はじめに
本書『Confident Cyber Security, 2nd Edition』（著：Jessica Barker）は、サイバーセキュリティを「技術的側面・人間的側面・物理的側面」の三軸で体系的に解説した入門〜中級向けの一冊です。
単なる技術書にとどまらず、組織防衛・法規制・キャリア形成まで幅広くカバーしており、エンジニアからマネージャー層まで実践的な知見が得られます。本記事では全14章の要点を整理し、現場で活かせる視点に絞って紹介します。
第1章 サイバーセキュリティとは
サイバーセキュリティは単なるコンピュータ保護ではなく、情報の保護が本質です。コンピュータそのものでなく、そこに保存されるデータ・提供されるサービス・組み込まれた動作を守ることが目的とされています。
レッド・ブルー・パープルチーム
| チーム | 役割 |
|---|---|
| レッドチーム | 攻撃のシミュレーション（ペネトレーションテスト、ソーシャルエンジニアリング） |
| ブルーチーム | 防御（CISO・SOC・セキュリティ意識向上担当など） |
| パープルチーム | 攻防両スキルを持つ個人、または両チームの密連携 |
ハッカーの分類
- 倫理的ハッカー（ホワイトハット）：契約に基づき合法的に侵入テストを行う
- サイバー犯罪者（ブラックハット）：金銭目的・国家主導・ハクティビスト等
- グレーハットハッカー：善意でも法的許可のない行為は違法となりうる
サイバー犯罪の主な分類
- 金銭目的犯罪組織：ランサムウェア・フィッシングなど
- スクリプトキディ：既製ツールを使った低スキル攻撃者
- ハクティビスト：政治・イデオロギー的動機（例：Anonymous）
- 国家主導ハッカー（APT）：高度な持続的脅威、標的を追い続ける十分なリソースを持つ
Evil Corp事例：ロシアを拠点とし、FBIが1億ドル以上の窃盗に関与と認定。国家機関との関係も指摘されており、純粋な金銭目的の境界が曖昧な好例です。
内部脅威
- 悪意のある内部者：組織への復讐・スパイ目的（例：Apple vs. Rivos訴訟）
- 悪意のない内部者：CISOの調査によると重大なデータ侵害の42%がこちら。フィッシング被害・設定ミス・誤送信など
第2章 サイバーセキュリティが重要な理由
情報は資産であり、多くの場合組織が保有する最も価値のある資産です。
リスク・脅威・脆弱性の整理
| 用語 | 意味 |
|---|---|
| リスク | 悪いことが起こる可能性 |
| 脅威 | 起こりうる悪いこと（脅威アクター） |
| 脆弱性 | 脅威が利用する弱点 |
リスク = 脅威 × 脆弱性 × 影響度という構造で理解すると実践的です。
法規制への対応
英国を事例として、GDPRの罰則強化が解説されています。GDPR違反では最大「年間世界売上高の4%」という制裁が科せられます。Amazon社は2021年にルクセンブルクで約8億7700万ドルの罰金を科せられた事例として紹介されています。
Ashley Madisonのケーススタディ
不倫マッチングサイトのハッキング事例から、個人の機密データを扱う組織のセキュリティ義務と、情報漏洩が引き起こす社会的・個人的被害の深刻さを学べます。
第3章 技術的な脆弱性
CVE/CWE/CVSSの仕組み
- CVE（Common Vulnerabilities and Exposures）：既知脆弱性の公開識別子。2022年は25,227件が発行されました。
- CWE（Common Weakness Enumeration）：脆弱性の種類を分類したリスト
- CVSS（Common Vulnerability Scoring System）：深刻度を0〜10でスコア化する業界標準
OWASP Top 10（2021年版）
1. アクセス制御の不備
2. 暗号化の失敗（旧：機密データの漏洩）
3. インジェクション（SQLi等）
4. 安全でない設計（新規追加）
5. セキュリティの設定ミス
6. 脆弱で古いコンポーネント
7. 識別および認証の失敗
8. ソフトウェアとデータの整合性の障害（新規追加）
9. セキュリティのログ・監視の失敗
10. サーバーサイドリクエストフォージェリ（SSRF）（新規追加）
