展示２

【出展レポート】Interop Tokyo 2022に出展しました。

by お知らせブログ

皆さん、こんにちは。

梅雨明けが待ち遠しい頃、むしむしとした日が続いています。体調を崩さないように気をつけてください。

さて今回は、6月15日に行われた国内最大級のインターネットテクノロジーイベント「Interop Tokyo 22」の出展レポートをお届けしたいと思います。

今年29回目を迎えるIT総合イベント「Interop Tokyo 22」は「インタネットによる、人々のための革新と信頼」をテーマに開催されました。展示会には393社が出展、約9万人を超える来場者が訪れました。初出展にもかかわらず、多くのお客様が当社のブースへお越しくださり、盛況のうちに終了することができました。誠にありがとうございました。

今回の展示会では多くの中小企業さんが抱えているセキュリティ課題を解決することができるプラットフォームサービスを紹介いたしました。

ブース写真１ ブース写真２ ブース写真３

弊社のサービスに興味を持っているたくさんの方々がブースへお越しくださって、弊社のプラットフォームサービスの説明、提案させていただきました。「Webセキュリティ対策の導入したいが、よくわからない」「社内にセキュリティ担当者がいなくて、セキュリティポリシーの運用に困っている」など、セキュリティ課題を抱えている企業さんに対し、企業のWebアプリケーションセキュリティに必要な5つの機能を1つのサービスで提供する「Cloudbric WAF+」、最大65Tbpsのトラフィックまで対応できる「Cloudbric ADDoS」、大容量のデジタルコンテンツをより速くて安全に配信する「Cloudbric  CDN」やAWS WAFを最も効率的に管理することができる「Cloudbric  WMS」を紹介いたしました。

サービスデモ写真１ サービスデモ写真２

ブースでは各サービスの性能や管理画面などを説明するために、実使用環境を想定したデモも行われました。Cloudbirc WAF+の場合、企業さんが受けているサイバー攻撃をすべて検知した後データとして蓄積して、誰が、いつ、どのような攻撃をしたかを見える化することができるという優れた性能や管理のしやすさに多くのお客様から高い評価を得ることができました。

今回の展示会でいただいたお客様の声をもとに、これからも多くの企業さんが抱えているセキュリティ課題を解決することができる最適なサービスを開発・提供するため取り組んでいきたいと思います。またお会いできる日を心待ちにしております。

 

不正アクセスMain Image

不正アクセスの発生状況は？実情と対策まとめ

by ブログ

不正アクセスMain Image

企業の不正アクセス被害が多数報道されています。個人情報の漏えいなど、企業としての信頼を失いかねない報道なだけに、注目している方も多いのではないでしょうか。そこで、今回は不正アクセスの概要と被害状況や事例に加え、不正アクセス対策について説明していきます。

 

不正アクセス

そもそも「不正アクセス」とは、どのような行為を指す言葉なのでしょうか。「不正アクセス」という言葉は広い意味を持ちますが、一般的には、「サーバーやシステムなどに対し、アクセスする権限を持たないにも関わらず、不正にアクセスすること」を指します。企業への不正アクセスによって想定される一般的な被害としては、情報の漏えい、システムの乗っ取り、ファイルやサイトの改ざんといったところが挙げられます。

企業の情報システムの多くは、顧客の個人情報や取引の情報など外部に公表してはならない情報を含んでいます。ECサイト等で不正アクセスが発生すると、買い物客のクレジットカード情報等の流出により、大きな被害が発生します。Webサイトへの不正アクセスが成功すると、内部の設定を改ざんし、本来の動作とは異なる動作をさせることが可能になる場合があります。例えば、サイト内に任意の罠サイトへのリンクを設置することで、ユーザのPCをウイルスに感染させたり、スクリプトを実行させる攻撃も可能となります。また、不正アクセスが発生した場合、被害にあうのが自社のシステムだけとは限りません。システムを乗っ取られた場合、そのシステムを踏み台にしてさらに外部の組織の攻撃に利用される可能性もあります。

いずれの被害も、発生した場合にはシステムの利用や業務の存続に多大な影響が生じるだけでなく、知り合いや取引先企業の信頼を失う恐れがあります。特に企業の場合には、社会的な信頼を失う大きなリスクがあり、十分な対策が必要です。狙われやすいのは個人よりも一般企業がほとんどで、重要な情報資産を保持している企業がターゲットになる可能性が高いとされています。

不正アクセスの発生原因は、システムへのセキュリティ対策の不十分さや、無線LANやセキュリティソフトの設定の不備や古さ、利用者のセキュリティ意識の低さ等が挙げられます。それらに対する対策については、後ほど詳しく解説します。

 

不正アクセスの発生状況

実際に日本ではどのくらいの不正アクセスが発生しているのでしょうか。総務省の発表によれば、過去数年で不正アクセスの被害は増加傾向にあると言えるようです。2017年の不正アクセス認知件数が1202件、2018年の認知件数が1486だったのに対し、2019年の不正アクセス認知件数は2960件と前年の倍以上に上がっています。2020年の認知件数2806件、2021年の認知件数1516件と、ここ2年は減少していますが、それでも年に1000件を超える不正アクセスの被害が発生しています。またそれらの認知件数の内、例年、90％以上は一般企業が受けた被害です。大学や行政機関、プロバイダにも年に数件～数十件の不正アクセス被害が発生していますが、狙われやすい一般企業のセキュリティ対策が求められています。

不正アクセスが発生した場合に、攻撃者がどのような行為を行ったのかという情報も公開されています。2021年の場合、半数近い45.7%を占めているのは、「インターネットバンキング等での不正送金等」、次いで23.0%を占めているのが「インターネットショッピングでの不正購入」です。いずれも、攻撃者の金銭的な利益に直結する行為です。その他の行為としては、「メールの盗み見等の情報の不正入手」(11.5%)、「知人になりすましての情報発信」(4.7%)、「オンラインゲーム・コミュニティサイトの不正操作」(4.3%)が続きます。

(出典：総務省https://www.soumu.go.jp/main_content/000807446.pdf)

 

不正アクセスの実例

ここでは、実際に起こった不正アクセスの実例についてご紹介します。

上智大学Webサイト改ざん被害

2022年2月18日頃に確認された不正アクセス被害です。上智大学の複数のウェブサイトが改ざんされ、サイトの利用者が外部のアダルトサイトへと誘導するような画面がランダムで表示される仕組みになっていたとのことです。原因としては、パスワードを特定された可能性が高いとされています。現在では、サイトは全て復旧しています。

(出典：上智大学https://www.sophia.ac.jp/jpn/news/PR/220224_web503.html)

森永製菓不正アクセス被害

2022年3月13日、森永製菓株式会社が運用する複数のサーバーに障害が発生し、第三者による不正アクセスが確認されたとのことです。被害状況としては、複数のサーバーへの不正な侵入と、一部のデータがロックされていたようです。顧客への商品発送に関する情報が含まれており、氏名や住所、電話番号、メールアドレス等が流出した可能性があります。また、サーバーへの侵入経路としては、インターネット回線に設置していたネットワーク機器の脆弱性を利用したものとされています。

(出典：森永製菓株式会社https://www.morinaga.co.jp/company/newsrelease/detail.php?no=2178)

宇都宮ケーブルテレビ株式会社情報漏えい被害

2021年11月に発生した不正アクセス被害です。宇都宮ケーブルテレビ株式会社が運営する通販サイト「いいもの、あるよ！」において、第三者による不正アクセスと、それに伴う個人情報漏えいが判明しました。システムの一部脆弱性をついた、第三者の不正アクセスにより、不正なファイルの設置と、決済用のアプリケーションの改ざんが行われたことが原因です。クレジットカード名義、番号、セキュリティコード等のクレジットカード情報の漏えいが確認されています。

(出典：宇都宮ケーブルテレビ株式会社https://aruyo21.jp/user_data/news_detail.php?id=1004)

 

不正アクセス対策

それでは、そうした不正アクセスに対して、企業はどのような対策を行えばよいのでしょうか。企業として講じておくべき必須の対策をご紹介します。

OS等を最新の状態に保つ

OSやアプリケーション等のソフトウェアには、日々脆弱性が見つかっています。各ベンダーは、それらの修正パッチや最新版を定期的にリリースしているため、アップデートを怠って古いバージョンのソフトウェアを利用していると、それらに潜む脆弱性を利用して不正アクセスの被害にあう恐れがあります。ベンダーの情報やセキュリティ関連のニュースに目を通し、ソフトウェアを最新の状態にしておきましょう。

ログイン方法の複雑化

不正アクセスの発生原因として多数報告されているのが、システムへの不正なログインです。パスワードの漏えいや特定により、本来アクセス権限のない第三者によるログインを許容してしまう、というものです。そのため、パスワードを特定が困難なものに設定すること、具体的には「アルファベットの大文字と小文字、数字、記号を使用した8桁以上のもの」といった、強固なパスワードポリシーを設定し、定期的にパスワードを変更する、といったことが挙げられます。パスワード以外にも、SMSや生体情報を用いた多要素認証の仕組みを実装することでログイン方法を複雑化する、という手法も有効となります。

利用者のセキュリティ意識の徹底

システムへの不正アクセスを防ぐためには、それを利用する利用者のセキュリティ意識も重要となります。パスワードの管理もその一つですが、怪しいメールを開かない、怪しいサイトにアクセスしない、といったセキュリティ意識を高く持つことで、防ぐことができる被害もあります。社員へのセキュリティ教育を行うなど、利用者のセキュリティ意識を徹底することが、企業の情報資産の保護につながります。

セキュリティサービスの導入

利用者の意識徹底や、ソフトウェアを最新版に保つだけでは、不正アクセス対策としては十分とは言えません。セキュリティサービスを導入することで、悪意のある通信やDos攻撃、Botなどを防ぐことが可能となります。

