関の鍵が開けっ放しだったとします。現実世界なら、たとえ鍵が開いていてもそこに他人が勝手に立ち入ることは犯罪になります。しかし、サイバー空間であれば、100戸あるマンションの玄関ノブを片っ端から回していって、開いているところがあれば勝手に入ってOKというルールで物事が進みます。たとえ機密データが保管されていても、オープンディレクトリだったら「誰でも見ていい」という意味になります。つまり「守っていないということは、何をしてもいい」という世界です。ウォーキングデッドみたいな世界観ですね。つまり何が言いたいかというと、現実世界とサイバー空間とでは道徳感が全くことなる世界だということです。サイバー空間は「感覚」よりも「論理」の世界だからかもしれません。その話はまた今度。

 

以上、犯罪学シリーズ第一弾でした。最後まで読んでいただきありがとうございました。

ではまた次回。

 

【論文考察】ソーシャルエンジニアリングがなくならないのはなぜか

今回の論文はコチラ。1か月くらい前のニュースで「Amazonがダークパターンで提訴された」と知り、数年前にほんのりと流行った『ダークパターン』を調べてみました。そしたらこの論文に行き着いたので紹介します。ここからわかることをソーシャルエンジニアリングと紐づけて解釈すると面白いと思ったので、今回のタイトルにしてみました。

arxiv.org

Arunesh Mathur, Gunes Acar, Michael J. Friedman, Elena Lucherini, Jonathan Mayer, Marshini Chetty, and Arvind Narayanan. 2019. Dark Patterns at Scale: Findings from a Crawl of 11K Shopping Websites. Proc. ACM Hum.-Comput. Interact. 3, CSCW, Article 81 (November 2019), 32 pages. https://doi.org/10.1145/3359183

 

 

どんな人におすすめ?

企業に勤めるマーケター(特にメルマガやブログ担当者)やセキュリティ教育に携わっている人たち向けの内容です。ダークパターンはUXの話なので、自社ウェブサービスのUX開発者には既知のテーマです。しかし影響範囲はもっと広いです。ネットをこれからも長く利用するであろう人たち全員が知っておく基礎教養レベルの知識でしょう。

特にマーケターは要注意の概念なのでよーーーく覚えておいたほうがいいです。ダークパターンは、一昔前の「優れたマーケティング戦術」が行き過ぎたかたちと捉えて言い過ぎではありません。社会人として長く活躍するためにも、自分の周りの人を犯罪被害から守るためにも、ダークパターンとフィッシングに使われる「認知バイアス」を知っておきましょう。

 

どんな内容?

ダークパターンとは限りなく黒に近いグレーなユーザーインターフェースのことで、オンラインショッピングのUXなどでしばしば議論になるものです。その特徴は、人間の認知バイアスを利用して、ユーザー本人が「よく考えてみれば本当は買うつもりじゃなかった」という行動を誘発するという点です。ダークパターンにもグラデーションがあって、「まあ気を付けて設計しようね」くらいの注意で終わるミディアムグレーUIもあれば、「これは明らかにダメでしょ。詐欺詐欺!」っていうレベルのチャコールグレーUIまで様々です。
この研究はそういったダークパターンの観点で、約11,000件のオンラインショッピングサイトにある53,000件の商品ページをレビューして、ダークパターンを7カテゴリ15タイプに分類しています。この分類がまたなかなかにエモいです。以下に詳しく見ていきましょう。

ダークパターンのカテゴリおよびタイプ(説明、出現頻度、定義を含む)

 

カテゴリは以下の7つです。京都大学/鹿島久嗣さんの翻訳がわかりやすかったので拝借しました。文章の後半は例を示しています。

  1. Sneaking(こっそり型)…オプション商品の追加が最初から☑されている
  2. Urgency(急かし型)…カウントダウンタイマー
  3. Misdirection(誘導型)…「本当によろしいんですか?」的な言い回し
  4. Social Proof(みんなやってるよ型)…「ほかのユーザーが今買ったのはこちら」的なビジュアル
  5. Scarcity(希少性煽り型)…残りあと3個!的なやつ
  6. Obstruction(妨害型)…登録よりも解約のほうが死ぬほど難しい
  7. Forced Action(強制型)…個人情報取り扱いの同意とメルマガ受信の同意が一つのチェックボックスにまとまっている

