お役立ち情報 増大する脅威に対応できる人材が確保できない！
テレワーク化やDX進展の裏で急増しているサイバー攻撃
コロナ禍に伴うテレワークの拡大や、企業競争力強化を目指したデジタルトランスフォーメーション（DX）の進展によって、私達のビジネスは着実にITへの依存度を増しています。すでにこの2年間で「もはやIT無しでビジネスを遂行することは難しくなっている」と感じている人も増えているのではないでしょうか。もちろんテレワークやDXの推進は、ワークライフバランスの改善や生産性の向上、新たな顧客体験や従業員体験の実現という意味で、歓迎すべきことだといえます。その一方でITに対する依存度の上昇は、新たな課題を突きつける結果にもなっています。
それはサイバーセキュリティ上の脅威が急増しており、その影響範囲も大きくなっているということです。
これが日本でどの程度深刻なものになっているのか、2020年12月に総務省のサイバーセキュリティタスクフォースが公開した「サイバー攻撃の最近の動向等について」を参照してみましょう。
まず「サイバー攻撃の脅威の増加」に関しては、2020年4月以降に受けたサイバー攻撃が「増加した」が33.8％となっており、「減少した」の5.9％を大きく上回っています。またこれは少し古いデータになりますが、不正アクセス行為の認知件数は2018年の1,486件に対して2019年には2,960件へとほぼ倍増、フィッシング届出件数は19,960件から55,787件へと、3倍近くに増えています。
サイバー攻撃の脅威が高まっていることは、他の資料からも伺えます。2021年8月にチェック・ポイント・ソフトウェア・テクノロジーズが公開した「CYBER ATTACK TRENDS 2021 Mid Year Report」によれば、企業・組織へのサイバー攻撃は世界で29％増加しており、比較的増加率が低いアジア太平洋地域でも13％の増加となっています。なかでもランサムウェア攻撃は93％増となっており、サプライチェーン攻撃も巧妙化していると指摘されています。
また国内企業の調査では、デジタルアーツが2021年9月に「2021年上半期国内セキュリティインシデント集計」を公開しています。これによれば2021年上半期の国内セキュリティインシデント数は、前年に比べて1.35倍になっていると指摘されています。
このようなサイバー攻撃の増大はもちろん大きな問題なのですが、日本ではそれ以上に深刻な問題が存在します。それはセキュリティ対策に必要な人材が、圧倒的に不足しているということです。
世界的に見ても遅れている日本のセキュリティ人材育成
ここでもう一度、先程の総務省の資料を見てみましょう。「セキュリティ対策に従事する人材の充足状況」を日・米・シンガポールで比較したデータがあります。これによれば米国の充足度が80.5％、シンガポールの81.7％に対し、日本ではわずか9.0％に過ぎません。世界的に見て日本が「圧倒的に遅れている」ことが見て取れます。
もちろんこのことに対する危機感も高くなっています。「今後投資を要するセキュリティ対策」として、「サイバーセキュリティ人材の育成」が56.2％とトップになっているのです。
しかしセキュリティ人材は、一朝一夕で育成できるものではありません。日本にはそのための教育プログラムが十分でない上、多くの一般企業もITの専門スキルを長い間ベンダーに丸投げしてきたという状況もあります。そのためセキュリティを教える人材ですら、確保することが困難な状況だと言えます。
参考までに、お隣の韓国の状況を見ておきましょう。ここでは2016年5月に「K-ICT戦略2016」が公表されており、その中に「サイバーセキュリティ人材養成総合計画」が含まれています。その内容には、5年間でサイバーセキュリティ専門家の精鋭7,000人を養成するため、小中学校でサイバーセキュリティ教育を受けさせることが盛り込まれています。サイバーセキュリティ人材を育成するには長期間必要になることが、明確に意識されているのです。
それでは日本の企業や組織は、増え続けるサイバー攻撃に対して、手をこまねいていることしかできないのでしょうか。決してそうではありません。人材が十分でないのであれば、それを補完する手段をうまく活用すればいいのです。その1つとして最近注目が高まっているのが、AIの活用です。なかでもディープラーニング（深層学習）を活用したセキュリティ製品は、人材不足を補う上で大きな威力を発揮することが期待できます。
そのようなセキュリティ製品の1つとして挙げられるのが「Deep Instinct」です。これまで対処が困難であった未知の脅威を、ディープラーニングにより作成された予測モデルを使うことで、高い精度で検知・予防できます。予測モデルは、これまでに蓄積したマルウェアや正規のアプリケーション、インターネット上でやり取りされる膨大なファイル、第三者機関から提供されたものなど30億以上のファイルを独自にラベリングした上で学習したものです。これまでも機械学習を利用するものもありましたが、「特徴量」を人が教える必要があり、人間の検知力を超えることはできませんでした。一方、Deep Instinctが利用するディープラーニングは「特徴量」をAI自ら見つけだすため、人が気付かない僅かな特徴も高い精度で検知できるほか、誤検知が少ないもの特徴です。これによりインシデント対応にかかる工数を削減することができます。
セキュリティ人材を確保できない、と悩んでいる企業や組織は、まずこのようなAIを活用したセキュリティ製品の導入を検討すべきでしょう。もちろん長期的には人材の育成は必要ですが、育つまでのあいだの有力な防御手段になってくれるはずです。
