Introduction（前章）

大きなスポーツイベントは観客、スポーツの熱狂的ファン、メディア、企業、国々にとって魅力的であるが、それはサイバー犯罪者にとっても同様である。大きなスポーツイベントを開催することは複雑な事業ではあるが、同時に観光産業を拡大し、雇用を創出し、国家の認知度、投資、インフラとコミュニケーションの向上をもたらす。 私たちはリオオリンピックをはじめとしたスポーツイベントに対するDoS攻撃、怪しいストリーミングサイト、公式サイトの偽装、支払いシステムのハイジャック、違法なモバイルアプリケーション、そして大量のフィッシング攻撃を見てきている。
2016年のリオオリンピックでは、数百件のインターネット詐欺が報告され、 数百万ドルの損失がでている。これらの詐欺は、何も疑うことのないユーザーに対して、偽装ウェブサイトを使い、嘘のロトの勝ちくじ付きの偽オリンピックチケットを販売するというものだった。さらに、

・リオオリンピックを標的とした複数のDDoS攻撃が、主催者とブラジル政府のウェブサイトに対して行われた。主に対象となったのは2016 Games（brasil2016.gov.br）、 リオデジャネイロ州政府のポータル（rj.gov.br）、スポーツ省 （esporte.gov.br）、ブラジルオリンピック委員会COB（cob.org.br）、リオ公式サイト 2016年オリンピック（rio2016.com）。

・ハッカーはリオデジャネイロ市長、リオデジャネイロ州知事、スポーツ大臣、ブラジルオリンピック委員会委員長、その他3名のビジネスマンの個人情報を流出させた。

・オリンピック金メダリストのマイケル・フェルプスの個人ウェブサイトも身元不明のハッカーによるDDoS攻撃の対象となった。

・上記以外にも多数…

日本は大規模なスポーツイベントを成功させた経験がある－1964年の夏季オリンピックはよく計画され、最も大きな成功をおさめた夏季オリンピックの1つだと言われている。

Complexity of Tokyo Summer Olympic 2020（東京2020オリンピックの複雑さ）

東京2020オリンピックはデジタル主体になり、情報技術(IT)と運用技術(OT)システムが相互に接続されつつ、完全に融合され、スムーズなスポーツ観戦体験をもたらすだろう。さらに興味深いことに、日本はこの大会において、自立輸送、デジタルスポーツ機器やシステム、中央管制システムによる施設運営、相互接続された電力供給、VR / AR、デジタルディスプレイとエンターテインメントシステム、アクセス/サーベイランスシステム、コネクティッドIOTや通信技術、24時間対応の健康管理、Webでの位置情報や販売地点情報のような最新技術を活用することで、「史上初の真のデジタル化かつ相互接続されたオリンピック」を実現しようとしている。
しかし、これらの先進技術は同時に、数多くのベクトルからIT/OTスポーツシステムに侵入するための、新しい攻撃対象と出入口を作ることにもなる。集中管理システムは、重要な機能を完全に制御すると同時に、これらのシステムに侵入するハッカーが重要なオペレーションに壊滅的な被害を与え、様々な悪影響をもたらすことを可能にする。それこそ大規模停電、事業運営の停止、重要な機能やサービスの停止、破壊的な物理的損害、人命を喪失しかねないような大混乱の可能性もある。
さらにサイバー攻撃によって、法的措置、顧客の信頼の喪失、大会の運営そのものに深刻な影響を生じさせるような障害を引き起こすおそれがある。スポーツイベントを標的としたサイバー攻撃は、保険、合法賭博、スポーツ放送、広告、収入、スポーツ商品、プロスポーツ競技といった関連産業に影響を与える可能性のあるネガティブな連鎖反応を作り出すことがある。
日本がサイバーセキュリティ課題へ取り組むことは、現在の地域政策的な状況により困難になる。単なる金銭目的犯罪ではなく、国家的な後ろ盾があると疑われる組織的な犯罪者による風評被害や大会全体の被害が活発になる。

Japanese Government Gearing up for the Olympics Cyber Security Challenge（オリンピックサイバーセキュリティ対策に向けた日本政府の備え）