Cloudbric WAF+のご紹介

悪意のある通信やDDoS防御対策、悪性Botなどを防ぐ「Cloudbric WAF+」についてご説明します。「Cloudbric WAF+」は高性能でシステムに対する攻撃を防ぎ、Dos攻撃や悪性Botの遮断、脅威IPの遮断、新規脆弱性への迅速な対応など、多数の高機能を備えたセキュリティプラットフォームです。Webシステムを利用する全ての企業におすすめのセキュリティサービスです。

より詳しい情報を確認したい方はこちらをご覧ください。

 

まとめ

不正アクセスは、第三者によるシステムへの不正な侵入を指します。不正アクセスが成功すると、重要な情報の漏えいやシステムの改ざん等、企業の信頼を失いかねない被害が発生します。社員をはじめ利用者のセキュリティ意識の徹底や、ソフトウェアの管理だけでなく、セキュリティサービスの導入によって、十分な対策を講じるようにしましょう。弊社が提案する対策を参考に安全な不正アクセス対策を講じて頂ければ幸いです。

病院へのサイバー攻撃、危険性、対策

病院へのサイバー攻撃、その危険性と対策について

by ブログ

病院へのサイバー攻撃、ランサムウェアによる被害

近年、大企業や公的機関を標的としたサイバー攻撃の被害が多数報告されています。多くの人々に影響を与える危険性が高い攻撃ですが、中でも、人命に直接関わる機関である病院を標的としたサイバー攻撃への対策が重要視されています。IT化の進んだ現在、病院でも数多くのIT機器やシステムが利用されており、それらに障害が発生すると業務に甚大な影響が想定されます。人命に関わる事故が起こる可能性も否定できません。そうした事情を受け、この記事では病院へのサイバー攻撃の事例や原因、対策について解説していきます。

 

病院を狙ったサイバー攻撃の実例

病院を狙ったサイバー攻撃には、どのようなものがあったのでしょうか。代表的な事例として、2021年11月頃に発生した事件があります。徳島県つるぎ町立半田病院がサイバー攻撃の被害に遭った事件です。患者の住所や診察履歴等が記録されていた電子カルテが使用できなくなり、業務に大きな支障が生じました。電子カルテが使えなくなったことで、診察にかかる手間が大幅に増えただけでなく、過去の通院歴や処方箋等も分からないため、患者への聞き取りや薬局等から得られる情報から診察を行っていたようです。半田病院によると、2021年10月31日未明、電子カルテに不具合が発生し、英語で「あなたのデータは盗まれ、暗号化された。」といったメッセージが印刷された書類が大量に印刷された、とのことです。それに伴い、電子カルテの一切が閲覧不可能になってしまったようです。システムの復旧に関しては、2022年1月4日より、電子カルテを管理するサーバーの復旧に伴い、通常の診療が再開されたと発表があります。実に2ヶ月もの間、診察業務に支障をきたしていたことにあります。この一連の被害は「ランサムウェア」の感染によるものとされています。

 

ランサムウェアとは？病院のシステムへの被害とは

まず、「ランサムウェア」について解説していきます。大企業などで被害が多数報告されており、特に企業のセキュリティ担当者の方は、きちんと概要を理解して対策を講じる必要があります。

ランサムウェアとは

「ランサムウェア」とは、簡単に言えば「データやシステムを使用不可能な状態にし、その復元と引き換えに身代金を要求する」マルウェア、およびそれを利用したサイバー攻撃です。「Ransom(身代金)」と「Software(ソフトウェア)」とを組み合わせた言葉です。例えば、ある企業が顧客の情報を一括して管理するシステムを利用していたとします。顧客情報の中には、各自の個人情報や取引履歴等、業務に必要な情報が多数含まれています。その重要なシステムが「ランサムウェア」に感染してしまうと、顧客情報が暗号化されてしまい、企業はそのシステムを使うことができません。そこで、攻撃者はランサムウェアにより、「このデータを元に戻してほしければ、身代金を支払え」と要求し、企業がそれに応じてしまった場合、攻撃者は不当に金銭を得ることとなります。

主な感染の経路としては、スパムメールや改ざんされたWebサイトなどから、不正なサイトへの誘導されてしまうことが指摘されています。想定される被害としては、システムの情報の暗号化や、PCそのものをロックしてしまう、といったものが挙げられます。また、暗号化と同時にデータを盗み出し、「身代金の支払いに応じなければ、データを公開する」といった二重の仕方で脅迫する例もあります。個人情報等、外部への公開が望ましくない情報を扱っている場合、特に注意が必要となります。

 

病院がランサムウェアに感染するとどうなる？

それでは、病院のシステムがランサムウェアに感染した場合、どのような被害が想定されるのでしょうか。現代の病院では、数多くのIT機器やシステムを利用しています。それら全てが医療に関わるものであるため、ランサムウェアへの感染によりシステムやデータが利用不可能な状態になってしまうと、人命に危険が及ぶことも十分に想定されます。実際に、ドイツのデュッセルドルフ大学病院がランサムウェアの被害に遭ったことで救急患者の受け入れができず、治療が遅れた結果、命を落としたという事例が報道されています。

病院のシステムが利用不可能になることで、人命に危険がおよぶ可能性がある、ということ。これが、病院がランサムウェアに感染した場合に想定される大きな被害です。

 

なぜ病院が被害にあうのか

それでは、なぜ病院がランサムウェアの被害に遭うのでしょうか。主な理由としては、業務や扱う情報の重要性の高さと、セキュリティ対策の不十分さという二点が挙げられます。病院がランサムウェアの攻撃対象として狙われやすい理由の一つとして、想定される被害が人命に関わり、社会全体に甚大な影響を及ぼす可能性がある、ということが指摘されています。診察記録等の重要な情報を扱っているため被害が深刻化しやすく、感染した際に身代金の支払いに応じやすいのではないか、という理由から攻撃者に狙われている可能性があります。昨今の新型コロナウイルスの感染拡大を受け、治療法やワクチンなど、データそのものの価値も高まっているとの見方もあります。

また、病院が被害に遭いやすい理由として、病院のセキュリティ対策が不十分になりがちである、という事情もあります。IT企業をはじめとする大企業のセキュリティ対策に比べると、病院は経営状態のひっ迫等の事情により、十分な予算をセキュリティ対策に割り当てることができていません。セキュリティをはじめとするIT関係の技術者・スタッフの確保も不十分な場合が多く、重大なセキュリティホールに気づかずに業務を遂行している可能性があります。このような事情により、病院がサイバー攻撃の標的となりやすいのではないか、と指摘されています。

 

取るべき対策

一般的なランサムウェア対策として、三つの対策が想定されます。一つはセキュリティ対策です。そもそもランサムウェアに感染しないように、感染経路であるスパムメールや不審なWebサイト等へのアクセスを避けるよう注意喚起を行い、インシデントが起こった際の対応手順などのセキュリティ教育をきちんと実施することで、被害の最小化が期待できます。もう一つがデータのバックアップです。十分な対策を講じても、感染の可能性が完全にゼロになるとは言い切れません。データのバックアップをとっておけば、万一ランサムウェアに感染し、データが暗号化されてしまった場合でも、対応が可能となります。最後の一つが、セキュリティ対策ソフト、プラットフォーム等の導入です。マルウェアの検知と駆除や、未知のウイルスに対する振る舞い検知など、セキュリティ対策製品の導入は必須の対策となります。病院の場合は「セキュリティ対策が不足しがち」ということもあり、IT関係のスタッフの補充など、根本的な対策が必要となります。基本的な対策としてWAFの導入をお勧めします。攻撃を防ぐだけでなく被害を最小限にするための対策も必要でしょう。その役割を担うのがWAFであり、Webサイトセキュリティに欠かせない対策です。

病院のランサムウェア被害の急増を受け、厚生労働省は医療機関の情報セキュリティに関する改定指針に、ランサムウェア対策を明記し、バックアップデータの扱い等についての内容を盛り込みました。また、一定以上の規模の病院では、情報セキュリティの責任者を設置する必要性も指摘されています。国のガイドラインやセキュリティベンダーの指示にしたがい、十分な対策を施す必要があります。

 

まとめ

病院がランサムウェアをはじめとするサイバー攻撃の被害に遭った場合、人命に関わる甚大な社会的影響が懸念されます。病院関係者だけでなく、社会全体で情報を共有し、対策に努めていく必要があるでしょう。近年、大企業等で多くの被害が報告されているランサムウェア。セキュリティ教育やセキュリティ製品の導入、バックアップといった十分な対策を講じましょう。

Toyota ransom picture

企業を狙ったランサムウェア攻撃から学ぶ、企業に必要なセキュリティ対策

by ブログ

Toyota ransom picture2月28日、トヨタ自動車は日本国内の全14工場28ラインの稼働を、3月1日に停止することを発表しました。同時にその原因が「トヨタ自動車の取引先企業がランサムウェアに感染したため」だということも明らかになり、大きな話題となりました。その他に、３月14日にはトヨタ自動車系の部品メーカー、デンソーのドイツの現地法人がサイバー攻撃を受けたこともありました。この事件もランサムウェアによるサイバー攻撃でした。取引先企業がランサムウェアの感染により、業務に必要なシステムが使用不可になったため、工場を停止することになりました。工場停止は３月1日だけで、翌3月2日からは全ての工場の稼働が再開しましたが、たった1日の稼働停止でも計1万3千台以上の車両生産に遅れがでるなど、決して小さくない余波が広がっています。

ここではトヨタ自動車関連企業へのサイバー攻撃事件の説明および本事件から学びとれる「企業セキュリティに必要なランサムウェア対策」について解説していきます。

 

トヨタ自動車を狙ったサイバー攻撃の経緯

サイバー攻撃を受けたのはトヨタ自動車の主要取引先（一次取引先）である「小島プレス工業」という企業です。同社は愛知県豊田市を拠点とし、主に車の内外装の樹脂部品を製造しています。2月26日夜、小島プレス工業は社内サーバーの障害を検知したため、安全確認のためにネットワークを遮断しました。しばらくして再起動するとコンピュータ画面に英文で「このリンクにアクセスしないと機密情報を公開する」といった趣旨の脅迫文が表示されたといいます。同社はすぐに専門家に相談し、被害の拡大を防ぐためにすべてのネットワークを遮断。これにより、業務継続に必要不可欠な「部品の受発注システム」が使用不能となってしまいました。

