今回はこちら。重要インフラセキュリティの研究機関の雄、アイダホ国立研究所（INL: Idaho National Laboratory）からの論文です。論文と言っても「ハーバード・ビジネス・レビュー（HBR）」掲載のものなので、学術的な研究成果の発表というよりは、実務家向けに柔らかくした内容になっています（HBRの位置づけについては入山章栄先生の「世界標準の経営理論」を参照）。国家の存続を左右するレベルの「重要インフラ」を守るという観点からサイバーセキュリティを知ることができる論文です。
Dean Parsons, SANS Analyst Program
もくじ
どんな人におすすめ？
重要インフラのサイバーセキュリティに係る全ての人向けの内容です。本当の意味での「重要インフラ」とは何かを考えるきっかけになるところが、この論文のいいところです。というのも、この論文の著者はアイダホ国立研究所（INL）の人。ここがポイントです。実はINLは、もともとはアメリカ国立の原子炉試験場でした。
INLが産業制御システム（ICS）がサイバーセキュリティリーダーとしてアメリカを中心に影響力があるのは、その歴史的な役割のためです。マンハッタン計画で生み出された原子爆弾は、第二次世界大戦で凄惨な悲劇をもたらしました。アメリカ政府はその後、極微量のウランが秘める膨大なエネルギーを何とか活かそうと、鉄道インフラを持ちつつも人里離れた場所を研究開発場所として探し、アイダホ州に行き着きました。そこに国立原子炉あ験場が設けられ、のちにINLとなるわけです。なので、一口にICSセキュリティと言っても、INLは「原子炉」という超スーパーミラクル重要なインフラを守るというミッションを持って生まれているため、極度に安全性を重んじる文化と制御の理論と実務を発展させようという気概がほかの組織と一味違います。そこも踏まえて読むとわかりみが増します。
どんな内容？
重要インフラを守る唯一の方法は「極力インターネットにつながない」ことである、というのがINLの主張です。いやー、マジか。言っちゃったよ遂に。
「…えっ？はっ？マジで？元も子もないじゃん。何言ってんのコイツ。ってゆーかそれ言ったらおしまいやんけ」と思った方もいるでしょう。確かに、民間のサイバーセキュリティの感覚からするとおかしいと感じます。だって、サイバーセキュリティはビジネスの利益や利便性の多くを犠牲にしてまで実施するものではないという前提があるからです。でも、原子炉のように「一回でも事故が起きると世界が終わる」というレベルの話になってくると、何が何でも「フェイルセーフ」が必要になります。リスクマネジメントでいうところの『回避』が重視される領域ですね。
この論文全体を通じての主張は「サイバー空間に完璧な防御策がないならば、完璧を目指す人たちはサイバー空間にいるべきじゃない」というものです。めちゃくちゃ当たり前のことを言っていますが、とても大切な前提です。サイバー空間において100%完璧な防御策はありません。どんな手を尽くしても必ず見落としや未知の脅威が生まれます。なので、1回のミスが命取りになるような現場では、サイバーセキュリティではなく物理的なセキュリティ対策が有効です。
注目ポイント
この研究の一番のハイライトは「サイバー衛生の限界」を提示したところでしょう。サイバー衛生の具体的な手法は以下を指します（論文から引用）：
最初に断っておくと、サイバー衛生の実践はリスクを低減するうえで非常に重要です。やらないよりもやったほうが絶対にいいです。この論文での著者の主張は「限界がある」という点です。どんなにサイバー衛生を完璧に行っても、APTに代表される標的型攻撃や、理論的には防御策皆無のゼロデイ攻撃に対しては、攻撃の速度を緩めるのがやっとです。まあそれはそれで意味があるんですけど。ストレートにはあんまり聞きたくなかったことを「企業が受け止めるべき現実」として提示しています。ここで思い出してください。これを書いたのは原子炉のセキュリティを考え続けているINLの人です。重要インフラを守るとはこういうことなんだろうなあ。
確かに現実として、サイバーセキュリティに巨額の投資をしている大企業であっても、サイバー攻撃の被害に遭っています。サイバーセキュリティ業界の人で「これさえやっておけばサイバーセキュリティは大丈夫」と考えているヤツはいないでしょう。だからこそINLは、物理的な分断を含めた対抗策としてCCE（Consequence-driven Cyber-informed Engeneering）を開発したわけです。新たな観点が得られるので、セキュリティソリューションを提供する立場の人は読んでおくといいと思います。
感想
この論文を読んで、「サイバーセキュリティってつくづく人間の健康管理に似てるなあ」と改めて思いました。健康ネタのテレビとかを見ていると、最終的な「健康を保つ秘訣」は大体一緒です。『適度な運動、バランスの良い食事、十分な睡眠』、この三つです。問題は、この三つをやり続けてもコロナに感染するときはしちゃうということです。さらに言えば、この三つをやり続けること自体が超絶難易度が高いという事実。サイバーセキュリティって、現代人が健康的な生活を送るくらい難しいことなのかも知れません。あと、アメリカにおける「重要インフラ」の概念が日本のそれとは全く別物だということも再認識しました。
なんだか全体を通してネガティブなバイブスを提供しているだけの論文に見えますが、そんなことありません。サイバーセキュリティの可能性を広げてくれている論文です。CISSPのテキストとかでも言及されているとおり、セキュリティというのはデジタルと物理の総力戦です。サイバーセキュリティ専門家も、絶対に物理セキュリティのことを知っておいたほうがいいです。そのほうが、最終的に正しい答えにたどり着けます。重要インフラにはほぼ確実に物理設備が伴うので、当たり前っちゃ当たり前ですね。
最後までお読みいただきありがとうございました。ではまた次回。
おわり
