ディレクターズ カット：信頼された境界が取締役会の負債となる時

取締役会レベルで監督すべきサイバー リスクには、認証情報管理の不備による境界型の侵害、最先端AIによる脆弱性悪用の加速、サイバー保険の適用条件に影響を及ぼすAIガバナンス、サードパーティー ベンダーの侵害による顧客への波及リスクがあります。

境界型セキュリティ侵害は取締役会が懸念すべき課題

Dark Readingの報告によると、FortinetのファイアウォールとVPNゲートウェイを標的とした認証情報収集キャンペーンにより、194か国で3万台以上のインターネット接続デバイスが侵害されました。被害を受けた組織は、政府機、通信、医療、金融サービス、教育、重要インフラなど、多岐にわたります。研究者らは、攻撃者グループが使用していたツール、被害者データベース、認証済みのユーザー名とパスワードのリポジトリーを含む、公開状態にあった攻撃者のサーバーを発見したことで、被害の規模を把握することができました。

今回のキャンペーンは、新たなFortinetの脆弱性悪用ではなく、以前の侵害後に変更されずに放置されていたデフォルトの管理者パスワードや使い回された認証情報など、アカウント管理の不備を利用したものと思われます。研究者らは、この攻撃活動は高度に自動化されており、自律的に継続運用できる仕組みになっていた可能性が高いとしています。攻撃の痕跡からはロシア語圏の脅威アクターの関与が示唆されており、その目的は金銭的利益とサイバー スパイ活動の両方であったと考えられます。

取締役会にとって、この教訓はFortinetに限ったものではありません。このインシデントは、境界型デバイスや長期間変更されない認証情報を組織への信頼されたゲートウェイとして利用する組織が現在でも脆弱であることを示しています。従来のセキュリティ モデルは、現代の攻撃に耐えられるようには構築されていません。最新のゼロトラスト アプローチにより、従来の境界型デバイスへの依存を減らし、攻撃対象領域を縮小するとともに、認証情報が侵害された場合の被害を抑制できます。

取締役会が経営陣に確認すべき点

• 管理者アカウントとリモート アクセス用認証情報は、定期的に変更され、多要素認証で保護されており、過去の侵害から再利用される脆弱性がないとどの程度確信できますか？

• インターネット公開されたセキュリティ デバイスや特権アカウントが1つ侵害された場合、業務の妨害や機密データの漏洩が発生する前に、その侵害をどの程度効果的に封じ込めることができますか？

• 従来の境界ベースのアクセス モデルへの依存を減らし、ゼロトラスト制御に移行する取り組みは、どの程度進んでいますか？

サイバー リスクを高める最先端AI

CyberScoopの報告によると、Five Eyes情報連盟が発した新たな警告として、最先端AIモデルが数年ではなく数か月以内にサイバーセキュリティを再構築する可能性があります。この警告は、ある研究者がゼロデイ脆弱性のキャッシュを公開したことを受けて発出されました。これは、ベンダーが修正を出す前に攻撃者が悪用できる、これまで知られていなかったソフトウェアの脆弱性で、AIによって作成されたと報告されています。少なくとも2件はすでに実際の攻撃で悪用されていると伝えられています。これらの動きは、AIが脆弱性の発見、武器化、実環境での展開を加速させていることを示唆しています。

AIがセキュリティの原則をすべて変えるわけではありませんが、対応可能な時間を大幅に制限しています。従来のシステム、遅いパッチ適用サイクル、脆弱なアイデンティティー管理、不必要なインターネット公開を抱える組織は、高速での攻撃を受けやすくなるでしょう。サイバー リスクに関する前提は、より早く陳腐化しています。レジリエンスは、経営陣が露出を減らし、迅速に対応し、攻撃規模が拡大した際に被害を封じ込めることができるかどうかにかかっています。

取締役会が経営陣に確認すべき点

• 従来のシステムやインターネットに不必要に公開された資産のうち、攻撃者が自社の対応速度を上回って悪用できる露出箇所はどこにありますか？

AIガバナンスがサイバー保険のあり方を変える可能性

WSJ Pro Cybersecurityの報道によると、サイバー保険会社が組織に対して基本的なセキュリティ対策を講じているかどうかだけでなく、それらの対策が失敗した場合にどれだけ迅速に対応できるかについても問い始めています。AIによって脆弱性の発見から悪用までの時間が短縮されるなかで、保険引受の基準はパッチ適用の速度、インシデント対応の準備、ベンダーの監視、急速に拡大する攻撃を封じ込める能力へと移行しています。問題は、保険料の価格設定だけではありません。AIガバナンスが弱い場合、リスク評価の方法、補償内容、そしてインシデント発生後の保険金請求に対する精査の厳格さにも影響を及ぼす可能性があります。

取締役会にとって、これは保険の問題であると同時に、ガバナンスの問題でもあります。経営陣がAIの利用、サードパーティーのリスク、サイバー レジリエンス、対応速度について規律ある監視を示せない場合、組織は補償範囲の縮小、より厳しい保険引受条件、または侵害発生後の保険金請求における困難な協議に直面する可能性があります。AIガバナンスは、単なるテクノロジー管理にとどまらず、財務上のレジリエンスの一部になりつつあるのです。

取締役会が経営陣に確認すべき点

• AIによって加速する脅威を迅速に特定し、封じ込め、復旧できることを保険会社に示すために、どのような証拠を提示できますか？

Klueの侵害が明らかにする隠れたサードパーティー リスク

Klueで発生した侵害は、サードパーティーのサイバー リスクが顧客エコシステムにいかに速く拡大する可能性があるかを示しています。報告によると、攻撃者は侵害された古い認証情報を使い、Klueを顧客のSalesforce環境に接続する有効な接続トークンを盗み、約200の下流組織のデータにアクセスしました。漏洩した情報には、基幹製品や社内システムではなく、ビジネスの連絡先、見積もり、サポート関連の記録が含まれていたとされています。

取締役会にとっての教訓は、Klueだけに関するものではありません。組織がベンダー、統合、長期間使用される認証情報にどれだけの信頼を置いているかという問題であり、これらは密かに広範な下流リスクを生み出す恐れがあります。事態はさらに悪化し、別の脅威アクターが盗まれたデータを入手したとされ、一部の顧客は2つの別々の犯罪グループから脅迫されたと報告しました。結論は明白です。1社のベンダーの弱点が、瞬時に顧客の問題に発展する可能性があります。

取締役会が経営陣に確認すべき点

• 認証情報や統合が侵害された場合、どのサプライヤーが最も大きな影響範囲を生み出す可能性があるか自社は把握していますか？

*****

Zscalerは、NACD北カリフォルニア支部のパートナーです。サイバーセキュリティやAIリスクに関する取締役会の皆様からのご質問にお答えするためのリソースとして支援しており、取締役会向けの個別説明会の手配も承っています。詳細は、rsloan[@]zscaler.comまでメールでお問い合わせください。