韓国で相次ぐサイバー攻撃を受け、政府が10月22日に発表した「汎政府情報保護総合対策」が注目を集めています。しかし、現役のCSIRT（Computer Security Incident Response Team）として長年サイバー攻撃の現場を見てきた私から言わせると、この対策には重大な欠陥があります。
韓国政府が打ち出した対策の中身とその問題点
今回韓国政府が発表した対策の主な内容を見てみましょう：
- 上場企業すべてに対する情報保護義務の開示制度
- ハッキング被害企業に対する政府の職権調査
- 懲罰的課徴金制度の強化
一見すると厳格な対応に見えますが、これらは全て「被害を受けた企業への制裁」に焦点を当てたものです。つまり、攻撃者ではなく被害者を責めるという、根本的に間違ったアプローチなんです。
私がこれまで対応してきた中小企業のインシデントでも、「なぜ攻撃を防げなかったのか」と責められるケースが多々ありました。しかし、国家レベルの高度な攻撃に対して、一般企業が完璧な防御を維持することは現実的に不可能です。
中朝露による国家主導攻撃の実態
今回の韓国への攻撃でも、背景にいるのは中国、北朝鮮、ロシアといった国家勢力とされています。これらの攻撃の特徴は：
攻撃の巧妙化と組織化
国家が支援する攻撃者集団（APT：Advanced Persistent Threat）は、企業や個人のハッカーとは比較にならないほど高度な技術と潤沢な資金を持っています。彼らは何年もかけてターゲットを調査し、最も弱い部分を狙って侵入します。
多様な攻撃手法
今回の事例でも、ランサムウェア（身代金要求型ウイルス）を使った金銭要求から、政府機関への情報収集まで、目的に応じて攻撃手法を使い分けています。
韓国の対応体制の深刻な不備
記事によると、韓国の「国家サイバー危機管理団」の常設要員はわずか約20人です。これは日本のNISC（内閣サイバーセキュリティセンター）と比較しても非常に少ない数字です。
現実的に考えて、20人で国家レベルの攻撃に対応するのは不可能です。私が関わった企業のインシデント対応でも、中規模の攻撃1件に対して最低でも5-10名のエンジニアが数週間から数ヶ月かかります。
個人と中小企業が取るべき防御策
国家レベルの対策に問題があるからといって、私たち個人や中小企業が何もできないわけではありません。現場での経験から、実効性の高い対策をお伝えします。
1. 基本的なセキュリティ対策の徹底
まずはアンチウイルスソフト
の導入と定期的な更新です。国家レベルの攻撃でも、初期侵入は意外と基本的なマルウェアから始まることが多いんです。実際、私が対応したある中小企業では、従業員のPCに感染したマルウェアが起点となって、最終的に基幹システムまで侵入されました。
2. リモートワークのセキュリティ強化
VPN
の利用は必須です。特に韓国の事例のように、通信事業者が攻撃対象になった場合、通信経路の暗号化が重要な防御線になります。
3. 定期的な脆弱性診断
企業であれば、Webサイト脆弱性診断サービス
を利用して、攻撃者に狙われる前に弱点を発見することが重要です。私の経験では、脆弱性診断で発見される問題の8割は基本的なセキュリティ設定の不備です。
政府対応の「二重基準」問題
韓国政府自身の「オンナラシステム」がハッキング被害を受けているにも関わらず、企業にのみ厳しい制裁を課すのは明らかに矛盾しています。
これは日本でも同様の問題があります。政府機関のセキュリティ体制が十分でないまま、民間企業にばかり責任を押し付ける傾向があります。しかし、サイバーセキュリティは官民が連携して取り組むべき課題です。
今後の展望と課題
12月に予定されている韓国の「中長期サイバー安全保障戦略」では、以下の点が重要になるでしょう：
- 国家レベルの攻撃者への外交的対応
- サイバー防御体制の大幅な人員増強
- 被害企業への支援体制の構築
- 国際的な連携強化
まとめ：真の対策は攻撃者への対処から
韓国の事例は、サイバーセキュリティ対策の根本的な考え方を問い直すものです。被害者である企業を責めるのではなく、攻撃者への対処と防御体制の強化こそが真の解決策です。
私たち個人や企業レベルでも、基本的なセキュリティ対策の徹底から始めて、段階的に防御力を高めていくことが重要です。国家レベルの攻撃であっても、基本的な対策がしっかりしていれば、被害を最小限に抑えることは可能です。
一次情報または関連リンク