日本政府はITやOTに対するこれらの差し迫ったサイバー脅威を認識しており、人材が互いに学び合うための様々なイニシアチブを設定したり、中途採用の専門家たちに対してサイバーセキュリティドメインでのキャリア形成、経営幹部に現在のサイバーにおける脅威の状況やセキュリティ対策を意識づけできる影響力、次世代の研究開発エンジニア育成－といったトピックに対する理解度を深めるように推奨している。

Conducting Simulation Test（シミュレーションテストの実施）

日本政府は、2020年の東京における差し迫った脅威を認識して、2014年には6回だったサイバーセキュリティの主要な訓練の回数を、2016年には年間10回に増やした。これらは大規模なサイバー攻撃が発生した際の、公的機関と主要ビジネス間の連携レベルをテストするために行われる。これらの模擬サイバー訓練は通常、輸送、公益事業、銀行業、航空業などの主要な産業にかかわる複数の政府部門と企業が関与しており、この訓練では、インシデント対応と被害対策のテストを行っている。

Changing Business Executive’s Perspectives（経営者の視点の変革）

しかし、ここで大きな問題となっているのは民間部門で、日本企業の経営層の34%は、全体的なビジネスリスク評価の一環としてサイバーセキュリティの脅威を考慮していない。2017年3月、日本政府はサイバーセキュリティ人材育成プログラムの案を策定した。 この素案では、サイバーセキュリティはコストセンターではなく、企業にとって競合他社に勝る優位性を提供し、新しいビジネス価値を養い、企業の国際競争力を高めるものであると啓蒙し強調している。企業は競合他社に対して新しい 企業価値を高め、企業の国際競争力を高めます。 さらにこのなかでは経営層に対し、サイバーセキュリティ対策をその企業の社会的責任の一環として考え、社内においてサイバーセキュリティの意識を高めるよう推奨している。

Protecting Operational Technology of Critical Infrastructure Protection（重要インフラ防衛の運用技術の保護）

日本経済産業省（METI）は、産業制御システム、監視制御システム（ICS / SCADA）をとりまくリスクについては認識しており、2017年4月にIPA産業サイバーセキュリティセンター（ICSCoE） を発足した。このCOEが目指しているのは（1）人的資源の開発（2）国内のICS / SCADAのセキュリティと信頼性 （3）サイバー脅威情報の活用による既存のセキュリティコントロールの強化、である。

Protecting Internet of Things（IoTの保護）

総務省ではIoTに対する攻撃の可能性に備え、東京2020オリンピックに向けてIoTセキュリティを強化するために、2017年1月にIoTサイバーセキュリティアクションプログラム2017を開始した。このプログラムはトレーニングセンターを設立し、さまざまなサイバー練習を行うことで、サイバーセキュリティの人材育成、意識向上と準備活動のための国全体の取り組みを加速させることを目的としている。ナショナルサイバートレーニングセンターには、ネットワークのサイバー攻撃に対するモニタリングと可視化をおこなうNICTER（Network Incident analysis Center for Tactical Emergency Response）や、様々なシナリオのサイバー攻撃に対するクラウド基盤の能力も備えている。

Stakes are Higher than Ever（賭けの代償はこれまで以上に大きい）

デジタルの増殖は、先端技術を防衛する仕組みの開発や適用のスピードを上回っている。ある面では企業はテクノロジーをビジネスイネーブラとして継続して利用し、生産性を高め、ビジネスプロセスを最適化する必要がある。また一方で、新たな技術によって課される新たな攻撃の複雑さと多様性に対応する必要もある。
東京2020オリンピックへの備えのような日本政府の積極的な取り組みを見ることは、とても励みになる。これらの取り組みは、さまざまな部署の専門家間の密な連携を促進し、サイバーインシデントが発生した場合に重大な役割を果たす。サイバーインシデントでは、さまざまな組織があらゆる災害に対して調整された対応を要求される―これは自然災害においてレスキュー隊がどのように対応するかと非常に似通っている。サイバーセキュリティにおいては、準備できることには限りがあり、決して100％の保護はできないが、私はこれが組織的な取り組みに向かう前向きな一歩だと信じている。

英国組織委員会がいくつかの政府機関と一般企業 の助けを借りて集めた先見の明と堅牢なサイバープランにより、混乱を最小限に抑えたLondon 2012から学んだこととして、

サイバーセキュリティ対策のために、日本政府が検討すべきこと；

・全体的なサイバー戦略、IT / OT / IOTおよび先進テクノロジーの包括的なポリシー、先進技術の攻撃領域（Attack Surface）アセスメントと対策計画

