NASA監察総監による監査報告書によると、NASAには深刻なコンピュータおよびネットワークセキュリティ上の問題があり、ミッションの遂行に支障をきたし、人命さえも危険にさらす可能性があったことが明らかになった。人類を月に送り込むほどの優れた知力を結集したNASAが、数台のサーバーにパッチを適用するという比較的単純な作業さえ、どうして失敗に終わるのだろうか。
内部監査によって「不十分なセキュリティ対策によりNASAの主要ネットワークがサイバー攻撃にさらされる」というタイトルの報告書が作成されるという事実は、懸念すべき点であると同時に恥ずべきことであり、あらゆる組織におけるネットワークセキュリティ全般のより広範な問題を示唆しています。企業がより安全な認証のために頼りにするRSA、組織がウェブサイトの検証にSSL証明書を頼りにするComodo、そして重要な機密データを保護すべき米国政府機関であるNASAでさえ、セキュリティ対策を講じられないのであれば、一般企業のIT管理者は肩をすくめて、一体何ができるのかと首をひねるしかありません。
NASAの報告書について、セキュリティ専門家に意見を伺いました。nCircleのCTO、ティム・TK・キアニニ氏は、セキュリティはプロセスであるものの、NASAではそのプロセスが十分に調整されておらず、十分な注意が払われていないようだと指摘しました。
キアニニ氏は、「プロセスの成熟度は分野固有のものであり、ITセキュリティはほとんどの成熟した組織にとって『新しい』分野です。これは言い訳ではなく、単なる現実です」と述べ、「NASAがミッションと同じ優先度でITセキュリティを管理していれば、このような状況は発生せず、私たちは彼らの戦略から学んでいたはずです」と付け加えました。
Invinceaの創設者でチーフサイエンティストのアヌップ・ゴーシュ氏は、HBGary、RSA、Comodoに対する最近の攻撃やNASAの監査報告書のような出来事から、IT管理者は「このような組織で起こっているのなら、私たちにも起こり得るのか？」と自問するかもしれないと指摘した。しかし、ゴーシュ氏によれば、より適切な質問は「大手セキュリティ企業で起こっているのなら、どこでも起こっているのだろうか？」だという。ゴーシュ氏はその質問に対し、間違いなく「イエス」と答えている。
ゴーシュ氏は次のように説明します。「どんなネットワークでも虫眼鏡で覗けば問題が見つかります。ですから、これはNASAの問題というよりも、今日のネットワークセキュリティの現状の問題です。もし問題が見つからなかったとしたら、監査の質に疑問を抱かざるを得ないでしょう。さらに重要なのは、NASA、政府、そして業界が取る対応は、侵入とパッチ適用のサイクルを繰り返すだけでは不十分だということです。むしろ、ネットワーク、サーバー、デスクトップを最初から攻撃に耐性のあるように設計することが、正しい対応なのです。」
ESETの技術教育ディレクター、ランディ・エイブラムス氏は、スペースシャトルのミッションを危険にさらしたり、国際宇宙ステーションの機能を停止させたりするといった話はセンセーショナルな見出しになるものの、実際には主要なリスクではないと警告している。NASAのサーバーに侵入しようとする攻撃者は、レーダーをかいくぐり、できるだけ長期間、機密性の高い機密データをできるだけ多く収集することに興味を持っている可能性が高い。スペースシャトルのミッションへの攻撃は、ほとんど価値を生み出さず、利益もほとんどないだろう。
エイブラムス氏は、「本当の危険は機密データと政府システムにあるのに、シャトルの墜落や宇宙ステーションの停止といった大騒ぎに惑わされてしまうのは非常に簡単だ」と語る。
nCircleのセキュリティ研究開発ディレクター、オリバー・ラバリー氏の見解をまとめます。ラバリー氏は、今日の組織はますます多様化・複雑化するネットワークのセキュリティを確保し、急増するデータ量を保護するという課題に直面していると説明します。
ラバリー氏は、「今回のセキュリティプログラムの失敗は技術的な問題ではなく、適切な脅威モデリング、資産分類、トリアージプロセスの欠如に起因する可能性が高い。大規模組織にとって真の課題は、セキュリティ対策が最大限の効果を発揮するようにすることです。」と述べています。
ヒューストン、確かに問題はあるのですが、慌てる必要はありません。シャトルミッションに対するテロ攻撃というセンセーショナルな報道にとらわれず、NASAの監査報告書で明らかにされた真の問題に目を向けてください。NASAから学べることは、セキュリティはイベントではなくプロセスであり、組織はネットワークをリスクにさらす問題を積極的に特定し、解決、あるいは少なくとも軽減するために、可能な限り熱心に取り組まなければならないということです。