なんかもう心当たりがありすぎて、とても他人事とは言えません。当時調べたものでも大体10%くらいのサイトでダークパターンが確認されています。妻に話したときも「なんかそういうのあった気が…っていうかそういうのばっかだなあ…」と遠い目をしていました。

 

注目ポイント

そしてセキュリティに関わる方は既にお気づきかもしれませんが、このダークパターンの特徴はだいたいソーシャルエンジニアリングの特徴と一致します。支払期限を明示するランサムノートも典型的な急かし型ですね。ダークパターンもソーシャルエンジニアリングも人間が持っている認知バイアスを悪用しているためです。逆を言えば、自分が持っている認知バイアスをあらかじめ自覚しておけば、チャコールグレーパターンが来ても対処できる確率がちょっと上がるかもしれません。ということで、悪用されがちな認知バイアスを見てみましょう。

  1. アンカリング効果…最初に意識したもの(あるいは目にしたもの)を過剰に重視すること。日常的によく購入する食品(牛乳や卵)が安い店は「顧客のために価格努力をしている」とみなしてすべての商品がお値打ちに感じるようになる。
  2. バンドワゴン効果(Bandwagon)…みんながいいと思うものをいいと思ってしまうこと。勝ち馬に乗ってしまう人間の心理。選挙で「候補者Aが優勢」と聞くとAに投票しがちになる。定番色のコートを買おうとしたが店員に「今年はオレンジが来てるんすよ!」って言われるとオレンジも良く思えてくる。
  3. デフォルト効果…初期設定値に留まりがちなこと。3年前に1回しか使ってないオンラインショップから今だにメルマガが届き続けている。臓器提供の同意率が国ごとに低いところと高いところに完全に二分されているのは、初期値が「同意」なのか否か。
  4. 希少性バイアス…品切れ、期間限定、残り一点などと言われると無性にほしくなること。数が少なかったり入手が難しいものほど価値があると感じてしまう。ケーキ屋さんに行ったときに、残り少ないケーキを買いがち。
  5. フレーミング効果…同じ情報であっても言い回しや焦点の当て方によって意思決定に差が出てしまうこと。「この手術は95%の確率で成功します」と「この手術は5%の確率で失敗します」なのかで印象が異なる。
  6. 埋没費用効果(サンクコスト効果)…「もったいない」という心理。今まで投資を続けてきたものや高価な買い物だったものをなかなか手放せない現象。いったん動き出してしまったプロジェクトをなかなかやめられないのはこれが原因。

認知バイアスは人間にもとも備わっている習性なのでなくすことはできません。どんなに頑張っても目は錯覚してしまうのと同じです。なので、認知バイアスに抗うことはあまり得策とは言えません。それよりも「ああ、これバイアスかかってんな…しっかりしろ、俺。」みたいな感じで自分を客観視することが良いでしょう。自分のことを第三者として認識することの効果は『Chatter(チャッター)「頭の中のひとりごと」をコントロールし、最良の行動を導くための26の方法』に詳しく書いてあるので、ぜひ読んでみてください。

 

感想

「セキュリティの最大の脆弱性は人間だ!」と得意げにいう人がそれなりにいますが、そういう人の大半は、まるでその「人間」に自分は含まれていないかのような話し方をしがちな印象です。人間は予想通りに非合理的です。心理学は人間の非合理的な部分を研究する学問なので、サイバーセキュリティに携わる人たちもある程度は知っておいたほうがいいと思います。ただし、心理学の中には大衆心理学と言われる「根拠は乏しいがキャッチーな言説」がとても多いので、そっち側に堕ちないように注意しましょう。

 

最後までお読みいただきありがとうございました。ではまた次回。

 

おわり

 

【ブログ考察】”Best-of-Breed” は今の時代の最善策なのか

今回のテーマは「セキュリティツールはベスト・オブ・ブリードで選ぶべきか否か」です。紹介するのは「CISO Mindmap 2023」です。サイバーセキュリティ界隈では有名なものなので知っている人も多いかも。

rafeeqrehman.com

 

どんな人におすすめ?