・先進および旧テクノロジーへのサイバーリスクアセスメント

・すべての入力/出力チャネルの脅威プロファイリング

・サイバー攻撃の定期的なシミュレーション、検証、セキュリティ運用への取り込み

・保護、監視、検出機能を備えた適切なセキュリティコントロール

・発生した脅威の隔離と能動的な修復

・リスクプロファイルに基づく脅威の分類と、適切なセキュリティ制御の適用

・相互連携システムにおける脆弱性評価を実施するための継続的な演習（Red and Blue Teaming Exercise）

・効果的なサイバーインシデント対応計画

これは、日本がオリンピックを成功裏に収めるのを助けるだけでなく、今後開催されるであろう更なる大規模なスポーツイベントに対する礎になる。

お問い合わせ

技術革新は経済の成長を促し、私たちの行動もスマートに変わり便利で快適な生活をもたらします。しかし、新たなテクノロジーには、固有のリスクがあります。現在のセキュリティ環境では、サイバー犯罪者が悪用する新たな脆弱性が開発される可能性があります。

最新のテクノロジーを利用することで、サイバー攻撃を受けるリスクは大幅に増加しています。　最新技術は保護を必要としているのです。サイバー犯罪者の間では、レガシーアプリケーション、システム、インフラに対する攻撃から、これらの新技術に対する攻撃へと移行が見られています。

これら新技術を保護するために開発される防衛メカニズムは、攻撃側の拡散スピードに追いついていません。一方で、組織において、デジタルテクノロジーはもはやビジネスの根幹として機能し続けること、生産性を高め、ビジネス・プロセスを最適化することが必須となっています。それゆえに、新技術を利用することで露呈する、複雑で多様な新しい攻撃面に対応することが求められてきます。　例えば、

暗号化技術／ブロックチェーン：　大手金融サービスや政府の多くは、既存の金融システムを置き換えるために、Bitcoinとその基礎となるブロックチェーン技術の使用を検討していますが、ブロックチェーンには独自のサイバーセキュリティの課題があることを認識すべきです。2011年以来、少なくとも36種類の暗号侵害があり、980,000以上のBitcoinsが盗まれており、今日は約40億ドルに達しています。

IoT：　サイバー攻撃を行うためにIoTデバイスを狙うというのは、もはや周知の事実ですが、IoTを導入する多くのメーカーや企業は依然としてセキュリティ問題を真剣に受け止めていません。たとえば、2017年2月には、80万人の顧客情報が、200万件の個人情報と共に玩具会社から流失しました。

クラウド環境：　企業はクラウド環境への移行を競い、その多くはクラウドインフラのサイバーセキュリティ対策はクラウドプロバイダの責任であるかのように思い込んでいます。クラウドの活用は、複数の意図的および意図的でないデータ漏洩への道を開き目の届かない領域を広げます。

スマートサプライチェーン：　伝統的なサプライチェーンから、スマートで高度なエコシステムへの進化した結果、サイバー攻撃に晒される事案が増えています。ハッカーから見れば、これらのシステムは、発注、価格、物流、契約、原材料や予測に関する機密データを網羅しているので、ターゲットとして価値が高いと言われています。

AIと機械学習によるシステム：　AIや機械学習（ML）は私たちのビジネスを根底から変える大きな技術革新です。今の自動化やデジタル化のペースでいけば、私たちがアナログで行っているルーチンワークやチェック作業はその大半がAIやMLに引き継げるでしょう。

AI/MLに関するチャンスと脅威の理解を深めることが重要です。　サイバー攻撃をより強力に容易に実行できるようになります。　AI/MLを活用した攻撃は自己学習型であり、攻撃に対して対策が構築されると迅速に反応します。　人間の設定や指示が無くても、別の脆弱性を悪用したり、システムを新しい方法でスキャンすることができるようになります。

AR/VR：　拡張現実（AR）と仮想現実（VR）の技術は、私たちの仕事、学習、遊び、運動、コミュニケーション、取引、社会化、消費を急速に変えていきます。しかしこの技術は、独自のサイバーセキュリティの課題を抱えています。 予想される攻撃経路は次のようなものです。