本件は「ウィルスに感染させ、脅し、金銭を要求する」という手口から見て、ランサムウェアによるサイバー攻撃と判断して間違いないと思います。

なぜ全ての工場の稼働を停止したのか？

一言で言えば、小島プレス工業がトヨタ自動車の一次取引先だからです。一次取引先である同社は、自動車製造に欠かせない多種多様な製品を”直接”トヨタ自動車に納品する役割を担っています。しかし、感染したランサムウェアに対処するためにネットワークを遮断したことで、トヨタ自動車やその他の二次取引先とも部品取引が困難となりました。これにより完成車メーカーであるトヨタ自動車は、自動車の製造に必要な多くの部品を調達できなくなり、やむなく全ての工場の稼働停止を決断しました。

サイバー攻撃による被害の影響

工場の稼働停止はたった1日で済みましたが、それでも計1万3千台以上の生産に影響が出たと推測されています。また、障害が起こったシステムの完全復旧には1~2週間ほどかかる見込みで、それまでは暫定的に構築したシステム/ネットワークを利用して業務を継続するということです。前述の「脅迫文」について、小島プレス工業は「脅迫文」に従わずに即時ネットワークを遮断したため、リンク先のページ内容や要求金額なども把握しておらず、身代金も支払っていないことが関係者への取材で明らかになっています。なお、脅迫文には「このリンクにアクセスしないと機密情報を公開する」と書かれていたそうですが、今現在、データ流出等の被害は確認出来ていません。

 

デンソーのドイツ現地法人を狙ったサイバー攻撃

デンソーはトヨタ系部品会社で最大手企業です。北アメリカをはじめ、南アメリカ、欧州、アジア地域やアフリカにも海外拠点があります。今回、サイバー攻撃を受けたのはドイツにある現地法人でした。デンソーによりますと、3月10日、現地の従業員が社内のシステムへの不正アクセスを確認し、身代金を要求するサイバー攻撃「ランサムウェア」であることが明らかになりました。デンソーを攻撃した集団は「Pandora」と名乗るサイバー犯罪グループであり、デンソーを攻撃して盗み取った発注書や図面などおよそ15万7000件の機密情報を公開するとの犯行声明を出しました。

サイバー攻撃を受けたデンソーのドイツ現地法人は自動車部品の販売や開発の拠点であるため、今現在、ランサムウェア感染による自動車部品生産や調達への影響はないと確認されています。

 

ランサムウェアとは？危険性と被害事例

ランサムウェアの最大の特徴は、一度感染すると、業務に不可欠なシステムや機密データが暗号化（ロック）および窃取されて使用不能となることと、それを復号化（ロック解除）する対価として金銭の支払い等の条件を提示されることです。暗号化の性質上、一度ロックされたシステム・データはそれを仕掛けた攻撃者にしか解除出来ないため、被害者が取れる選択肢は「条件を呑み金銭を支払う」か「金銭を支払わず代案を練る」の2択しかなく、早急な解決を望む多くの企業は金銭を支払ってしまいます。

多くの場合、金銭を支払う事でロックは解除されるのですが必ずしもその保証はなく、盗まれた機密データがどのように扱われるかを把握することすらできない場合が多いです。また、金銭を支払ったにもかかわらず、さらなる条件を提示されるリスクもあります。

 

ランサムウェア被害に遭わないために必要な対策

ランサムウェアの被害に遭わないために、もっとも重要なのは「感染させないこと」です。基本的なセキュリティ対策から、漏れなく進めていきましょう。例えば、システムをこまめにアップデートし最新の状態を保つこと、想定しうる感染経路（※）を確認し社内の周知/対策を徹底するなど、社内全体のセキュリティ意識を高めることが感染予防につながります。また、セキュリティ意識を高めるだけではなく、機密情報の暗号化や重要なデータにアクセスできる人を制限するなど、サイバー攻撃に対する徹底した準備をしておけば、情報流出を阻止することができます。

※ランサムウェアの感染経路・・・メールの添付ファイル、怪しいウェブサイト、ネットワークの脆弱性、不正ログインなど。

 

感染を想定した準備も必須

最悪の事態を想定することは、セキュリティ対策をする上でとても重要です。感染を防ぐ対策だけでなく、「もしも感染したら」という視点で「被害を最小限に抑える対策」も積極的に進めていきましょう。例えば、企業にとって最悪な事態の1つは「重要情報やシステムにアクセスできず、事業継続が困難になること」です。よって、企業は最低限、下記項目の対策準備を進めるべきです。

・バックアップの取得

・バックアップとネットワークの常時離断

・アクセス権限分散

・共有サーバの分離

・代替システム/ネットワークの構築（の準備）

最悪を想定した準備が企業にどれだけの恩恵をもたらすかは、今回の小島プレス工業の被害実態を見れば明らかです。

 

まとめ

2022年になってから国内でランサムウェアを利用したサイバー攻撃が増加しています。ランサムウェアに一度感染すると業務に不可欠なシステムや機密データが暗号化（ロック）および窃取されて使用不能になります。それを復号化（ロック解除）するのは、それを仕掛けた攻撃者にしか解除出来ないです。自社で復旧するとしたら、膨大な資金や時間が必要です。最悪の場合、復旧できないかもしれません。したがって、感染経路を把握した上で適切なセキュリティ対策を立てておく必要があります。そして、前述のように「もしも感染したら」という観点で被害を最小限に抑える対策も必要でしょう。弊社が提案する対策を参考に安全なセキュリティ対策を講じて頂ければ幸いです。

ZTNA image

ZTNAソリューションの種類、メリットから導入時のチェックポイントまで

by ブログ

ZTNA image

コロナ禍をきっかけにリモートワークの普及が進み、社外から社内のネットワークにアクセスするVPN接続の利用も広がっています。しかし昨今、VPN接続を狙ったサイバー攻撃も増加しつつあり、ネットワークのセキュリティ対策の重要性が見直されつつあります。近年、ネットワークのセキュリティに関して注目を集めているのが、ZTNAと呼ばれる考え方です。ここでは、ZTNAソリューションの種類やメリット、そして導入する際におさえておきたいチェックポイントについてご紹介します。

 

ZTNAとは？

ZTNAという概念について簡単に解説しておきます。ZTNAとは「Zero Trust Network Access」の略称です。「ゼロトラスト」とは、ネットワークの外側も内側も信頼しない、という考え方です。従来のセキュリティは、ネットワークの内側だけを信頼し、外側は信頼しない、という考え方に基づいた対策を採用していました。しかし昨今のクラウドのように、社外に情報資産を置いたシステムの利用も活発化しています。そのため、従来のセキュリティでは不十分とみなされつつあります。そうした現状の中で注目されているZTNAは、あらゆるアクセスを信頼せず、外部だけではなく内部からのアクセスもチェックし、信頼できるものだけを通過させる仕組みです。

ZTNAについて、詳しくはこちらの記事をご覧ください。

⇒企業担当者必見！ZTNAとは？概念とセキュリティモデルを解説！

 

ZTNAソリューションを導入するメリット

ZTNAソリューションを導入するメリットとして、以下のようなことが挙げられます。

  • セキュリティの向上
  • 管理負担の軽減
  • アクセス負荷の低減

それでは、ZTNA導入におけるメリットを詳しく説明します。

セキュリティの向上

ZTNAソリューションを導入することで得られるメリットとして、まずはセキュリティの向上が挙げられます。VPNと異なり、すべてのアクセスを信頼せずにチェックを行うZTNAは、セキュリティの向上につながります。また、認証を通過したデバイスのみ、制限された領域にのみアクセスできるような仕組みを提供するため、万一デバイスの盗難等の被害に遭った場合にも、情報漏洩等の被害を最小限に抑えることができます。

管理負担の軽減

管理者の負担を軽減することも可能です。特に社員数が多い会社の場合、情報システム部門で管理すべき情報は膨大な数に上ります。ZTNAソリューションを導入することで、認証情報等を一括して管理することができるため、管理の負担を減らすことができます。ソリューションを選ぶ際には、管理インターフェースの使いやすさ等も考慮しておきましょう。

アクセス負荷の低減

アクセス負荷を低減することもできます。ユーザーは限られたアプリケーションにしかアクセスできなくなるため、必要なアクセスのみが発生し、無駄なアクセスを減らすことができるようになります。

 

ZTNAソリューションの種類

それでは、ZTNAに基づいたセキュリティ対策を実現する製品について、さらに詳しく解説していきます。ZTNAソリューションには、大きく分けて「サービス主導型」と「クライアント主導型」の二種類があります。それぞれの特徴と、向いている企業についてご紹介します。

 サービス主導型

「サービス主導型」のZTNAソリューションは、サービス（アプリケーション）を提供している側がアクセス権限等を主導的に管理する仕組みです。サービス主導型のソリューションはSDP(Software Defined Perimeter)という概念を取り入れています。SDPとは、ソフトウェア上に新しく境界線を設けることで、ユーザーのアクセス権限等を一括して管理する考え方です。サービス主導型のZTNAソリューションは、ユーザーのデバイスにインストール等を行う必要がありません。そのため、ユーザーが各々のデバイスを利用して業務に携わる形態を採っている企業に向いています。

 クライアント主導型

「クライアント主導型」のZTNAソリューションは、クライアントであるユーザーの状態やデバイスに応じてアクセス制御を行います。オンプレミスでもクラウド上でもアクセスが可能となるため利便性が高く、アプリケーションの構成変更も少ない場合が多いため、サービス主導型に比べ導入しやすいという特徴があります。クライアント主導型のZTNAソリューションは、デバイスの方にインストール等を行うことになります。社用のPCやスマートフォンを支給している場合など、デバイスを限定して管理している企業に向いています。

 

ZTNAソリューションを導入する際のチェックポイント

それでは、ZTNAソリューションを導入する際のチェックポイントについてご紹介していきます。複数のZTNAソリューションの中から自社の業務にとって適切なものを選ぶためにも、重要なポイントをおさえておきましょう。