セキュリティアーキテクトなどのアーキテクチャやデザインを担う人向けの情報です。CISOや情報セキュリティ責任者も知っておくべき内容ですが、どっちかというとSIerなんかの立場の人が知っておくと日本市場的には一番いいかもしれません。

ベスト・オブ・ブリードという考え方はIT業界だと結構当たり前に使われている概念で、いわばシステムを作るときは「オールスターチーム作ろうぜ」的な発想でセキュリティツールを選定するやり方です。エンドポイント保護ならどれがいいか、IPSならどれがいいか、といったかたちで各ポジションで一番優れたヤツを選ぼうという考え方ですね。それと対になるものが「ベスト・オブ・スイート」という考え方で、システムをマルっと一つのベンダーのパッケージでまとめちゃおうというやり方です。セキュリティ責任者の立場だと、どっちの方針に重きを置くかは結構大事な選択になりますし、まあぶっちゃけ「時と場合による」が答えだとは思うんですが、私としては「少なくともベスト・オブ・ブリードの限界を深く考えるべき時期が来たのではないか」と思います。その理由を見ていきましょう。

 

どんな内容?

CISO Mindmapはセキュリティ研究者のRafeeq Rehmanさんが2012年から毎年出している有名コンテンツで、その名の通りCISOが仕事として知っておくべきものをマインドマップ形式で表現しているものです。めっちゃ細かいですがよくまあここまでMECEに作っているなあと感心してしまいます。LinkedInでも今年分だけで1700いいね!&120を超えるコメントがついているので、多くの人が注目しているブログです。

CISO Mindmap 2023には「CISOへの推奨事項」として以下の6つが言及されています。カッコ内は筆者訳。

  1. Increase Attention on Resilienceレジリエンスへの感度を高めよ)
  2. Reduce and Consolidate Security Tools(セキュリティツールを削減・統合せよ)
  3. Build a Brand for Security Team(セキュリティチームをブランド化せよ)
  4. Untangle Application Web of Components(アプリケーションの中身をちゃんと知っておくべし)
  5. Build Expertise in Emerging Technologies(新技術の専門知識も持っておけ)
  6. Create a Security Automation Role(セキュリティ自動化の役割を作れ)

どれも正しすぎる。そしてどれもやろうとすると難しい。難しいってだけで実現不可能ではないのが素敵です。

 

注目ポイント

その中でも特に目を引いたのが 2. Reduce and Consolidate Security Tools(セキュリティツールを削減・統合せよ)です。以下に引用します:

Reduce and Consolidate Security Tools –

More security tools don’t necessarily reduce risk but do add the need for maintaining expertise on security teams. While deciding which tools to keep or retire, think about functionality overlap, future direction, innovation on the part of vendors.

セキュリティ・ツールの削減と統合

セキュリティ対策ツールを増やしても、必ずしもリスクが低減するわけではないが、セキュリティ対策チームの専門知識を維持する必要性が増す。どのツールを維持または廃止するかを決定する際には、機能の重複、将来の方向性、ベンダー側の技術革新について考慮する。(著者訳)

ベスト・オブ・ブリードというのはもともと「点の防御力を挙げれば全体の防御力もあがる」という発想に基づいています。境界防御のアーキテクチャで、ゲートウェイをセキュアにしておけば9割がたの脅威は怖くなくて、セキュリティコントロールの種類も数も限られていた時代では正しい戦略だと思います。

しかし、DXが進んでアタックサーフェスが広がっている昨今では、「点の防御力」よりも「面の統合力」のほうが全体の防御力を左右する重要な変数なのではないか。昨今の脅威傾向(というより攻撃者側の考え方として)は、穴を開けるよりも穴が開いているところから入るほうが断然楽だしチャンスも多いので、点の防御力を高めても以前より効果が薄くなっています。そしてデジタル資産が増えるにつれてその点に対応するセキュリティツールも入れているので、あっちゃこっちゃにセキュリティセンサーがあるわけです。そしてコンソールも違えばプロトコルも微妙に違う。そして当然ベンダーも違ってくるわけなので窓口も違う。間にインテグレーターが入っていたとしても、インテグレーターも同じ悩みを持つので、だいたいどこも考えることは「パッケージ化してそれには正規のサポートを付ける」とかそういう系のサービスを建付けです。

