予防は無駄
約10年前、ランサムウェアの大流行が始まるずっと前に、権力者たちは、サイバー予防は無駄であり、サイバーセキュリティはリアクションにのみ集中すべきだと判断しました。従来の予防型ソリューションの開発・改良は中止され、アンチウイルス、EDR、XDR、EPPなどのリアクティブなアーキテクチャが採用されました。より慎重で効果的な戦略は、予防と反応のハイブリッドですが、予防を放棄することで、サイバーセキュリティ業界の収益は最大化します。
予防方式で防御できます。予算が多いほど安全な訳ではありません。
多要素認証が解決策となる
MFAは予防になりますが、MFAには定期的なメンテナンスコストがかかります。すべてのランサムウェアが多要素認証を突破して侵入するわけではありません。
データをバックアップすることでランサムウェアを阻止
ランサムウェアが登場した頃は、優れたバックアップによって業務を迅速に復旧させることができ、ランサムウェアによる支払いもありませんでした。しかし昨今のランサムウェアは、データを流出させ、バックアップソリューションを無効にし、元のデータセットとバックアップの両方を暗号化します。
ランサムウェアはバックアップシステムに接続されるまでその実行を待機し、接続された際に暗号化を開始するので、バックアップのエアギャップは意味がありません。
ランサムウェアを阻止するには迅速な対応が重要
人間の悪意ある行動を監視、検出、対応することは可能ですが、ランサムウェアは人間の100倍から1000倍の速度でブロードバンド回線を通過します。ランサムウェアは数秒、あるいは数分でネットワークに感染します。人では迅速に対応することができません。
不正検知システムが稼働を始めた頃には、すべてのデータ流出が終わってしまっています。
ランサムウェアはこれからも存在する
この嘘を繰り返すことは、サイバーセキュリティ業界に媚びへつらう人にとっては雇用を保証することになります。ランサムウェアは、収益（身代金の支払い）と費用を伴うビジネスです。
ランサムウェアがネットワークに侵入するのをプロアクティブ(予防策として)で防ぐことは、同時にランサムウェアに対応するためのビジネスモデルによる収益を下げ、コストを増加させます。ランサムウェアを稼働させない予防策的なソリューションの導入を行うことで感染から回避することができます。ランサムウェアは転移性の癌のようなものですが、その生命線であるお金を窒息させるにはまだ時間があります。
問題はロシアやクリル語圏
ランサムウェアは、セキュリティホールの収益化です。ランサムウェアの提供者は、高速インターネット接続、難読化ツール、そしてアメリカの法執行機関が関与することができない国のデータセンターを必要とします。ランサムウェアの発信地がロシアだったとしても、手っ取り早く100万ドルを稼いで逃げようとする悪意ある者がいれば、ランサムウェアは世界中どこでも作れるのです。
予算が多ければ多いほど、サイバーセキュリティは優れている
これは、「泡立てて、すすいで、繰り返す」や「毎日お酒を飲むと寿命が延びる」と同じようなものですが、その強靭さには惚れ惚れするものがある。サイバーセキュリティの大手、Accenture社は、テラバイト級の独自データを盗むありふれたランサムウェアに襲われ、4,000万ドルの身代金を要求されました。Accenture社は、サイバー関連の予算をほぼ無制限に持っていました。 Accenture社の感染は、近所の消防署、消防車、消防士が焼け野原になったことに例えられます。
このことから予算との因果関係はないことが教訓として得られます。
多層状のセキュリティが正しいアプローチである
この嘘は、サイバーセキュリティ業界が、「このウィジェットが機能するかどうかはわからないし、あなたもわからないから、試してみてはどうか」と言っているのと同じです。このフランケンシュタインのようなサイバーセキュリティへのアプローチでは、何が機能して何が役に立たないのかを理解することができません。無駄なセキュリティにお金を払うことで、サイバーセキュリティ業界の収益は最大化します。そして端末が遅くなったり利便性を損ない、通信回線は遅くなっていくのです。
銀の弾丸は存在しない
アプリケーションホワイトリストは、銀の弾丸です。NISTは、サイバー脅威を阻止するために、アプリケーション制御プログラムとしても知られる最新のホワイトリストプログラムを使用するように組織に助言しています。Australian Signals DirectorateのEssential Eight Maturity Modelには4つのレベル（0～3）があり、レベル1、2、3ではアプリケーションのホワイトリスト化が必要とされています。
サイバーセキュリティは複雑
サイバーセキュリティ業界の非効率的、反応的、壁にスパゲッティを投げつけるような、予防を重視したアーキテクチャは複雑で、企業、法律家、一般人には知的に手の届かないものです。私たちの社会には多くの予防のパラダイムがありますが、どれも複雑ではありません。健康管理、火災予防、歯磨き粉、ホームセキュリティなどです。サイバーセキュリティを過度に難解で複雑なものにすることは、この業界の販売戦略の一部ですが、このようにする必要はありません。
あなたにできることは？
- 収益を得るために顧客企業へ嘘を繰り返すのを辞める
- 常識的に考える
- オーストラリアの今後の動きを注視しておきましょう
(同国政府がホワイトリスト方式を政府および政府取引がある企業などにも要請している) - サイバー製品を購入する際には、その会社の顧客で最近ランサムウェアに感染した人がいないかどうか聞いてみよう