注目のケーススタディ
WannaCry（2017年）
- Windows 7の脆弱性「EternalBlue」を悪用したランサムウェアワーム
- 150か国・30万台以上に拡散。英国NHSは1万9000件の予約をキャンセル
- パッチが公開済みにもかかわらず未適用だったシステムが多数
- 「パッチ適用は簡単に聞こえるが、大規模環境では非常に複雑」という現実を示す
SolarWinds（2020年）
- 正規ソフトウェアのアップデートに悪意あるコードを混入したサプライチェーン攻撃
- 1万8000の顧客がダウンロード。米国連邦政府9機関を含む約100社が実被害
- 背後にはロシア対外情報局（SVR）と英米当局が認定
Log4Shell（2021年）
- Javaの広範なログライブラリ「Log4j」に発見されたRCE脆弱性（CVSSスコア10）
- 数億台のデバイスに影響。発見から1年後でも72%の組織が依然として脆弱
- 「風土病的脆弱性として今後10年以上残存しうる」と米国当局が警告
多層防御の重要性
ウイルス対策・ファイアウォール・パッチ・ログ監視・認証・暗号化を「基本対策」として層状に組み合わせること。WannaCryが示したフラットネットワークの危険性から、ネットワークセグメンテーションも重要です。
第4章 サイバーセキュリティにおいて人材がなぜ重要なのか
技術ライフサイクルと人の関与
設計 → 製造 → テスト → 使用 → 悪用 → 廃棄
すべての段階で人間の判断・スキル・倫理が影響します。
セキュア・バイ・デザイン（デフォルトでセキュア）
英国NCSCが提唱するアプローチで、セキュリティをプロジェクト開始時点から組み込むことを重視します。エンドユーザーに設定の負担を押しつけない設計が求められます。
2要素認証（2FA）と限界
- パスワードのみと比べてセキュリティを大幅に向上させる
- ただしSIMスワップ攻撃：携帯会社を騙してSIMを差し替え、SMSの2FAコードを横取りする手法が増加（2015〜2018年で20倍）
- 対策：認証アプリ（Google Authenticatorなど）やU2Fトークン（YubiKey等）への移行が有効
2FA疲労攻撃（2FA Bombing）
Uber侵害（2022年9月）の事例で解説されています。攻撃者が大量の2FA通知を送り続け、ユーザーを疲弊させて承認させる手法です。IT部門を装ったWhatsAppメッセージとの組み合わせで侵入を成功させました。
Mirai / Dyn DDoS事件（2016年）
- IoTデバイスのデフォルトパスワードを悪用したボットネット攻撃
- 10万台以上のDVR・ルーター・監視カメラを乗っ取り、DNS大手のDynにDDoS攻撃
- 米国・欧州の広範なインターネット障害を引き起こした
- 動機はMinecraftでの優位性を確保しようとした20代前半の3人の若者によるものだった
倫理的ジレンマ
本書は3つのシナリオ（病院ランサムウェア・トロル対応・バグ開示）を通じて、セキュリティ専門家が直面する倫理的意思決定を考察させます。責任ある情報開示（Responsible Disclosure）のプロセスについてはOWASPのチートシートが参考になります。
第5〜7章 ソーシャルエンジニアリングと物理的セキュリティ
ソーシャルエンジニアリングの仕組み（第5・6章）
犯罪者はOSINT（公開情報）を活用してターゲットの詳細なプロファイルを構築します。
- LinkedIn・Facebook・Instagram等のSNSから職場・役職・人間関係を収集
- スピアフィッシングメール：信頼できる送信元に偽装した標的型攻撃
- ビッシング（電話詐欺）・スミッシング（SMS詐欺）も含む多様な手口
主要な認知バイアスの悪用：
| バイアス | 攻撃への利用 |
|---|---|
| 権威への服従 | 上司・IT部門・銀行を装う |
| 希少性・緊急性 | 「今すぐ対応しないと口座が凍結」 |
| 社会的証明 | 「みんな使っています」 |
| 互恵性 | 先に小さな親切をして大きな要求をする |
物理的セキュリティ（第7章）
- テールゲーティング（共連れ）による建物への不正侵入
- スマートホームデバイス（Ringカメラ等）のハッキング事例