そうなるといよいよ、会社全体で考えたときに"Best-of-Breed"ってコストかさむんじゃないか…という疑問が出てくるわけです。2019年のRSACでも「大企業では130以上のセキュリティツールを入れてる」という話がありましたし、IBMのレポートにも「インシデント対応時には数十のツールを使っている企業が多い」という言及がありました。お客様と話していても、現場担当者や技術好きの責任者だと"Best-of-Breed"にこだわる傾向が強い気がします。それぞれの担当分野(エンドポイントとかネットワークとか)があるので、点を強めたいという考えは当然です。でも局地的な正解が全体として間違っているときも往々にしてありますし、昨今のセキュリティ事情を鑑みると「点より面」の効果&効率がセキュリティの成否を左右するのではないでしょうか。なので、今年から来年にかけては、"Best-of-Breed"から"Best-of-Platform"に転換する企業が増えることを願います。

 

感想

オープンであるとは自由であり、自由であるにはコストがかかる。ここ2年くらい強く感じることです。商用でオープンソースが流行りみたいになったときもそうですが、だいたいは初期費用が抑えられるので多くの人が食いつき、運用してみると自分たちでしなきゃならんことが増えて結局運用されずに終わるというケースが一番避けたいパターン。

特にセキュリティは日々の習慣で成り立っているものなので、CAPEXよりもOPEXがものを言います。「自由は与えられるものではなく勝ち取るものだ」という認識が、日本ではひどく希薄だと思います。オープンでありたいなら、相応のコストは覚悟しましょう。

 

最後までお読みいただきありがとうございました。ではまた次回。

 

おわり

【論文考察】CVSSは誤用されている

今回は、サイバーセキュリティ研究のトップ大学であるカーネギーメロン大学 Software Engineering Institute から、2018年12月発表の有名な論文を取り上げます。

「CVSSは広く誤用されている(原文:The Common Vulnerability Scoring System (CVSS) is widely misused)」という文から始まる論文らしい論文です。

resources.sei.cmu.edu

 

 

どんな人におすすめ?

まんまですが、システムの脆弱性管理/運用を担っているセキュリティ従事者におすすめです。あとは、メーカーやセキュリティリサーチ組織などの脆弱性に関する情報共有をする人も知っておいたほうがいい内容です。

とはいえ、脆弱性管理やCVSSはサイバーセキュリティ業界にいる限り避けて通れない話題なので、業界人はセキュリティ論文の有名どころとして一読しておくのがよいかと思います。8ページと短いですし、特別な技術的知識も不要です。

ちなみに、最近CVSSのバージョンが3.1から4.0に更新されました。4年ぶりの改定かつメジャーバージョンアップなのでけっこう変更点があります。詳細はこちらでチェック。

 

どんな内容?

CVSSのスコアだけを当てにして脆弱性トリアージやリスク評価をすると痛い目見るぞという内容です。シンプルかつ強烈な主張です。衝撃ですよね。

CVSS=Comon Vulnerability Scoring Systemは、日本語だと共通脆弱性評価システムと訳されています。その名の通り、あまたのソフトウェア脆弱性を共通の評価システムでスコア付けして対策しやすいようにしようというというのがCVSSです。スコアは10点満点で、スコアが高いほど深刻な脆弱性を意味します。管理母体はFIRST(Forum of Incident Response and Security Team)で、2005年のVersion 1の発表以来、改善を繰り返してきました。現行は2019年に公表されたVersion 3.1ですが、2023年11月から4.0が正式公開されています。