セキュリティの固さ

1つ目のポイントはセキュリティの固さです。セキュリティソリューションである以上、性能の低いものであっては意味がありません。強固なセキュリティを実現可能か見極めるために、ソリューションの特徴をきちんと把握し、信頼できるベンダーを選定する必要があります。

操作性と管理のしやすさ

2つ目のポイントは操作性です。ユーザーにとっての認証画面にしても、管理者にとっての管理画面にしても、操作しやすいことに越したことはありません。ユーザーにとっては、あまりに煩雑な認証画面が与えられると業務効率の低下が想定されます。管理者にとっても、ユーザー情報をはじめ管理すべき情報が多いため、効率的な業務のためには管理用のインターフェースにも気を配りたいところです。

サポートの充実

ネットワークに関わるソリューションである以上、問題が起こった場合に即時に対応ができないと、業務に大きな支障をきたす恐れがあります。セキュリティ関係の事故が発生した場合など、ベンダーの助けがなければ原因究明や対応ができない可能性もあります。手厚いサポートが用意されているかどうか、ということも選ぶ際のポイントになります。

 

ZTNAソリューションのおすすめ「Cloudbric RAS」を紹介！

製品によって提供形態やサービス内容が異なるため、ZTNAの導入をする際は製品を見極めて自社にあったサービスを選ぶことが重要です。そして、導入するZTNA製品を見極める際のチェックポイントとしては、前述した内容である、下記の３つが挙げられます。

  • セキュリティの固さ
  • 管理のしやすさ
  • サポートの充実

これら３つのポイントからおすすめするZTNAソリューションは「Cloudbric RAS」があります。「End To Endのゼロトラストセキュリティ環境」を構築することができるクラウド型セキュリティサービスです。より詳しい内容を確認したい方は、こちらをご覧ください。

 

まとめ

今回は、ZTNAのソリューションの種類や導入のメリット、そして導入するために確認する必要があるポイントについて解説してきました。今まで解説してきた導入のメリットやチェックポイントを踏まえた上で、ZTNAソリューションから自社に適切なものを選択しましょう。

 

データ主導権モデルの分花いモデルの責任分界点

「責任共有モデル」とは？クラウド時代のセキュリティについて徹底解説！

by ブログ

データ主導権モデルの分花いモデルの責任分界点

昨今、クラウドサービスの普及に伴い、多くの企業がクラウドサービスへの移行を検討していると思われます。しかし、クラウドサービスの利用時に注意したいのが、事故が起きた際に誰が責任をとればよいのか、ということです。現在のクラウドサービスの多くは「責任共有モデル」というセキュリティモデルを採用しています。しかし昨今、とりあえずクラウドを使ってみよう、という考え方が広がり、こうした「責任共有モデル」をはじめとするセキュリティについて把握しきれていない利用企業も多数あると言われています。総務省は、クラウドサービス事業者向けの「情報セキュリティ対策ガイドライン」を2021年9月に改定し、この責任共有モデルについて内容を拡充しました。

こうした事情に鑑みて、ここでは、クラウド時代の新しいセキュリティである「責任共有モデル」と弊社が提案する「データ主導権モデル」について解説していきます。また、セキュリティ対策として具体的にどのような対策があるのか、最後に紹介します。

 

責任共有モデルとは

そもそも、責任共有モデルとはどのようなモデルなのでしょうか。簡単に言ってしまえば、サービスにおける責任をクラウド事業者と利用者との間で共有するという考え方です。クラウドの登場によって、セキュリティのあり様は大きく変わったと言われています。完全に自社内だけで、インフラからアプリケーション構築、データ管理を行っている場合は、データの機密性の保持を第一に考え、外部との通信に気を遣えば、大きな問題はないと思われるでしょう。しかし、クラウドの登場により自社の「外部」にデータやアプリケーションを保持する、という運用体制が出来上がります。そのため、データやシステムに問題が起きた時にどこが責任をとるのか、どのようなセキュリティ対策を施すべきなのか、ということを考え直す必要がありました。そうして生まれたのが、「責任共有モデル」という考え方でした。

例えば、クラウド事業者がインフラ等に責任を、利用者がデータに責任を持つと仮定してみましょう。ハードウェアやネットワークについては事業者が管理し、障害等が起こった際には責任を負います。それに対して、実際にクラウド上に保存されているデータに関しては利用者が管理し、操作の誤り等による損失の際には責任を負います。このように、サービスの管理責任の範囲を明確化して共有する、という考え方が「責任共有モデル」です。

 

IaaS、PaaS、SaaSの「責任分界点」の違い

「責任共有モデル」に則ってサービスを運用するためには、事業者と利用者の責任範囲を明確にしておく必要があります。その責任範囲の明確化は、「責任分界点」によって成されます。「責任分界点」とはその名の通り、責任範囲を分かつポイントのことです。この責任分界点は事業者やサービスによって様々ですが、IaaS、PaaS、SaaSのそれぞれについて、一般的なものについてご紹介します。

サービス毎の責任範囲

出所：日本マイクロソフト

IaaSの責任分界点

IaaSとは「Infrastructure as a Service」の略称で、直訳すると「サービスとしてのインフラストラクチャー」となります。つまり、ハードウェアやネットワーク回線といったインフラを、インターネット上で提供するサービスです。IaaSにおいて事業者が提供するのはインフラまでです。そのため、事業者が責任を負うのもインフラまでです。IaaSの上に構築されるかOSやミドルウェア、アプリケーション、データ等に関しては、利用者の側で責任を負うことになります。そのため一般に、IaaSにおける責任分界点はハードウェアとOSの間、ということになります。

PaaSの責任分界点

PaaSとは「Platform as a Service」の略称で、直訳すると「サービスとしてのプラットフォーム」となります。PaaSはIaaSよりもさらに進んで、アプリケーション開発のためのプラットフォーム、つまりインフラに加え、OSやミドルウェアまでをインターネット上で提供するサービスです。IaaSの場合、事業者の管理責任はミドルウェアにまで及びます。ユーザーが管理できるのは、インフラ・プラットフォームの上に構築できるアプリケーションとデータ、ということになります。つまり、一般にPaaSにおける責任分界点は、ミドルウェアとアプリケーションとの間、ということになります。

SaaSの責任分界点

SaaSとは「Software as a Service」の略称で、「サービスとしてのソフトウェア」となります。SaaSはIaaS、PaaSよりもさらに進んで、ソフトウェアやアプリケーションをインターネット上で提供するサービスです。SaaSの場合はOSやミドルウェアのみならずソフトウェアまでを事業者が管理することとなるため、利用者の責任範囲はデータのみ、ということになります。しかし、利用しているソフトウェアのユーザーIDや権限設定など、利用者の側でソフトウェアの管理の一部を担うこともあります。とは言え一般に、SaaSにおける責任分界点はソフトウェアとデータとの間、ということとなります。

 

クラウド利用の複雑化による責任範囲の不明瞭

ここまで、IaaS、PaaS、SaaSそれぞれの責任分界点について解説してきました。ここまでの話からすると、責任共有モデルとは、事業者の提供しているものは事業者が、そうでないものは利用者が責任を負う、という非常にシンプルな考え方に見えます。しかし、実際はここまで単純ではありません。その理由の一つが、サービスの利用環境や契約内容等により、責任範囲が異なるということが挙げられます。「このサービスはSaaSに分類されるはずだから、データだけ見ておけばいい」といった考え方は、セキュリティ対策の見落としなどにつながる可能性があります。もう一つの理由として、複数のクラウドを利用するようになった、ということが挙げられます。例えば、「Amazon Web Service」や「Microsoft Azure」のような、IaaS、PaaSの上に独自のアプリケーションを構築し、それを一つのSaaSとして提供している場合があります。また、APIを用いて複数のサービスを組み合わせ、一つのSaaSとして提供している場合もあります。

このように、一つのSaaSが複数のクラウドサービスを使って提供されていたり、利用者の側でも複数のクラウドサービスを利用したりと、クラウドのあり方が複雑化しつつあります。そのため、責任範囲を一様に確定させることは難しく、あくまでも自社の利用しているサービスの責任範囲をしっかりと把握して、適切なセキュリティ対策を行う必要があります。

 

「責任転嫁モデル」から「データ主導権モデル」へ

責任共有モデルは、事業者が全ての責任を負うのではなく、部分的に利用者が管理し責任を負うため、事業者が利用者に責任を転嫁する「責任転嫁モデル」と揶揄されることもあります。しかし、クラウドサービスの事業者側がサービスの管理の全てを担う、という体制ではデータの機密性にも不安が残ります。そのため利用者の側は、この責任共有モデルを「責任転嫁モデル」と揶揄するのではなく、「データ主導権モデル」として見つめなおし、データ保護のためのセキュリティ対策に取り組んでいく必要があります。

それでは「データ主導権モデル」のセキュリティ対策には、どのようなものが考えられるでしょうか。

 

「データ主導権モデル」のセキュリティ対策とは

まず必要になるのが、保護範囲を明確化する、ということです。「データ主導権モデル」と言うからには、守るべきデータがどこにあるのかをきちんと把握する必要が生じてきます。そのうえで、そうしたデータに関して、セキュリティ的にどのような課題があるのかを明確化する必要があるでしょう。守るべきデータ範囲とセキュリティ上の課題が明確化したら、具体的な策をとっていくこととなります。ここでは、外部からの攻撃への対策、内部に侵入されてしまった場合の対策、そして運用・管理に関わる対策についてご紹介します。

まずは、外部からの侵入や攻撃に対する対応です。WAF（WebApplicationFirewall）の導入によって攻撃性のあるアクセスを排除したり、DDos攻撃への対策を導入したりといった対策がそれにあたります。次に検討すべきは、内部に侵入されてしまった場合の対策です。WAFも万能という訳ではありません。実際に侵入されてしまった場合に、マルウェアやデータの改ざんを検知するソフトの導入などが必要となります。しかしそれだけでは不十分です。クラウドの利便性の高さの一つの要因が、どこからでもアクセスできるという点にあります。つまり、クラウドを利用したサービスは、オフィスの外からでも社内のシステムを運用・管理できます。しかし、システムを社員が利用するとしても、社員のデバイスが正規のものか、本当に社員がアクセスしているのか、といった不安は解消できません。そのため、内部のアクセス権限を管理したり、ログを監視したり、といった対策も用意する必要があります。