- デバイスの盗難・紛失によるデータ漏洩リスク
- クリーンデスクポリシーの重要性
第8・9章 組織と個人の防御戦略
組織の防御（第8章）
多層防御の実践例：
境界防御（ファイアウォール・IDS/IPS）
↓
エンドポイント保護（EDR・ウイルス対策）
↓
IDおよびアクセス管理（MFA・最小権限）
↓
データ保護（暗号化・バックアップ）
↓
監視・ログ（SIEM・SOC）
↓
インシデント対応計画
- CISO（最高情報セキュリティ責任者）の役割：戦略立案・予算配分・全体責任
- セキュリティ意識向上トレーニングの定期実施
- サプライチェーンリスクの管理（SolarWinds教訓）
個人の防御（第9章）
| 対策 | 内容 |
|---|---|
| パスワード管理 | パスワードマネージャーを使い、アカウントごとに強固で一意のパスワードを設定 |
| 多要素認証 | SMS 2FAより認証アプリやU2Fトークンが望ましい |
| ソフトウェア更新 | OS・アプリのパッチを速やかに適用 |
| フィッシング対策 | 送信元・URLを確認し、予期しないリンクや添付は開かない |
| デバイス管理 | 紛失・盗難時のリモートワイプ設定、画面ロック有効化 |
第10・11章 国家サイバーセキュリティと業界別対応
地政学とサイバー（第10章）
- NotPetya（2017年）：ロシアがウクライナを標的に開発したとされるマルウェア。海運大手Maerskが深刻な被害を受け、業務全停止に追い込まれた
- ラザルスグループ（北朝鮮）：バングラデシュ銀行強盗（8000万ドル窃取）・WannaCry・Sony Pictures攻撃に関与とされる
- 国家主導のサイバー攻撃は既存のサイバー犯罪手法から始まり、高度な手法へとエスカレートする特徴を持つ
業界別セキュリティ（第11章）
業界ごとにリスクプロファイルが異なります。
| 業界 | 主なリスク |
|---|---|
| 医療 | 患者データ保護・医療機器のセキュリティ |
| 金融 | 不正送金・クレデンシャルスタッフィング |
| 製造 | OT/ICSへの攻撃・産業スパイ |
| 公共インフラ | SCADA脆弱性・サービス停止リスク |
| エンターテインメント | 著作権侵害・個人情報漏洩 |
第12〜14章 経営層とキャリア
取締役会レベルのセキュリティ（第12章）
英国の調査では、サイバーセキュリティ侵害を経験した企業は多いにもかかわらず、取締役会でのセキュリティ議論が不十分な組織が多数存在します。
- セキュリティは「IT部門の問題」ではなく経営リスクとして捉えるべき
- サイバーセキュリティ保険の活用検討
- インシデント対応計画のテスト（机上演習・実地演習）
- 業者・パートナーのサプライチェーンリスク評価
キャリアパスと多様性（第13・14章）
本書執筆時点で世界中に270万人以上のサイバーセキュリティ専門家が不足しているとされています。キャリアパスの例：
テクニカル系：
ペネトレーションテスター → セキュリティアーキテクト
マルウェアアナリスト → 脅威インテリジェンス
非テクニカル系：
セキュリティ意識向上トレーナー → CISO
フォレンジック調査員 → コンプライアンス担当
インシデント対応スペシャリスト
まとめ
本書の最大の特徴は、サイバーセキュリティを技術・人・物理の三軸で一貫して論じている点です。技術的な脆弱性（CVE/OWASP）から、ソーシャルエンジニアリングの心理、物理侵入のリスク、国家レベルの地政学まで、包括的な視点で理解できます。
特に印象的だった示唆
- 悪意のない内部者が最大の脅威：重大なデータ侵害の42%が善意の従業員のミスによるものという現実
- セキュア・バイ・デザインの重要性：後付けのセキュリティより、設計段階からの組み込みが根本的
- サイバー攻撃の「巻き添え被害」：標的でなくても被害を受ける現実（WannaCry、Dyn DDoS）
- 倫理的思考の必要性：技術的なスキルと並んで、倫理的判断力がセキュリティ専門家に求められる
サイバーセキュリティの全体像を俯瞰したい方、あるいはチームのセキュリティ意識を高めるための素材を探しているエンジニアやマネージャーに強くおすすめできる一冊です。