そんなCVSSのスコアを見て、脆弱性の深刻度を評価している人も多いと思いますが、それをそのまんま脆弱性管理に適用すると適切な判断を下せない、というのが全体の主張です。要は、脆弱性とリスクをごっちゃにするなよということです。脆弱性があるからと言って、そのままリスクに直結するわけじゃないよ的な。CVSSはあくまでも脆弱性の技術的な深刻度を表しているものであって、リスクの度合いを表しているわけではないということですね。

 

注目ポイント

さらに著者たちは、論文の中でCVSSの問題点を3つ指摘しています。

  1. CVSSは文脈を考慮していない。どんな場面で脆弱性が悪用されるかによって、その深刻度は変化します。例えば、共有ライブラリに脆弱性があった場合、そのライブラリを利用するプログラムはその脆弱性の影響を受けます。しかし、プログラムが入力をサニタイズするかや、どんなタスクや関数をコールするかで深刻度は変わってきます。
  2. 脆弱性が最終的に引き起こす結果を考慮していない。例えば、自動車の自動運転制御や原子力発電システムなどに悪影響を及ぼしうる脆弱性は、単純にITシステムが止まってしまうだけのものよりも深刻です。そのような最終的な結果の影響度まで勘案されていないのは問題です。
  3. スコアリングの信頼性が低い。これは、脆弱性の深刻度を数値化する数式の理論的根拠が乏しいことに加えて、セキュリティのプロたちに同じ脆弱性の深刻度をスコアリングさせてみると±2.0くらいのばらつきが出たことが理由です。深刻度が8.0のものを、6.0くらいという人もいれば10.0だという人もいるということです。結構ばらつきがありますね。

 

感想

この論文の主張自体は鋭くて好きですが、実際にサイバーセキュリティの現場ではCVSSスコアはよく使われる基準ですし、有用であることは間違いないと思います。ただ、深刻度が高い脆弱性にはもちろん注意しますが、FortinetのVPN脆弱性がまだまだ悪用されることを見ると、深刻度よりも目を向けるべきところがありそうです。

むしろこの論文での主張は、セキュリティベンダーなどのセキュリティで商売している側が胸に刻むべきだと思います。CVSSスコアの高い脆弱性に注意を向けることは悪いわけではないですが、今の時代、情報の発信側よりも受信側のほうがコストがかかることが多いということを覚えておきましょう。

 

最後までお読みいただきありがとうございました。ではまた次回。

 

おわり

【論文考察】サイバーテロへの恐怖と報道の関連性

今回の論文はコチラ。2023年3月発行のInternational Journal of Cybersecurity Intelligence and Cybercrime からの論文です。サイバーテロへの恐怖と報道の関連性を調べています。

Bastug, M. F., Onat, I., Guler, A. (2023).
International Journal of Cybersecurity Intelligence and Cybercrime, 6(1), 29-44.

 

 

どんな人におすすめ?

新聞やニュースといったメディアからサイバー防衛関連の情報を得ることが多い人向けです。どっちかというと、セキュリティ業界の外側にいる人に知ってもらいたい内容なんですが、そもそも「International Journal of Cybersecurity Intelligence and Cybercrime 」という論文誌に載っている時点で残念ながら一般向けじゃないですね。なので、これを読んだ方は是非ご家族に教えてあげてください。

最近はYouTubeなどでもいろんな番組があって、研究者やらアイドルやらタレントビジネスマンやら入り乱れて政治とか軍事について議論していたりします。かくいう私も結構好きで見ています。無差別級の論舌バトルがエンタメとして作られているので観ていて面白いです。

ですが、問題は人間はとても影響を受けやすい生き物だという点です。面白いだけなら何の問題もないんですが、自覚なしに受けた情報に影響を及ぼされるもんなので、「ああ自分いま何かしらの影響受けてるかもな」的なメタ認知が身を助けます。そんなメタ認知のきっかけを提供してくれるのがこの論文です。人間のメタ認知能力万歳!

 

どんな内容?

