CyConX travel report Day Three

最終日です。

朝はMr. Luc Dandurand ( Head of Cyber Operations, Guardtime)です。
テーマは、「サイバードメインにおける準備とレジリエンス-投資におけるリターンを最大化するために」です。ビデオは、こちらです

レジリエンスです。完璧なセキュリティが困難である以上、いかにして、サイバー攻撃に耐えられるかということになります。ボクシングでいえば、攻撃から、できる限り早く回復することができる能力ということになります。スタミナ、意思のパワー、自信になります。対応の95パーセントは、技術であって、5パーセントは、人間になります。

準備に関する投資から、最善の投資リターンを得るためにどのようにするべきでしょうか。訓練に、投資することでノリターンをどう得るのでしょうか。将来へのプランと夢や希望と投資を調整するということになります。

将来というのは、IoT、スマートホーム、スマートシティなどいろいろいなものがあります。すべてのものがつながっていくのです。また、自動運転自動車やトラックがあります。バイオセンサーも実現するでしょう。すべてが、実現しつつあります。サプライチェーンの問題があります。大きな計算機にもチップは、はいっています。そのチップの製造業者からの鎖が確保されないといけません。人工知能の問題もあります。思考・信条システムに対するサイバー攻撃というのもあります。なりすまし(Re-enactment 画像等の合成による)や表情の認識もあります。政治家の画像を作成してしまうことも可能です。同じメッセージでも画像によって意味が異なってくるのです。これらが現在、行われているとはいいませんが、将来、使われるようになるでしょう。

サイバー能力のための費用は高いのか、アドバイスを考えます。他のドメインを考えましょう。AIM-54フェニックスというミサイルを考えましょう。これらとスケール感、効果の観点から考える必要があるわけです。

では、サイバー演習は、どうでしょうか。LocK Shieldという演習があります。成功しており、国によって、インシデント対応を競っています。成功の秘訣は、カスタマイズされた演習に従事することといえるでしょう。
常に、カスタマイズされた演習で、現実的なシナリオに対処するようにすること、演習のプログラムを大きな目的をもって、適切な範囲で作成することです。

まとめると、
未来は、予測できないし、コントロールしえない、そして、技術の進展により、早急にやってくる
備えは、人間の行動に対して集中することを要求する
サイバー演習をカスタマイズすることは、備えについての投資効果を最大化する
サイバー演習のプログラムは、打たれ強さを強化する

Ms. Kimberly Dozier氏の司会による「サイバー攻撃から国家を防衛する」(Defending a Nation Against Cyber Attacks)です。ビデオは、こちらです。

議論の例として「もし、ロシアがエストニアの電力網をマヒさせて、交通信号が使えなくなり、病院のICUが使えなくなったとしたら、NATOや欧州は、どうするのでしょうか」をあげて、議論が始まりました。

Amb. Sorin Ducaru,は、たくさんの対応があるでしょうということです。対応、被害の低減、他のドメインの対応もあるでしょう。政治的な対応としては、文脈とインパクトから考えます。他の攻撃とリンクしているのか、また生命や財産が損なわれているか、ということで対応を考えていくことになります。条約4条の問題になります。武力攻撃のレベルに達しているのかということです。

Mr. Rod Beckstrom( Founder and CEO)

世界のすべての国が抱えている問題は、電力網がマヒしてしまうということで、これは、脆弱であるということができます。すべての物は、ハックできる、すべてのものは、つながっている、すべては、脆弱である、ということがいえます。

Mr. Koen Gijsbergs(Junior Research Fellow, University of Oxford)

UN GGE2015は、国家は、お互いに重要インフラを攻撃してはならないというので、合意したというのは、覚えておくべきです。脆弱性は、平等であるということでしょう。非対称ではないです。

発電所に対する攻撃が、武力攻撃にあたるのか、とか、攻撃者決定は、いまだ難しい問題であるというこができます。

次は抑止力に対する議論です。

Ducaruは、抑止力は、マルチドメインにわたるものです。敵側との意思の伝達によります。NATOは、サイバーは、集団防衛に関連してきます。攻撃者決定は、難しい問題ですが、技術的なものと人的インテリジェンスを用いて、行います。困難であるということはないです。

貿易問題で名前をあげて非難したようなことがサイバーでおき得るのかという問題については、Gijsbergs氏は、反応の曖昧さというのが、一つの問題だろうと考えています。何がおきているのかというのがよくわからないということがあります。レジリエンスや抑止力という考え方は、合理的なのかと考えています。一番いいアプローチですが、サイバー攻撃というのは、それほどの影響を与えられない。NATOのネットワークがダウンするとストップしてしまう。

Beckstrom氏は、レジリエンスが、抑止力になるというのは、同意するが、Gijsbergs氏がエストニアの電力網は、フィンランドの電力網によっているので、打たれ強いというのには、反対だとしました。エスピオナージは、国際的に許容されています。信頼のない状況において協同するというのは、おおきな課題になります。また、反撃が、本当に難しいことになります。これも課題です。

Ducaru氏は、外国的な制裁は、21世紀の攻撃でも適用されうると考えます。政府が、公的に攻撃者指定をすることは、外向的な制裁として認識されるでしょう。攻撃者決定のあとに何か来るのかということになります。