ここでは、「データ主導権モデル」の具体的なセキュリティ対策例として、外部、内部、運用・管理の三段階に分けてご紹介しました。いずれの対策をとるにしても、守るべきデータ範囲とセキュリティ上の課題を明確化した上ではじめて成立する対策であることは押さえておく必要があると思います。

「データ主導権モデル」について弊社のウェビナーもありますので、ご興味のある方はこちらをご覧ください。

 

まとめ

ここでは、「責任共有モデル」とそれに準じたセキュリティについてご紹介しました。「責任共有モデル」とは、クラウドの事業者と利用者との間で責任をとる範囲を分担し、各々の管理下にあるものについてのみ責任を持つ、というモデルを指します。責任範囲は一律に決まるものではなく、自社の利用しているサービス毎に責任範囲を明確に把握する必要があります。「責任共有モデル」は「責任転嫁モデル」と揶揄されることもありますが、企業がすべきはこのモデルを「データ主導権モデル」として見つめなおし、適切なセキュリティ対策を行っていくことです。保護範囲の確定と課題の明確化を行い、そのうえでWAFの導入やDDoS対策、マルウェア検知等の策を講じていく必要があります。自社のサービスの特性や責任範囲だけでなく、守るべきデータの範囲や課題をきちんと把握することこそが、自社のデータを安全に守るための第一歩と言えるでしょう。

ちなみに、当社のCloudbric WAF＋はWAF機能のみならずDDoS対策サービス機能まで提供する総合セキュリティ対策です。コストパフォーマンスと高度なセキュリティの両立できるWebセキュリティ対策をお探しの企業様にとって、最善の選択肢であると思いますので、ぜひチェックしてみてください。

 

▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」

▼製品・サービスに関するお問い合わせはこちら

 

ランサムウェアの状況とその対策サムネイル220114

2021年日本におけるランサムウェアの状況とその対策について

by ブログ

日本におけるランサムウェア状況とその対策

2020年1月から全世界を脅かしたコロナウイルスは我々の生活パターンを大きく変えてしまいました。コロナウイルスの影響で始まった新しい生活様式は「ニューノーマル」と呼ばれています。その生活様式はソーシャルディスタンスを保つことを中心にしています。この変化は日常生活だけではなく、働き方に関しても大きな影響を及ぼしています。会社に出勤する形ではなく、自宅やネットワークが繋がっている場所で仕事をする、いわゆるテレワークの時代が始まりました。

 

コロナウイルスがもたらした新しい働き方

テレワークはソーシャルディスタンスを保ちながら、企業運営ができる働き方なので、多くの企業が導入していますが、それにはある問題が伴います。それは企業の情報保護が難しくなることです。ネット上で多くの仕事が行われ、重要な情報が保存されるため、ハッカーに狙われやすいです。このような攻撃から情報を守るために、企業はセキュリティ対策に力を入れていますが、巧妙化している攻撃を完全に防ぐことは難しいです。数多くある攻撃の中で、最近急増しているのがランサムウェアによる攻撃です。

 

ランサムウェアとは

ランサムウェアはマルウェアの一種で、利用者のシステムへのアクセスを制御し、データを暗号化する不正プログラムです。暗号化されたデータを解除するためには身代金(Ransom、ランサム)を支払うように要求されるのが一般的です。従来のランサムウェアは不特定多数の利用者を狙っていましたが、最近には特定の個人や企業を標的にしていることも多くあります。ここでは、急増しているランサムウェアによる被害を調べ、その対策について解説いたします。

 

日本におけるランサムウェアの発生状況

警察庁が発表した資料によると、2021年(上半期)にランサムウェアによる被害報告が61件に達しました。この件数は2020年下半期と比べたら、約3倍が増加した数値です。

引用：「令和３年上半期におけるサイバー空間をめぐる脅威の情勢等について」より作成

また、最近の事例ではデータの暗号化するだけではなく「データを窃取したあとに企業に対し、身代金を支払わなければ、窃取したデータを公開する」などのようなお金を要求する二重恐喝(ダブルエクストーション)による被害も見られます。ランサムウェアによる被害の中で、金銭の要求手口が確認された被害が35件であり、このうち二重恐喝は27件でした。この状況を見ると、これからのランサムウェアは従来の攻撃手口であった利用者のアクセスを制御する形だけではなく、直接金銭を要求するランサムウェア攻撃も多発する可能性が高くなると思われます。

 

ランサムウェアの感染経路

個人や企業を問わずに被害を与えているランサムウェアはどのような経路で感染されているのか調べてみましょう。警察庁の発表によると、多くの割合を占めていた経路はVPN機器からの侵入でした。次いで、リモートデスクトップからの侵入もあり、テレワーク時に使われるサービスを利用して侵入したのが約80％を占めていることがわかりました。では、日本で実際に発生したランサムウェアによる被害の実例を確認してみましょう。

 

日本で発生したランサムウェア「Cring」による被害

「Cring」は2020年12月頃全世界で活動した新しいランサムウェアであり、データの暗号化と窃取したデータを暴露するタイプである二重恐喝(ダブルエクストーション)型です。攻撃者はVPNの脆弱性を利用してITシステムへ不正侵入し、アクセスを制御し、ランサムウェアを感染させて、重要なデータを利用不可にします。このランサムウェアは2021年上半期から日本で多く発生しました。被害事例としては、管理するファイルサーバと業務サーバがシステム停止状態になるなど、企業運営に直接的に影響を及ぼす程度の被害もありました。

このように攻撃者はコロナで急変している働き方の脆弱なところを狙って攻撃を仕掛けてきます。この状況の中で、個人や企業は安全なテレワークの環境の構築とデータを守るためにはどのようなセキュリティ対策が必要なのでしょうか。

 

ランサムウェアを防御するセキュリティ対策とは

まず、簡単にできることは電子メールの警戒があります。未だにもランサムウェアは不特定多数に関心を引くような内容でメールを送って添付ファイルを開かせ、感染させる手口が多いです。対応としては送信先を確認してから添付ファイルを開くことやリンク先にアクセスしないように注意する必要があります。

次に、定期的にデータをバックアップしておき、感染に備えることも必要でしょう。しかし、バックアップデータも暗号化された事例もありますので、バックアップデータはネットワークから切り離して保管した方が望ましいです。

最後に、ネットワークの脆弱性を狙って攻撃し、感染させる手口もありますので、それに対する対策も必要です。多くの企業さんが安全なテレワーク環境を作るために、ZTNAを導入しています。ZTNA(ゼロトラストネットワークアクセス)はアクセスできる範囲や権限をきめ細かく設定したり、多要素認証を追加することでユーザの検証を行い安全性を確保します。

 

Cloudbric RASのご紹介

「Cloudbric RAS」についてご説明します。Cloudbric RAS(クラウドブリック・ラス)は、Cloudbric Security Platformにて選択できるZTNA（Zero Trust Network Access）ソリューションです。ユーザ観点の認証セキュリティを付加し「End To Endのゼロトラストセキュリティ環境」を提案します。安全なテレワーク環境を構築するための企業の課題を解決するSaaS型テレワーク・サービスであり、Direct ConnectやVPNを構築せずセキュアに企業システムへアクセスをサポートし、管理性・利便性とセキュリティが両立できるサービスを提供しています。

Cloudbric RASサービスの料金やサービス内容について詳細を知りたい方は、こちらをご覧ください。

 

まとめ

2021年日本におけるランサムウェア被害とその対策について説明しました。今後はより巧妙化したランサムウェアが特定の企業を標的にして攻撃することもあるでしょう。そのような攻撃からデータを安全に守るためには、適切なセキュリティ対策が必要になります。弊社が提案する対策を参考に安全なテレワーク環境を構築して頂ければ幸いです。

 

参考サイト
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R03_kami_cyber_jousei.pdf
https://www.ipa.go.jp/files/000093083.pdf
https://www.npa.go.jp/cyber/ransom/index.html

블로그 이미지211203

メタバース普及に伴うセキュリティリスク、そして対策について解説

by ブログ

前回、メタバースについてくわしく解説しました。詳しくは下記の記事を参考にしてください。

→世の中でほとんど常識の「メタバース」、まだ見ぬ未来にもたらすインパクトとセキュリティ対策について

 

メタバースの空間では声だけでなく仕草などの存在感も感じられ、実際に会っているような感覚で話せることからビジネスでのコミュニケーションの面でも注目されています。今回は、最近になって関心を向けられているメタバースにおけるサイバーセキュリティと生じる可能性があるリスクについて考えてみます。

 

メタバースの特徴2

このメタバースは次世代における、生活や産業などの経済活動を営む上で不可欠な社会基盤とも言われており、Facebook、Googleなど世界中の企業から注目を集めていますが、この世界に「メタバース」と呼ばれるものを、細部まで正確に成り行きや結果について前もって見当をつけて説明できる人はいないとも言われています。それほど新しい概念となっているため、メタバースを現実のものとすることがもしも叶うならば、インターネットの次のインフラと言われるほどの世の中を変える大きな動きをもたらすでしょう。インターネットが世の中に登場する以前の人々がインターネットの全貌を予測できなかったように、私たちもメタバースというものを予測できないのです。しかし現時点における本質的な思考において把握される、メタバースの『何たるか』という部分をよくわかるように述べることは不可能ではありません。

