の回答・AIによるまとめ
回答者は、未知の脆弱性の発見、開発側の修正公開、利用側の適用に時間差があると整理した。古い機器や危険とみる中国製機器が放置される点も挙げた。
脆弱性の3つのタイムラグ
稼働停止とテストが必要なことが、パッチ適用を遅らせると説明した。公開済みパッチが対象とする脆弱性でも、適用前の期間に攻撃されると被害につながるとみている。
システムは24時間365日連続稼働が基本で、もしパッチを適用する場合は、停止してテストが必要となります
企業には、まず応急処置として最新パッチの適用と、脆弱な通信機器・ソフトウェアの調査を求めている。機器交換によって脆弱性を排除することも対策に含めている。
早急にシステムを停止して、最新パッチまでを全て適用
継続的な対策では、防御側AI、DevSecOps、冗長化を挙げた。国、関連組織、ベンダーが具体的事例の分析結果と対策を共有するよう求めている。
具体的事例の分析結果や対策を横展開すべし‼️
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
ご専門や現在のお立場に最も近いものを教えてください。
開発者・その他
最近、大規模な情報流出が相次ぐ背景として、何がいちばん大きく変わったと見ていますか。
サイバー被害が止まらない原因は… ◼️脆弱性の3つのタイムラグ ①攻撃側AIが未知の脆弱性を先に見つけてしまう ②システム開発者が脆弱性を認知して対応し公開するまで時間がかかる ③システムを停止しづらくパッチ適用が遅延(1か月〜半年) ◼️放置された脆弱性 ④古い機器や危険な機器(中国製)が放置
挙げた中で、被害の拡大に最も直結していると感じるものはどれですか。
③でシステムは24時間365日連続稼働が基本で、もしパッチを適用する場合は、停止してテストが必要となりますが、この作業負担や停止影響が大きく、中堅企業でもパッチ適用はせいぜい1ヵ月に1回、大手だと、半年待つこともざらで、この期間にリリースされたパッチの脆弱性を突かれたら終わりです。おそらく、この空白期間を短縮すれば、これに比例して、侵入件数は減るはずです。
企業・国・個人のうち、現時点でいちばん手を打つべき主体はどこだと思いますか。
企業
企業が半年程度で、まず着手すべきことは何ですか。
まずは、応急処置です ③早急にシステムを停止して、最新パッチまでを全て適用 ④通信機器やソフトウェアの脆弱性を徹底的に調査し、機器交換等で脆弱性を排除 国、セキュリティ関連組織、ベンダーは活発に連携して早急に応急処置と根本的対策に取り組むべし‼️ 具体的事例の分析結果や対策を横展開すべし‼️ それから、根本対策を着手し、どんどん進めるべきです。 ①防衛側AIが攻撃パターンを予想して検知し隔離する「仮想パッチ」を実現 ②米国で導入が進んでいるDevSecOpsを日本も推進 ③システムを停止させずローリングアップデートが可能な冗長化 (応急処置:停止間隔を短縮) ④防御側AIで脆弱な機器を発見し排除
国、特に政府の対策で、現状いちばん足りていないと感じることは何ですか。
国、セキュリティ関連組織、ベンダーは活発に連携して早急に応急処置と根本的対策に取り組むべし‼️ 具体的事例の分析結果や対策を横展開すべし‼️
現場の知見を政策に活かすため、今後チームみらいから追加のインタビューをお願いする場合があります。その場合、ご連絡を差し上げてもよろしいでしょうか？
もちろん、お断りいただいてもまったく問題ございません。今回いただいたご回答は、大変貴重なものとして参考にさせていただきます。