・ハッカーは、VR / AR環境でユーザーの行動を記録して、それを公開すると脅迫し、身代金を要求します。

・傍受した情報やデータをVR / ARに投入し、ユーザーを誤認させたり、個人情報に関連する内容をユーザーに選択させたりします。

・社内システムで誰かを偽装するために、VR / ARをジャックして遠隔から制御します。

・ドローンやロボティックや自動運転：　ロボティクス市場は巨大な成長が見込まれ、2020年までにロボットの支出は世界で1880億ドルに達すると予測されています。ロボットはどのような形態でも使われ、多くの目的に使用できますが、主に人間と同等のお結果を達成し、自律的でコントロール不要を目指しています。最も普及している産業用および民生用ロボットの一部は、簡単にハッキングできることが広まっていますし、盗聴機器や次をハッキングするための武器にすることも可能です。

次はどんな攻撃が？

新しい技術をビジネスに組み込むことは、同時に様々な技術の進化に伴って成長するサイバー攻撃を受ける領域を拡大し、つまりハッカーにチャンスを与えているとも言えるのです。　フレキシブルな攻撃に対処できる唯一の手立ては、詳細なサイバーセキュリティ戦略であり、全体の攻撃可能領域の評価、攻撃のシナリオ予測、統合された監視制御、最新技術の脅威モデルなどから、潜在的なリスクを制御し緩和させることです。

お問い合わせ

 

前編では、新世代のクルマに関する潜在的なサイバーリスクと、そこから派生する自動車エコシステム全体への影響についてお話しました。ここでは、攻撃者が直接的および間接的なアプローチで車両やクルマのエコシステムを攻撃する方法を整理し、その対処として総合的なサイバーセキュリティアプローチの概要を説明します。

前編でも説明しましたが、新世代のクルマは車両と繋がる様々な支援インフラと対応するシステムに大きく依存しています。（GPS通信、ナビシステムや乗客情報管理、都市交通管理、スマートスキャン、スケジュールおよび位置管理、車両間の通信、ETC管理など）。

これらの技術は、車のオーナーやメーカー、地域コミュニティなどに数多くのメリットをもたらしますが、残念ながらスマートカーシステムのあらゆる構成要素は巨大な攻撃面となってしまうのです。つまり、サイバー攻撃者は、エコシステム全体のコンポーネントが持つ脆弱性を利用して、他のコンポーネントにも攻撃を仕掛けていくことになります。

主な２つの攻撃手法：

直接アタック例：　車両内の1つの電子制御ユニット（ECU）をハッキングし、マルウェアが他のすべてのECUに感染するためのチャネルを開きます。車両の重要な機能をコントロールするだけでなく、車両間の通信を利用して他の車両にもマルウェアを感染させていきます。

間接アタック例：　ハッカーは公衆ネットワークを破壊し、クルマの通信機能とインフォティンメントシステム（情報とエンタテイメント）に送信される偽のサーバーコマンドを送ります。この方法なら、ブレーキ、ステアリング、エアバッグ、トランスミッションを操作することが可能になるでしょう。車の中の会話を盗聴できますし、個人情報とクレジットカードのデータも盗みます。 自律走行や衝突防止機能などの高度な機能を操作することさえできます。

プロアクティブで機動的なセキュリティ機能を持つ、包括的で多層的なサイバーセキュリティ対策が必要だと感じて頂けたでしょうか。

クルマのエコシステム全体を保護する統括ソリューションは、システムの各コンポーネントが個別のセキュリティ上の課題に対処できるように、徹底的な防衛戦略を実装する必要があります。

つまり、最も基本的なユニット（各車両のECU）からエコシステムの最上位レベルまで、全ての動きを継続的に監視し、異常の有無を分析することが必要です。セキュリティレベルはマルチ対応となり、エコシステム全体の脆弱性チェックが可能となります。

以下のようなテクノロジーをお勧めします。

1.　車両のセキュリティ

・ファームウェア保護を備えた安全な処理装置（送受信機を含む）

・あるコンポーネントがハッキングされても他のコンポーネントに連鎖しないようにコンポーネントを分離する

・外部および内部コンポーネントとの間で送受信されるセキュアなインバウンドおよびアウトバウンド接続

・車両内のさまざまなコンポーネント間の安全なメッセージング。例えばコンポーネントBに信号やメッセージを送信するコンポーネントAは、適切な信頼性と完全性のチェックを使用して保護する必要があります