  1. 無限の期間に存在することのできる特性がある
    インターネットの世界ではスイッチをオフにしてしまえばそこで終了ですが、現実世界には終わりがありません。この意味でメタバースは現実世界に近い無限の期間に存在することのできる特性があること。
  2. 自分の主体性がある
    ここでの主体性とは自分そのものを現示するアバターのことで、人間の創造的活動により生み出されるどのようなものであっても変わらずに使用できること。
  3. 現実世界と内容や情報が一致している
    常に現実世界と仮想世界の内容や情報が一致しており、時間が一致していること。
  4. 何時でも無条件で場所を選ばずに参加できる
    接続できる人数に制限がなく、特殊な場合についてでなく広く認められ公開されているということ。ひとつの場所に制限がなく接続できること。
  5. 自社の経済波及効果を持っている
    個人や企業が、仮想空間内でサービスの開発・売買・投資・保有、さらに作ったものに対して報酬が支払われること。これらが現実世界でこうあるべきだと決められた規則から独立して行われること。
  6. 多種多様のコンテンツ
    ゲームやスポーツ、アーティストの生演奏観覧をファーストステップとして、ファッションショーやトークショーなどリアルで実施されてきたイベントを行えること。

現在において、確定的事実としてではありませんが考証推測できるメタバースの特徴はこれくらいでしょうか。共通して考えられることは、現実の世界を構成する個々の部分とほぼ変わらない固有の働きを備えているということでしょう。

 

メタバースで配慮しなければならないサイバーセキュリティとリスク

現実空間と似通っているエクスペリエンスができてしまうメタバースは、まだ見ぬ未来多種多様な場面において役立てるシーンが広がるものと考えられます。これまでのインターネットサービスと相違するメタバースで、推しはかれるリスクにはいったいどんなものがあるでしょうか。これからバーチャルな空間で生活する場面が増えていく時代を迎え入れるに際して、いったいどんなリスクが存在するのかを考えることはきわめて大切なことです。

リスクモデリング手法「STRIDE」

メタバースにおけるリスクを考える上で、リスクモデリング手法である『STRIDE』を使用します。STIRDEはマイクロソフト社によって提唱されたリスク導出の方法で、サービスにどのようなリスクが考えられるのかを次の6つの観点で網羅的に分析できます。

  1. Spoofing identify：なりすまし
    正規の利用者に悪意のある攻撃者がなりすます
  2. Tampering with data：改ざん
    データの悪意ある書き換え
  3. Repudiation：否認
    攻撃の証拠を隠滅し身元を隠す
  4. Information disclosure：情報漏えい
    秘匿すべき情報が窃取または公開される
  5. Denial of service(DoS)：サービス拒否攻撃
    サービスを止めてしまい使えなくする
  6. Elevation of privilege：権限昇格
    管理者の権限を不正に奪い悪用する

これらの6つのリスクカテゴリーの頭文字をとってSTRIDEとされています。本来は対象となるサービスのデータフローを図式化し、フローごとに詳細な上記の観点で分析を図っていきますが、ここでは簡易的にメタバースで起こり得るリスクについてSTRIDEの観点で考えてみます。

 

Spoofing identify(なりすまし)

メタバースにおけるなりすましは利用者の存在それ自身を脅して恐怖を抱かせます。記録や情報が盗んで持ち出される情報漏えいだけでなく、無断で情報がやり取りされるといった被害が発生することによって、本人の心当たりがないところで信頼性を失墜させる可能性があります。メタバースの利用用途が広がれば、勝手な契約や詐欺などに悪用される恐れもあります。攻撃者は次のような手順で利用者へのなりすましを行うと考えられます。

  • 認証情報(IDやパスワード)の窃取
    メタバースに接続するための認証情報が狙われるため、サービス運営者を騙ったフィッシングによる窃取や辞書型や、リスト型攻撃による不正ログインなどが考えられます。運営者側では多要素認証の導入、利用者側は他のサイトとのパスワードの使い回しをしないといった対策が有効です。アバターモデルデータやワールドデータが認証情報に紐づけられて登録されているため、認証情報の維持管理はいいかげんにせずきびしい態度で対処する必要があります。
  • アバターモデルデータの窃取
    メタバースで使われているアバターモデルは現実のトレンドとほとんど同じであることによって、自分自身の姿に手を加えて他と比較して異なる個性をもった好みのものに作り変えられるため、利用者の人格を正しく理解する上で重要視されるべき要素となっています。その人個人のアバターモデルが他人に悪用されてしまうと、他の利用者から視覚的に見分ける方法はありません。アバターモデルデータを窃取するには、正当と見なされる手段や方式を用いないログインやメモリーに展開されているキャッシュデータからの抽出、サーバ上に保存されているデータの取得が考えられます。これらのリスクには、サーバやクライアントアプリを含めたサービス提供側でのデータの抽出や解読を困難にする仕組みの導入などの対策が求められ、サーバ上に保存されているデータについても暗号化や権限管理による制限が必要となります。
  • 他人を装った利用者
    アーティフィシャル・インテリジェンスなど高度な合成技術を用いて作られた、本物と見分けがつかないような偽物の動画である『ディープ・フェイク』が大きな問題になっていますが、メタバースでの人格のなりすましはまさに魂のディープ・フェイクと言えるでしょう。アバターモデルデータの窃取と同様に、他人を装った利用者の存在もリスクと考えられます。相手の存在をアバター・声・しぐさ・名前といった現実よりも条件が制約されており、行動や判断の範囲に一定の限度がある情報で認識しているため、他人のアバターを窃取することによって、声や動きを合成音声やしぐさの解析で再現できるため、メタバース内でのみ顔見知りである人にとっては本人と見分けることはこの上なく困難なものと言えます。メタバースを通して利用者に提供するサービスについて思慮をめぐらす際は、こういったなりすましを考慮に入れた本人確認のメカニズムを考えなければなりません。

 

Tampering with data (改ざん)

メタバースでは、利用者が作り上げたアバターやワールドのデータを複数の利用者が共に利用できる仕組みを備え持っているため、攻撃者による改ざんは制作した利用者の意図とは異なる動作によって他の利用者への被害を生む恐れがあります。

  • ワールドデータの改ざん
    メタバースでは、通常の限界を超えた色の変化や光のハイスピードな点滅といった神経を過敏に反応させる問題のある演出効果を、利用者の視界全体に表示させる嫌がらせが問題となります。これらは心理的・精神的な悪影響だけでなく、嘔吐や倦怠感などの身体的な被害を生じる場合があり、最悪の場合重大な症状のきっかけとなる恐れがあります。攻撃者がワールドデータを改ざんすることでこういった効果を埋め込むことによって、訪れた善意の利用者に被害を生じさせるといった不正行為が考えられるため、利用者のアバターモデルと同じ方法でサービス提供側におけるワールドデータの保護が所望されます。
  • プロファイル情報の改ざん
    メタバースでは、オンラインゲーム同様にこの人は信じられる、頼りにできるなどと他人から評価される度合いをスコアリングした、信頼度レベルシステムを搭載しているサービスもあります。こういった信頼度スコアは、メタバース内における社会性のある互いを大切に思う結びつきといったアクティビティを積み重ねることによって、スコアがレベルアップするように設計されています。こういった値が改ざんされてしまうと、つくり終えて間のないアカウントでも他の利用者に被害をもたらすようなワールドやアバターデータを共有することが可能になる危険性があります。

 

Repudiation(否認)

否認とは、サービス上での操作履歴を跡形もなく消すことによって、不正行為のエビデンスを無くし攻撃者の特定をできなくするリスクです。過去に蓄積された情報から攻撃者を特定することが困難となるため、状況に合わせた適当な処置をとることがほぼ不可能となります。メタバース上では、サービス内に保存されている過去にどういった行動をしたかという情報の改ざんや、操作の順序と回数を記録した情報の改ざんなどによる否認が考えられます。

 

Information disclosure(情報漏えい)

情報漏えいは、情報を保持すべき当事者以外の第三者が不正に情報を入手するリスクです。

  • メタバース空間内での盗聴・盗撮
    現実世界と同じようにメタバース空間内においても盗聴・盗撮といった悪い結果を招く可能性があります。アナログな現実世界をデジタル・コピーした世界であるメタバース空間においては、原理上『見えない』アバターの存在が可能で、ひとつのワールドデータを基にして同時に複数の世界を生成できます。このようなメカニズムはワールドのインスタンス化と呼ばれています。プライバシーを提供するために作成されたインスタンスにおいては、プライベートな内容や守秘義務が課されるような会話が行われているかもしれません。こういったインスタンスに第三者がアクセス可能である場合、目に映らないアバターを通して発言や行動などといったものが盗聴・盗撮されてしまう恐れがあります。サービス側におけるインスタンスの権限管理が行われることはもちろん、利用者側も接続に必要なインスタンス認証情報の取り扱いに注意が必要です。
  • メタバース空間に仕組まれた盗聴器や隠しカメラ
    ワールドのメカニズムを悪用することによって、そのワールドに訪問した利用者の行動や発言を記録される可能性が考えられます。盗聴器や隠しカメラと同様にワールドデータ内に仕組まれた音声や画像を採録するメカニズムによって、そのワールド内での利用者同士の会話や出来事が、知らない間に録音・撮影され第三者に送信されているかもしれません。このような機能の悪用を防ぐには、サービス側でワールドを作成する機能に対して通信先の制限や使用可能な機能の制限などを適切に行う必要があります。アバターを通してメタバース空間内で行われるコミュニケーションは、そのことに直接関係する人にとっては現実世界と同様に現実味を帯びた体験と等しい価値を持ちます。これらに対する盗聴・盗撮は体験以外の何ものでもないものの窃取と言えるため、リアル世界と同等に深刻な問題となります。

 

Denial of Service(サービス拒否)

いわゆるDoS攻撃とも呼ばれるもので、コンピュータの負荷を上昇させることによって、サービスの提供を不可能にするリスクです。

  • 利用者のパソコンに対するDoS攻撃
    ワールドやアバターを気持ちの赴くままに開発できるメタバースでは、利用者が仮想空間への接続に使用しているパソコンに対するDoS攻撃が考えられます。表示させた瞬間にパソコンが突然に異常終了してしまうアバターや、接続した瞬間にオーバーロードで表示が止まってしまうようなワールドなど、利用者が制作可能な機能を悪用した攻撃は実際に既存のメタバースでも問題となり様々な手段で対策が行われてきました。盗聴対策と同様に、アバターやワールドの表示や処理負荷に対して満たさなければならない条件についての決まりごとを設定して、アップロード時に検査するなどの処置が必要となります。

