プロジェクトマネージャー 清水 正幸
はじめに
はじめまして。9月よりプロジェクトマネージャーとしてIPCのメンバーになりました清水と申します。これまで個人のブログを書いた経験はありますが、根拠や論理が求められる「コラム」の執筆は今回が初めてとなります。つたない箇所もあるかと思いますが、最後までお付き合いいただければ幸いです。
連日報道される「個人情報漏えい問題」
初コラムのテーマとして、タイムリーかつ社会的関心の高い「個人情報の漏えい問題」を取り上げることにしました。ニュースで目にする機会が増えているため、なんとなく事態の深刻さを感じている方も多いと思います。10月上旬で個人情報の流出や不正アクセスを公表した主な企業・自治体は以下の通りです。
【10月上旬に公表された主な個人情報流出・不正アクセス（10/11時点）】
・10/2 埼玉県：調査中
・10/5 ミスターマックス：約173万件
・10/5 損保ジャパン：約6万件
・10/5 シチズン：約10万件
・10/5 大和証券：約11万件
・10/5 GMOリサーチ＆AI：約94万件
・10/5 ホワイトエッセンス：約105万件
・10/5 物語コーポレーション（焼肉きんぐ）：約1,078万件
・10/6 旭化成セラピューティクス：約51.4万件
・10/7 ニッスイ：調査中
・10/8 株式会社hi-ho：約38,509件（不正ログイン）
・10/8 ローソン：約215万件
・10/9 スズキ自動車：約3,000件（コミュニティサイト「スズキビレッジ」）
※海外に目を向けると、10月4日にはデンマークで国民ID情報(日本のマイナンバーに相当)約880万人分への不正アクセスが報道されました。
わずか10日間ほどでこれほどの企業・自治体が被害に遭い、膨大な個人情報が流出(またはその懸念)という深刻な事態が発生しています。
なぜ、セキュリティが強固なはずの大企業の情報が漏えいするのか？
一昔前であれば、企業のサーバーにハッキング攻撃を仕掛けるには高度な専門知識が必要でした。しかし現在では、生成AIの普及により特別な知識を持たない者でも高度な攻撃を行えるようになったと言われています。どれほど厳重に防御されたサーバーであっても、どこかにわずかな脆弱性が存在します。住宅に例えるなら、玄関や窓を完璧に施錠していても、排水溝や換気口のような思いがけない隙間から侵入されるイメージです。
加えて、現代のシステムが複雑すぎることも要因として挙げられています。自社のメインサーバーが完璧でも、委託先のシステム、過去に作った古いキャンペーンページ、社員のPCなど、どこか一つでも排水溝や通気口のような小さな穴があれば、そこから侵入されてしまうのがAIによるハッキングの怖さと言われています。
それなら「守る側もAIで対抗すればいいのでは？」と思われるかもしれませんが、結論から言うと、現段階では「実質的に防ぎきることができない」というのが現実です。
攻撃側のAIは突破できるまで何度でもアクセスを試行できるのに対し、防御側はたった一度の突破も許されません。ある報道では、この状況を「サッカーのPK戦」に例えていました。キッカー圧倒的有利なPK戦において、キッカーは何度でも蹴り直せるのに対し、ゴールキーパーは1点も取られてはならないという、極めて不利な攻防が繰り広げられています。
防ぐことが困難なこの状況下で、私たちはどのように身を守ればよいのでしょうか。
我々が明日から実践できる「やるべき対策」については＜後編＞で詳しくお伝えします。
リテラシーを高めるためにも、ぜひお読みいただければ幸いです。