・厳格な再構成管理：ベースラインからの構成変更は、適切に認証される必要があります

・安心して適用できるセキュアなキーとデータを確実に保管する

・改ざん検出と保護：全ての構成やコンポーネントの変更を不可能にする

・スマートカーに搭載された技術の継続的かつ定期的なサイバーリスクアセスメント

・車両固有データの漏洩を防止する

・各コンポーネント内の異常動作を監視する動作異常検出システム

2.　関連するエコシステムのセキュリティ

・データ、通信、ID、資産セキュリティを含むトラフィック制御、モバイル通信、スマートスキャン管理システムなどの外部集中型エコシステムの標準的なセキュリティコントロール

・車両と関連するエコシステム間のセキュアなポイントツーポイント通信を実現する安全なメッセージング

・偽装IDの防止、車両Aが車両Bになりすますことを禁止する

・オンデマンドで暗号化を有効にする高速暗号化サービス

・車両同士が通信する際に、認証が必要な安全な車両間通信

・外部エコシステムからのアクセスを監視する異常検出システム

・車両固有の認証を使用した不正なコマンドや制御センターの検出と保護

・特権アクセス管理：コンポーネントが適正な実体とのみ通信できるマルチチェックアクセス許可システム。例：衛星からバスステーションへの直接通信を禁止する

・集中エコシステムからのデータ漏出を保護する機能

・外部エコシステムと通信システムに対する継続的かつ定期的なサイバーリスクアセスメント

今後スマートカーに繋がる様々な仕組みには落とし穴が次から次へと発見されるでしょう。　自動車メーカー、ベンダー、サービスプロバイダー、規制当局が密接に連携して、すべてのコンポーネント、そして最終的にはエコシステム全体を保護する多層防御アプローチを実行することが不可欠です。 時間がありません。

お問い合わせ

AUTHOR
Kumar Ritesh

Chairman & CEO

製造業からサービス業へのシフトといわれるほど大変革の自動車業界。クルマは、デジタル化と接続性の向上によって技術革新をむかえています。

GPS通信、Wi-Fi、高度な情報システムとアプリ、車同士の通信、事故回避機能、コンピュータ操作のパワーステアリング、インテリジェントパーキングアシスト、クルーズコントロールなど、様々な新技術は消費者にとって便利で手放せない機能です。

しかし、インテリジェント・ビークルには、ダークサイドが存在します。ハッカーにとって広い攻撃ポイントを提供してくれるため、通信システムからメーカーやベンダーのサプライチェーンに至るまで、車両のセキュリティーやエコシステム全体を危険にさらす可能性があります。

サイバー攻撃者にとっては接続されている全てをハッキングできます。つまり、大量の車両を使い、多くの選択肢から、多くの突破口から、最終的にはより大きなエコシステムを狙うことができるのです。

従来ハッカーは、電子制御装置に直接コンタクトしてクルマの機能などを停止させることができました。今では、クルマと繋がっているスマートフォンをハッキングするだけで、車両全体をコントロール可能になっています。

私は、スマートカーの台頭が、自動車産業を混乱させサイバーセキュリティ分野にも影響が出ていると考えています。主に4つの傾向がみられます。

1.接続性が向上し、リモート攻撃の拡大につながり、ハッカーが簡単に車両に侵入する可能性がある

2.ハッカーが狙う可能性のあるコンピュータシステムを増大させる自動運転

3.電気自動車やハイブリッド車によって、重要な電力インフラ（充電スタンド用の電力網など）への依存が高まり、セキュリティ機能の強化が必要

4.オンデマンドモビリティやMaaSにより、ドライバーや乗客の個人情報へのアクセスが容易となり、IDなどの盗難につながる

急速な技術の進歩は、車両のレスポンス、エンターテイメント、データ駆動性を向上させるだけでなく、 外部インフラへの依存度も高まっています。 その結果、サイバーセキュリティの懸念は、クルマを超えてエコシステム全体に及ぶのは明白です。

モバイル通信、旅行や乗客情報管理、都市交通管理、スマートスキャン、スケジュールおよび位置管理、車間通信および料金管理 – すべての車両が外部エコシステムに依存しています。

メーカーと管轄する当局にとって、重大なのは、自社のクルマや自社の環境を保護するだけでは問題が収集できないことです。サイバーセキュリティ対策を実施するために、クルマにつながる全てのエコシステムと関連する全てのプレイヤーが協力し努力することが必須です。

お問い合わせ