 

Elevation of Privilege(権限昇格)

権限昇格は、一般の利用者のアカウントを不正な方法によって管理者に昇格し、通常では使用できない管理機能の使用を可能にするリスクです。

  • プロファイル改ざんによるスーパーユーザ権限の取得
    サービスの仕様によっては、ユーザプロファイルにおける権限フラグ設定などを改ざんし、スーパーユーザ機能を有効にする攻撃が考えられます。

 

まとめ

メタバースが普及するようになると今後ビジネスコミュニケーションを大きく変えることになるでしょう。しかし、現在ではゲーム、教育、会議など、特定の分野での活用にとどまり、まだ限界があるのも事実です。最も懸念されるものがセキュリティです。メタバースがこれからどのように進展いくのか分からないということ、そして現在メタバースがインターネット上で構築されている以上、Webシステムにまつわる全てに脅威について徹底して対策していく必要が求められます。

 

Cloudbricのご紹介

https://www.cloudbric.jp/cloudbric-security-platform/

 

11.24

「CMS」とは？CMSの利用とそのセキュリティ対策について

by ブログ

現在のWebサイトの多くはCMS（Contents Management System：コンテンツ・マネジメント・システム）により構築されています。数あるCMSの中でもWordPressを利用したWebサイトはインターネット全体の40%を占めています。WordPressは企業のWebサイトに利用されているだけでなく、個人のブログにも利用されるなど幅広い支持を得たCMSです。支持される背景には、コミュニティにより開発されたプラグイン（拡張機能）を利用することで魅力あるWebサイトの構築が簡単になったことなどが挙げられます。

同時にCMSの脆弱性を利用した攻撃は増加しています。特にフィッシングサイトを悪用した詐欺被害は、CMSを利用するWebサイトの管理者の方には注意が必要です。ある日、管理しているWebサイトで不審なログインページが表示されたとなっては、Webサイトの信頼も落ちてしまいます。

ここではCMSに対する攻撃の事例、WAFを利用した攻撃への対策、JVN iPediaを利用した脆弱性の情報収集の方法について説明します。

 

CMSとは？

「CMS」は「Contents Management System：コンテンツ・マネジメント・システム」の略で、Webサイトの作成を簡単にしてくれる管理ツールです。HTMLやCSSといった専門的な知識、技術が無くてもテキストの入力や、画像のアップロードをするだけで、Webサイトの構築、更新を行うことができます。主な機能としてマルチデバイスに対応している、SNSとの連携が可能、SEO対策に対応している、などがあります。これらはスマホやタブレットとの親和性が高い機能です。特にブログの運営にはメリットがあります。

またビジネス用途としては、マーケティングのツールとしても利用されています。Webサイトの訪問履歴から様々な分析が可能になりました。訪問者を種別に分ける機能などもあり、Webサイトを情報公開のツールとしてだけでなく、見込み客の生成など、情報の収集ツールという機能が付加されたことは大きなメリットとなっています。

 

なぜ、CMSが狙われる？

CMSはWebサイトで利用されています。Webサイトは常に稼働しています。常に稼働しているWebサイト（CMS）に脆弱性があれば攻撃者は当然のように攻撃をしかけてくるものです。また、CMSへの攻撃は主にWebブラウザで対応ができます。URLに不正なコードを入力することでCMSの脆弱性を悪用できるからです。この手軽さは、攻撃者にとってメリットになっています。攻撃の種類ですが、情報窃取やデータの改ざんだけでなく、不正サイトへリダイレクトさせるなど複数あります。これら攻撃を巧みに利用して、機密情報や個人情報の窃取、詐欺による金銭窃取、仮想通貨(暗号資産）の採掘をさせる仕組みを不正に埋め込むなどの悪用が確認されています。

CMSの代表であるWordPressはオープンソースです。プラグインのソースも公開されています。攻撃者はソースを確認・分析して利用価値のある攻撃方法を開発しています。そのため攻撃手法として、プラグインの脆弱性を利用した攻撃が多いです。その手法も巧妙で、Webサイトの管理者が気づかず、さらに攻撃の痕跡が残らないように作られています。プラグインは、Webサイトの管理者にとって便利な機能が多数あるため、なくてはならないものだと思います。しかし攻撃者は、そのプラグインの脆弱性を探し、悪用しているのが現実です。

 

CMSのセキュリティリスク

引用：JPCERT/CC インシデント報告対応レポート2021年7月1日~2021年9月30日より

上記のグラフはJPCERTが2021年7月~2021年9月の間に報告を受けたインシデントのカテゴリー別の割合です。フィッシングサイトによる被害報告が全体の70%を超えていることがわかります。

引用：JPCERT/CC インシデント報告対応レポート2021年7月1日~2021年9月30日より

上記のグラフは、JPCERTが2020年10月~2021年9月の間に報告を受けたフィッシングサイトの件数です。1500件を下回った月は11月と2月の2回だけです。営業日で考えると毎日100件近い件数がJPCERTに報告されています。報告書には、銀行やクレジットカード会社の会員用ログインページを偽装したもの、携帯通信キャリアのユーザー用ログインページを装ったものが多数報告されたとあります。これら偽造されたWebページにCMSの脆弱性は深くかかわっています。プラグインを悪用した攻撃手法について説明していきます。

 

プラグインを悪用した攻撃方法

攻撃者はCMSの脆弱性を見つけると管理者に気づかれないように、脆弱性を悪用してこっそりと別のWebページを作成します。もしくは、不正なスクリプトを埋め込み、偽のWebページへ遷移（リダイレクト）させます。このような攻撃は、主にプラグインの脆弱性を悪用して行われます。このような攻撃が毎日どこかのCMSで行われていることはJPCERTの報告を見ても明らかだと思います。このことから脆弱性を放置したままのWebサイトは大量に存在していると思われます。それでは、CMSのセキュリティ対策について説明します。

 

CMSのセキュリティ対策

ここではCMSのセキュリティ対策としてWAF（Web Application Firewall）の導入とJVN iPediaを利用した脆弱性の情報収集について説明します。

対策１：最新のバージョンに更新、セキュリティパッチ適用

バージョンアップやセキュリティパッチ適用は重要な対策となります。なのでJVN iPediaを利用した脆弱性の情報収集について説明します。ご利用のCMSやプラグインの脆弱性があるか認識しておくことは重要なことがと思います。JVN iPediaは脆弱性対策情報のデータベースです。下記のURLからアクセスできます。TOPページにある「脆弱性対策情報データベース検索」にご利用のCMSの名前を入力して検索ボタンを押すと対象の脆弱性情報が出力されます。

引用: https://jvndb.jvn.jp/

図では「WordPress」を入力した結果が表示されています。「WordPress プラグイン名」で検索すると利用しているプラグインの脆弱性が表示されます。JVN iPediaでは、脆弱性の概要、深刻度（CVSS値）、対策などが記載されています。

対策２：WAFによる不正攻撃の検知と遮断

CMSの運用にはプラグイン機能を含めて、最新バージョンを利用することがサイバー攻撃を受けないための重要な対応となりますが「すぐにバージョンアップ、パッチ適用することができない」という管理者の方も多いと思います。バージョンアップやパッチ適用には、導入テストなど検証に時間を要することは十分あり得る話だと思います。そのための備えとしてWAF の導入を推奨します。WAFは現在、アプライアンス型WAFとクラウド型WAFの２つが主な提供方法となっています。

  • アプライアンス型WAF
    アプライアンス型WAFはベンダー提供のハードウェアです。Webサーバの前段に設置して運用するタイプです。導入には専門知識のある技術者によるチューニングが必要になります。
    ハードウェア購入というコストが発生します。また、運用には専門知識のある技術者を育てる必要があります。
  • クラウド型WAF
    クラウド型WAFはベンダーの提供するWAFをクラウド上で利用します。アプライアンス型WAFのようなハードウェア購入は不要です。アップデートなどの運用はベンダーが対応してくれるため、コストはアプライアンス型WAFよりコストがかかりません。導入する企業側の作業としては導入時の簡単な設定のみになります。

Cloudbric WAF+のご紹介

「Cloudbric WAF＋」についてご説明します。Cloudbric WAF+(クラウドブリック・ワフ・プラス)は、社内にセキュリティ専門家がいなくても手軽に運用・導入できる企業向けWebセキュリティ対策です。企業のWebセキュリティ確保に必須とされる5つのサービスを単一のプラットフォームにて統合的にご利用頂けます。小規模のWebサイトやWebアプリケーションから大規模のWebサービスまで、Webを基盤とするシステムを守ろうとするすべての人々にとって最適なソリューションを提供しています。

Cloudbric WAF＋サービスの料金やサービス内容についての詳細を知りたい方は、こちらをご覧ください。

 

まとめ

CMSの概要とセキュリティリスクおよびその対策について説明しました。CMSは今後も進化を続け、ビジネス利用や個人利用ともに利用者を増やしていくと予測されます。反面、セキュリティリスクの進化もしていくと予想されます。しかし、WAF+による検知・遮断と脆弱性に対するバージョンアップやパッチ適用という対策に大きな変化はないと思われます。弊社が提案する対策を参考に安全なWebサイトの運用いただけますと幸いです。

 

メタバースとは

世の中でほとんど常識の「メタバース」、まだ見ぬ未来にもたらすインパクトとセキュリティ対策について

by ブログ

オンラインに構築された、多数のユーザが気持ちの赴くままに情報を流したり情報を得たりできる3次元コンピュータグラフィックスの仮想的な空間。多くの人たちは世界中から各人各様のアバターで参加し、それをもうひとつの「現実」としてこれまでにない日々を過ごす、そんな仮想空間のアイデアは、これまで様々な空想的な世界を科学的仮想に基づいて描かれた作品だけでなく現実のサービスとしても提供されてきました。そして以前と同様に、こうした仮想空間へ皆の関心が最近高まっており、もっとも重要な意味をもつ言葉として「メタバース」が挙げられています。今回は様々なメタバース活用事例、そしてセキュリティ対策について2回に分けて解説したいと思います。