Beckstrom氏は、抑止力というのは、サイバードメインにおいてどのようなものであるのか、というのを検討すべきと考えています。選挙における情報操作を考えてみましょう。人間の行動が変化しています。社会学的な変化があって、それが抑止力にどう変化を与えるのか、ケーススタディになります。また、AIの進展によって、どのように打たれ強くなるのかということも検討課題です。

Ducaru氏は、抑止力を考えるときに、世界の情勢の変化を考えないといけないと考えます。政府と会社の距離がさらに大きくなっているのですか。また、中国の発展も重要です。5年前は、世界で大きなインターネットの会社をあげたときに、トップ20のうち3社だったのが、今は、9社になります。政府の諜報能力を利用し、自分たちの産業に活用しているのです。彼らの文化は、そのようなもので、それは、私たちには、存在しません。

質疑応答では、比例原則をめぐる質疑応答(明確な回答はないということ)、ボットネットをめぐる質疑応答(ボットネットのテイクオーバーでオランダにサーバーがあったので、テイクダウンがなしえたということ-ハンザ事件)などがなされました。

Plenary Panel: Quantum Computing – Security Game Changer?については、メモは、パスします。
ちなみにビデオは、こちらです

Col. Andrew Hall, Director, Army Cyber Institute, US Military Academyの陸軍サイバー機構(Army Cyber Institute)のお話です。ビデオは、こちらです。

ACIは、多分野にわたる施設です。

レジデントは、10の学術分野に従事します。その分野とは、行動および生活科学、システムエンジニアリング、電子工学、コンピュータサイエンス、政治学、政策、法、倫理、数学、歴史です。

具体的なものとしては、オペレーションリサーチ、ミリタリインテリジェンス、情報工作、心理工作、シミュレーション作戦、広報です。

調査研究の分野では、二つの分野(法と政策/実際の演習)があります。いろいろな企業とパートナーシップを結んでいます。Jack Voltic という演習が行われています。記事は、こちら。また、ACIは、サイバーデヘフェンスレビューというアカデミック・ジャーナルを出版しています。

最後に、「ロボット軍は、いらない、あなた方をつかうつもりだ」という言葉で締めくくりました。

最後のセッションは、 Dr. Trey Herrのモデレートによる「議論-新興技術とサイバーセキュリティ」(Discussion: Emerging Technologies and Cyber Security)です。
スピーカーは、Dr. Kevin Jones(Airbus)とDr. Brian M. Pierce(DARPA)です。

Pierce博士は、サイバー抑止のための技術というタイトルです。
現状の技術は、ガラスでできた家のなかで、作業をしているようなものである。脆弱だし、ヒビもはいり易い。また、匿名性・偶発的影響という問題がある。攻撃者決定の対応が存在している。これらに対しては、打たれ強いこと/状況認識/正確な反応が解決策となる。
ガラスの部屋の上から、攻撃者を迎撃するモデルということになる。

さらに技術の進展としては、自動化の挑戦がなされている。機械対機械である。
サイバー攻撃者決定においては、高精度な攻撃者認定がなしうる、もっとも、公的な攻撃者認定は、防衛能力によって調整さることになる。

国家保安のためのサイバー抑止については、特に「信頼」を考えることが重要であって、メディアのフォレンジックスやAIの活用が問題となるだろう。

Jones博士は、種々の技術のトレンドを解説していきました。
具体的なものとしては、防御のトレンド、サイバー攻撃のトレンド、発展中のサイバートレンド、国家のサイバートレンドです。

防衛のトレンドでは、サービスとしての防御、モバイル危機の防御に注目すべきであるとのことでした。
サイバー攻撃のトレンドでは、犯罪、ハクティビスト・国家行為などでそれぞれの境界線は、きわめて曖昧になってきていること、また、自動的な攻撃が多いこと、サービスモデルとして行われるようになってきていることなどが、紹介されました。

発展中のサイバートレンドとしては、自動化があり、人工知能とは異なるとしていました。
また、ブロックチェーンは、サプライチェーン問題の解決には、有望であろうということでした。

国家のサイバートレンドとしては、国家の重要インフラ防衛が問題である。もっとも、世間にいわれているように物理的な損害を惹起することは困難であるので、サイバー戦争という状況になるか、というのは、疑問であるということでした。

ということで、自分の勉強のためのメモは終了です。全体的に見たときに、SNSでの世論介入、disinformationという言葉が飛び交ったというのが印象深かったような気がします。電気通信手段を経ての物理的な損害の惹起というよりも、政治的な議論に対する念入りな情報工作というのが、かなり真剣に議論されているという感じでした。もっとも、日本で、そこまでの問題は、現実化するのかなと思いながらも、CyCon Xでいろいろな刺激をうけました。

次回は、2019年5月28日から5月31日までです。テーマは、「静かなる戦い-silent battle」です。ちなみにクロージングは、こちら。サイバーウッドストックも終了です。平和、愛、サイバー、太陽。

当社の売り上げが、きちんとでて、出張費がまかなえますように。今年度の調査も頑張りましょう。

It's only fair to share...Share on LinkedInTweet about this on TwitterShare on Facebook