この研究は以下の二つを題材にしています:
  1. サイバーテロへの恐怖に対するニュースメディアの影響アメリカの成人を対象とした全国調査を用いて、地方紙や全国紙の閲覧がサイバーテロへの恐怖にどのような影響を与えるかを探る。
  2. サイバーテロがメディアにおいてどのようにフレーミングされているか:米国の活字メディアがサイバーテロをどのように捉え説明しているかを探る。

サイバーテロに関する研究は90年代後半にまで遡り、2000年代初頭に学術的に注目されるようになって、その後さらに増加しました。同時多発テロの影響もあってか「テロリズム」という言葉の重みが500倍くらいになったのは間違いありません。初期の文献を見直すと、サイバースペースをテロ活動の戦力増強装置とみなしてデジタル脅威の可能性を予測する学者がいる一方で(Benson, 2014; Denning, 2013; Rudner, 2016)、サイバーテロに対して懐疑的なアプローチをとって特にメディアによって脅威が誇張されていると主張する学者もいました(Debrix, 2001; Weimann, 2004, 2005)。それから2010年代にかけて議論が進み、ついには「マスメディアってサイバーテロとハッキングの区別すらあんましてなくね?」という話が上がってきました。その歴史的な流れもあり、この研究の論点が定まったようです。

まずは「マスメディアに触れるほどサイバーテロへの恐怖が増すのか」について。調査では1,190人の参加者から回答を得ており、データは2018年に収集されています。全国(この場合はアメリカ)を代表するサンプルを提供するために、2017年の国勢調査局の人口動態調査と一致するように、主要な人口統計(年齢、性別、学歴、人種/民族、国勢調査地域)のバランスをとっています。分析の従属変数は「サイバーテロに対する恐怖」で、1(怖くない)から4(非常に怖い)までの4項目のリッカート尺度に基づく調査質問で測定しています。
二変量解析の結果、10個の独立変数のうち2個がサイバーテロへの恐怖と有意に相関している結果が出ました。その二つとは以下です:
  1. 新聞をよく読む人ほど、サイバーテロに対する恐怖心が強い。
  2. 年齢が高い程、サイバーテロに対する恐怖心が強い。

もう一つ面白い発見として、恐怖心と学歴に負の相関がみられました。捨てたもんじゃないぜ学歴!(学歴というか教育か)。

情報の抽象度が高いので推測の枠を出ませんが、サイバーテロについての記事だったらハッピーな内容とは程遠いはずですし、同じような情報に接するほどそれに影響を受けてしまうことは責められません。人間だもの。ザイオンス効果ですね。年齢は実施のタイミング次第な気がします。今のご高齢の年代だと「サイバー」って聞くだけで謎ですもんね。得体の知らないものに対峙すると不安を感じるのが普通なので、これらの結果は直感的にも「まあそうだよね」という感じです。

 

注目ポイント

注目はもう一つの分析です。メディアがサイバーテロをいかにフレーミングしているかについて。この研究では、2016年6月1日から2021年6月1日までに発行された米国の新聞の社説およびニュース欄で、「サイバーテロリズム」、「サイバーテロ」、「サイバーテロリスト」、「サイバーテロリスト」という単語が使われた記事を定性的に分析しています。面白い点がいくつかあって、最初に抽出された212個の記事のほとんどが映画や本のレビュー記事の類だったらしく、最終的な分析に残ったのが75個だったということ。サイバーテロは人間の想像力を掻き立てるワードのようです。フィクションが先立っている分野だけに、サイバーテロに対する認知はそのバイアスがかかっていそうですね。

そして、定性分析の結果が以下です:

  1. サンプルの3分の1以上の記事が、サイバーテロを深刻に受け止めるべき新たな脅威としている。
  2. もう一つの顕著なテーマは「行政的な枠組み」で、政策提言、予算問題、サイバーセキュリティ戦略について論じている。中でも重要インフラに対するサイバー脅威に重点を置いている。
  3. メディアが言及するサイバーテロリズムは一般的に、テロ集団によってのみ実行されるサイバー攻撃を指すような枠組みにはなっていない。サイバーテロリズムを定義する際、加害者ではなく、攻撃の種類が主な決定要因となっている。
もっとも注目すべきは3でしょう。メディアがサイバーテロの概念をどのように定義し、形成しているかという点が重要です。本来テロリズムとは、その攻撃主体であるテログループから出現しているというのが前提にありますが、ほとんどの記事でのサイバーテロリズムという用語は、テログループによるものだけでなく他の敵対者によるサイバー攻撃全般を定義するために使われています。APTやサイバー犯罪者も含まれる感じですね。攻撃の動機や意図よりも、サイバーという手法に焦点が当たっていて、自国に何らかの悪影響があるものを一括りに論じている可能性があります。これは読む側にも注意が必要ですね。