 

メタバースとは

メタバース(metaverse)という言葉は「超(meta)」と「宇宙(universe)」から作り出された複合語で、そもそもサイエンス・フィクション作家であるニール・スティーヴンスンが1992年に発表した小説である「スノウ・クラッシュ(Snow Crash)」に出現する架空の仮想空間サービスに付けられた名前でした。その後科学技術が進歩したことによって、よりすぐれたものや複雑なものになって登場した多種多様の仮想空間サービスの呼び名としても利用されるようになりました。

メタバースは域を出ないバーチャル・リアリティとアーティフィシャル・リアリティだけでなく、PC・モバイル・ゲーム機のすべてにアクセス可能なマルチプラットフォームになり得る可能性を秘めています。2000年代に圧倒的に流行したサービス「セカンドライフ」も、2020年に発売されあっという間に国民的人気を得たNintendo Switch用ゲーム「あつまれどうぶつの森」も、メタバースのひとつであるとされており、フィジカル空間とサイバー空間との間を行き来するような相互に他を補うような関係性を持つという特徴があります。

バーチャル・リアリティ空間における意思疎通の活性化

仮想空間をより内容豊富なものとするためにすぐれた技術へと進歩させていくことには、端末の高性能化やネットワークの高速・大容量化も含まれますが、特に重要なことは近年急速に高度化しつつあるバーチャル・リアリティ技術の活用です。バーチャル・リアリティ技術により、三次元グラフィックスを単に平面のスクリーン上に表示させるだけでなく、専用ゴーグルを通じて仮想空間の中にいるような視覚体験や、コントローラだけでなく感情や意志を伝えるための身体の動きや顔の表情を通じてアバターを自由に操作することが可能になりました。

このような進化は個人的な意思疎通を充実させるだけでなく、ビジネス上でも当事者にとって利益があるものとして注目を集めています。一例を挙げると、Facebookは2014年に買い取ったOculus社のバーチャル・リアリティ技術を効果的に利用した、メタバース・サービスである「Horizon Workrooms」を2021年8月に開設しています。Workroom(仕事場)という名称からも理解できるように、実体を伴わない仮想的な会議といったビジネスでの活用が視野におさめられています。参加者は感情や意志を伝えるための身体の動きや顔の表情を通じてアバターを操作でき、より実際の会議に近い意思疎通を仮想空間で行えるようになっています。

仕事をする空間としてのメタバース

基本的には、希望するモニタの数をバーチャル・リアリティ空間に再現して希望するモニタのサイズにでき、理想的なオフィス空間を実現できる可能性があります。同時にいくつかの仕事をこなす人や出張が多いビジネスパーソンでも、仕事環境をどこにでも再現するのに最適なツールであると考えています。オフィス空間に人々が自由に手を加えて好みのものに作り変えることによって、実際のオフィスをどこにでも持ち運べるようになります。

オフィスのデザイン会社や内装業者などの物理的な工事や納品作業が、デジタルデータの受け渡しによって完了してしまう日も近いかもしれません。落ち着きどころとして何百万人もの人々がアバターの衣装や内装デザインといったデジタルコンテンツの制作によって、生活の糧にしていくような世界観になっていくため、ありのままの自分が所望する場所に住みながら、色々な種類がありそれぞれに様子が異なるビジネスコミュニティに属せるようになります。今までの例では東京などといった人口が多く、商工業・経済・文化・政治などの中心となる都市に偏っていた、事業や取引を成立・拡大させるのによい機会が地方に住む人々にも平等に提供されるため、異なる分野の人や団体が協力して制作することなどの今までなかったものを作り出す可能性があります。

NFTによる仮想空間上でのサービスを生産・分配・交換して消費する活動

2021年4月、『Everydays – The First 5000 Days』と銘うつデジタル芸術、つまり物理的にそのものの本当の姿を持たない芸術作品が、約6935万ドル(約75億円)で落札されたことが報道されました。しかし人々が物事に興味を覚えより深く知ろうとしたことは、そのプライスだけでなくNFTの技術が活用されていた点だったのです。

NFTとは『非代替性トークン(Non-Fungible Token)』の略称となります。数多くのコンピュータで構築された分散型ネットワークと暗号化技術を集約化することによって、同期された取引情報データが記録される手法で構築されたデジタルデータ技術が活用されているため、暗号通貨と同様に、真贋・所有・譲渡にまつわる記録を改竄することが不可能に近くなっています。

従前のデジタルデータはいとも容易くコピーされたり、取引情報のログを改竄されてしまう危険がつきまとっていましたが、NFTを有効活用することで唯一性を確保しながら安全に所有・売買できるため、目もくらむような金額での取引が行われるようになってきました。言うまでもないことですが、仮想空間内のデジタルアイテムについても適用でき、メタバースとNFTを集約化することによって、もっとバリエーションに富んでいてスケールの大きなビジネスが仮想空間上で実施されることが期待されています。

 

COVID-19が招いた災厄的な状況によって生じた「メタバース・バブル」

COVID-19が招いた災厄的な状況によって、仮想空間サービスだけではなく、まわりを取り囲む周囲の状態や世界も変化しました。現実空間で多くの人々が集団をなすイベントは、どこもかしこも中止や厳しい制限を付けたうえでの開催が必要な状況に立たされている一方で、現実に近いイベントも実体を伴わないで開催できる空間としてメタバースが高く評価されています。

メタバースを展開することによって、サービスを提供する企業と利用者とを結びつける場所を提供している企業も、そうした需要を満たすようになっており、例えば『あつまれどうぶつの森』でも、色々な種類があり、それぞれに様子が異なる企業や公的機関とのコラボレーション活動を実現しています。またメタバース自体も従来存在するゲームなどといった用途以外でも使用できるように、本来備えている機能面における技術の向上などが留まることがなく成長し続けており、Facebookの『Horizon Workrooms』もそのひとつであるといえます。

またNFTによって仮想空間における取引が、許容できないリスクがなく危険がゼロになることによって、以前にも増してバラエティに富んだ用途でメタバースを使えるようになるため、バーチャルイベントの開催者を対象としたアンケートでは、バーチャルイベントは『リアルイベントのサブスティテュート』といった位置付けを超えて定着する可能性を示すという調査結果もあります。その受け入れ先としてのメタバースへの注目がより一層高まるものと考えられています。

このような理由が主体となって、仮想空間サービスはメタバースの名目で以前と同様に、その動向や詳細について多くの人から意識されています。関連技術が進歩してよりすぐれたものになることや新たな経済活動を手さぐりで探し求めること、そして『ウィズコロナ』の新たなライフスタイルの模索はしばらく続きそうで、企業によるメタバースへの積極性に富んだ投資する行為もさしあたって対処すべきこととして直面することになります。

それとは反対に、将来の発展のためにクリアすべきハードルもあります。より一層の市場拡大を引き起こすような新しいコンテンツが紡ぎ出されるかどうか、また人々が大挙密集して参加する際には欠かせない、こうあるべきだと包括的に決められた規則の形成が進むかどうかは未知数です。相次いで大企業が新たに加わることと前述のNFTを基礎や基盤として有した経済活動への期待とが影響し合うため、ある意味バブル状態を生み出しているといった批判的な意見もあります。

メタバース・バブルがかつてのセカンドライフ・ブームと運命を同じくするのか、あるいは多くのサイエンス・フィクション作品が空想の翼を広げてきた全人類が参加するような巨大プラットフォームを実現するのかに関係なく、大きな変化のシチュエーションを私たちは目の当たりにしているといえます。

 

メタバースによる複数の人での知識や経験を共有

政府がメタバースにパブリック・スペースを作り出したケースもあります。例えば図書館や博物館など、より多くの国民に情報やカスタマー・エクスペリエンスを安価に届けることが可能になります。実際にアメリカ合衆国の大手銀行であるバンク・オブ・アメリカのストラテジストが、次のアマゾンもしくはアップルを探す投資家のメルクマールとして、テクノロジーの新しい発見・発想に関するリストを発表したとブルームバーグが伝えています。

ハイム・イスラエル氏が率いるチームは、ニューヨーク公共図書館の全蔵書を20秒でダウンロードできる第６世代(6G)通信ネットワークなど、テクノロジー面の『ムーンショット(困難だが実現すれば大きな影響をもたらし得る挑戦)』と呼ぶ14種を列挙しました。同氏のチームが情報源に照らし合わせることによって確かめたところによると、メタバースを含む未来に向けて注目されるテクノロジー14種の市場規模は、現時点では3300億ドルですが2030年代までには年率換算で36％まで増加することによって、計6兆4000億ドルに達する可能性があるとのことです。

ムーンショットのリストは以下の通りとなります。

  • 6G通信ネットワーク
  • エモーショナル人工知能
  • 脳コンピュータ・インターフェース
  • バイオニックヒューマン
  • 不老不死
  • 合成生物学
  • ワイヤレス電力
  • ホログラム
  • メタバース
  • 電動の垂直離着陸機
  • 海洋テクノロジー
  • 次世代バッテリー
  • グリーンマイニング
  • 炭素の回収と貯蔵

 

参考記事：

これまでの間、公共財として国や地方公共団体から提供される施設の建設に振り向けられてきた、国や地方自治体が政策の一環として民間の金融機関や企業に投入する財政資金がデジタルコンテンツに流れ込む可能性もあります。このことによって公共の福祉のため整備・提供される施設の維持管理やセキュリティのコストも大幅に軽減される可能性があります。

 

まとめ

今後は、ただ目新しいというだけでなく社会に価値をもたらす、まだ誰も取り組んだことがない新しいビジネスを開始して急成長している企業と大企業が新技術・新製品の開発に際して、組織の枠組みを越え、広く知識・技術の結集を図ることもメタバースの中で行われるような日も近いかもしれません。インターネット、アーティフィシャル・インテリジェンスと続いた画期的な新しい技術の導入によって引き起こされる、経済構造の変革で次にくるのはメタバースかもしれません。