攻撃のコストは下がり続けている
生成AIの普及によって、自然な文面のフィッシングメールや、もっともらしい偽の画面を短時間で大量に作成できるようになりました。かつては一定の技能と手間を要した攻撃が、より少ない費用で、より多くの標的に向けて行われるようになっています。攻撃側のコストが下がる一方で、防御側の負担は増え続けています。
サプライチェーン全体が攻撃面になる
日本の産業は、大企業を中心に多くの取引先や協力会社が連なる構造を持っています。最も守りの弱い組織が侵入口となり、そこから取引関係を通じて被害が広がる。個社の対策だけでは、全体の安全を確保できない状況が生まれています。
経営と技術の距離
セキュリティへの投資判断は、本来は経営判断です。しかし、技術的なリスクを事業上のリスクとして理解し、優先順位を付けられる経営層は、まだ十分とは言えません。また、技術者を専門家として意思決定に参加させるのではなく、指示を実行する作業者として扱う組織では、現場が把握しているリスクが経営に届きにくくなります。
「守る対象」を問い直す
これまでの対策の多くは、侵入を防ぐこと、ログインを守ることに重点を置いてきました。それ自体は今後も重要です。しかし、侵入や情報の流出が完全には避けられないことを前提にするならば、守るべき対象はその先にあります。送金、口座変更、権限の付与といった重要な操作が、本当に本人の意思によるものかを確かめること。そこに、次の対策の焦点があると考えています。
本稿は筆者の見解を述べたものであり、特定の製品による効果を保証するものではありません。