 

感想

今回のテーマは「サイバーテロリズム」でしたが、サイバーの前にそもそも「テロリズム」って日本人の感覚からするとどういうものなのだろうかという点に立ち返りました。地下鉄サリン事件は世界的にも悲劇として知られているテロです。アメリカに留学していたときの犯罪学の授業でも、サリン事件が学ぶべき事例として出てきていたほどです。テロリズムは強いイデオロギーや正義が実行動機になっているので、アメリカなどに比べると宗教的、政治的な多様性が低い日本ではそもそもの感度が違うのかもしれません。

間違いなく何も起きないことが一番です。でも、何かそれっぽいことが起きた時に「YesかNoか」「右か左か」「正義か悪か」のような単純な二項対立や極論に振り回されないように、思考のグラデーションを作れる知識は、事前に取り入れておきたいものですね。

 

最後までお読みいただきありがとうございました。ではまた次回。

 

おわり

 

【論文考察】オンライン詐欺に引っかかりやすいのは高齢者なのか

今回の論文はこちら。サイバーセキュリティ研究ではなく、犯罪学の一分野としてのサイバー犯罪被害の研究です。テーマは「高齢者とオンライン詐欺」。超高齢化社会を迎える日本としては避けて通れないテーマです。

Parti, K. (2022). “Elder Scam” Risk Profiles: Individual and Situational Factors of Younger and Older Age Groups’ Fraud Victimization.
International Journal of Cybersecurity Intelligence & Cybercrime: 5(3), 20-40.

もくじ

 

どんな人におすすめ?

セキュリティベンダーや商社で、特に個人消費者向けにマーケティングをやっている人に読んでもらいたい内容です。どこの会社も似たり寄ったりだと思いますが、情報技術にも詳しいマーケティング担当者は結構レアです。数学や統計学にも詳しいマーケティング担当者も結構レアです。だからこそ、今回の論文みたいにカイ二乗検定を使って統計的な差異をあぶりだす調査は頻繁にチェックしておいたほうがいいと思います。インターネットの発展で情報の非対称性が昔よりも薄れたとはいえ、大半の消費者はちゃんとした会社が出している情報を素直に受け入れます。だから、発信する側も客観性を磨いていく必要がありますね。

 

どんな内容?

高齢者がオンライン詐欺に遭いやすいのかを統計的に分析してみたら、非高齢者とそんなに大差無かった、という話です。だけど「オレオレ詐欺(英語だとGrandparent fraudと言います)」だけは高齢者が被害に遭いやすいという結果でした。なんでオレオレ詐欺なのかの洞察がエモいので後述します。

研究方法は、アンケート調査の結果を統計分析して有意差を検証するという王道のやり方。サンプル数は2,558人。全員アメリカ在住。今回の考察対象となる主たる変数は「年齢」ですが、他にも人種・性別・学歴・生活環境・雇用状況も属性として分析しています。

そしてもう一つ、この研究の一番の特徴は、犯罪学の二大理論である『犯罪の一般理論(Gottfredson & Hirschi, 1990)』と日常活動理論(Cohen & Felson, 1979)』をどれだけオンライン詐欺犯罪に適用できるのかを検証しているところです。以下にざっくり説明しますが、だいぶ端折っているので各自で調べてみてくださいまし。

『犯罪の一般理論』は、端的に言えば「個人が犯罪に至る原因は低い自己統制力にある」とするものです。これだけ書くといろんな誤解を招きそうですが、犯罪という社会現象を説明する一貫性のある理論です。もう一つの『日常活動理論』のほうがまだポピュラーかも。英語ではルーティン・アクティビティ・セオリーと言って、犯罪機会論の一種です。犯罪機会論というのは「人間は誰でも犯罪を犯す可能性があり、実際に犯罪実行に至るかどうかは実行機会があるかどうかで決まる」という考え方です。日常活動理論は、①動機づけられた悪いやつ、②標的になりえちゃう人、③有能な守ってくれる人/モノの不在という三つの条件が重なったときに犯罪は起きると解釈します。情報セキュリティの考え方とも相性がいいので、覚えておくと便利&かっこいいです。

そして問題は、オンライン詐欺という犯罪でも本当にそうなのかということ。ちなみにこの研究で採用したオンライン詐欺のシナリオは、FBIの「高齢者詐欺」レポートから採用していて、個人情報詐欺、ITサポート詐欺、オレオレ詐欺、企業なりすまし詐欺、前金詐欺、ロマンス詐欺が含まれています。

 

注目ポイント

いくつかの注目ポイントがあるので以下に列挙します。

  1. 年齢に関係なく、低い自己統制力と犯罪被害への遭いやすさに有意な相関があった。犯罪の一般理論をサポートする結果。
  2. ただし、オレオレ詐欺だけは自己統制力とは関係なく、高齢者が被害に遭う傾向がある。これは、オレオレ詐欺が成立するための最大の要件が、被害者側の愛情の強さにあるから。←ここがエモい。
  3. コンピュータテクノロジーに詳しくても詐欺犯罪の被害者となる確率は下げられない。詐欺犯罪は心理的脆弱性を悪用するので、技術的な知識は関係ない。
  4. オンラインに費やす時間が長すぎたり、さまざまなオンライン活動(ソーシャルメディアインスタントメッセンジャー、電子メールサービスなど)への関与が高かったりしても、オンライン詐欺に遭いやすいというわけではない。

一口にオンライン詐欺と言っても、被害者側の自己統制力に左右されうる性質のものなのか、オレオレ詐欺のように被害者側の人間らしい側面を悪用されてしまう性質のものなのかで、対処方法が変わってくるということは強く認識しておくべきです。オンライン詐欺全体の統計的な傾向で見ると若年層のほうが危うさを感じます。4の結果も加味すると、被害に遭わないためには、時間的な調整ではなくて、正しい教育と知恵の使い方が大事なのかなーと思います。

 

感想

いま流行りのChatGPTに「世界の宗教に共通している守るべきルールを教えて~」と問いかけてみたところ、以下のような答えが爆速で返ってきました。

  1. 神や他者への敬意を表すること
    多くの宗教では、神や神聖なもの、そして他者に対して敬意を表すことが重要視されています。たとえば、キリスト教イスラム教では、神への信仰と神に対する敬意が重要視されます。また、ヒンドゥー教や仏教では、他者に対する敬意と思いやりが大切であるとされています。

  2. 人や動物の命を大切にすること
    多くの宗教では、人や動物の命を尊重し、大切にすることがルールとされています。たとえば、キリスト教イスラム教では、殺人は禁止されています。また、ヒンドゥー教や仏教では、生命を尊重することが強調されます。

  3. 盗まないこと
    多くの宗教では、盗みは禁止されています。たとえば、キリスト教十戒には、「盗んではならない」という条項が含まれています。同様に、イスラム教でも盗みは罪とされています。

  4. 嘘をつかないこと
    多くの宗教では、嘘をつくことは禁止されています。たとえば、キリスト教では「偽証を立ててはならない」とされています。同様に、イスラム教でも嘘をつくことは許されていません。

宗教の奥深さにもChatGPTの有能さにも、ため息がもれます。人類もAIもすごいぜ。

でもそんな人類の中には、他人への敬意ゼロ・盗む気満々・嘘しかついてないの三拍子を兼ね備えた詐欺犯罪に及ぶ輩がいます。私たちの道徳に喧嘩を売ってますね。そんな連中に負けないためにも、知的に武装していきましょう。

 

最後までお読みいただきありがとうございました。ではまた次回。

 

おわり

 

※ 論文からの引用は発行元の規則に則っています。