生成AIの悪用など凶悪化するサイバーセキュリティ対策本を紹介

マルウェアやランサムウェア攻撃の魔の手が企業規模を問わず忍び寄る中、生成AIを悪用した攻撃など新たな懸念も増えている。そこで、サイバーセキュリティとは何か、その基礎をユーモア溢れた文体で解説していくものから、経営層向けにセキュリティ対策の必要性を説いたもの、最新の脅威動向を取り上げた書籍までを読んで堅実にセキュリティ対策を講じよう。

　テクノロジーを日常的に活用し、サイバーセキュリティに関係する全ての人々に向けて書かれた指南書。章ごとに「サイバーセキュリティ」「脆弱性」といった基本となるワードの定義を再確認した後、世間一般的に流説されてきた偏見・誤解を解説し、回避方法を示唆に富んだ比喩を織り交ぜて論じる構成だ。戦略なしにクラウド、ゼロトラストを過大評価することなどへの警鐘を鳴らしている。最終章の12章では、マルウェアについて論じている。MiraiやTrickbot、WannaCryなど近年ニュースになったマルウェアや、具体的な攻撃方法を解説しつつ、「マルウェアは複雑で難解なプログラムか？」を論証した部分は興味深い。マルウェアは複雑とは限らず単純な仕組みのものもあるが、こうしたマルウェアを、本書を参照したり深掘りしたりすることで事前の対処が可能となるだろう。本文中のコラムのうち、AIがサイバーセキュリティに関する偽情報を生成した例を挙げたコラムは今まさにタイムリーだ。こうした新たな脅威に翻弄されないよう、情報の信ぴょう性を確かめることが企業のセキュリティ対策に寄与する。

　本書は、代表的なサイバー攻撃手法や防御法のほか、生成AIに関する脅威などを解説している。例えばシステムの脆弱性を見つけるためのテスト手法「ファジング」を悪用して脆弱性を狙う「AIファジング」や特殊なプロンプトでAIサービスから情報を引き出す「プロンプトインジェクション」など、図解＆対話形式で簡易に読み進められる。具体策として、IPAの「情報セキュリティ自社診断」での不足事項の確認やクラウドストライクの生成AIセキュリティ製品「Charlotte AI」の活用を推奨。自社の保護領域とAIの特長を踏まえた対策を進めよう。

　経営層のセキュリティの指針策定に向けて執筆された一冊。経済産業省とIPAが発行・改定を重ねた「サイバーセキュリティ経営ガイドライン」の本文と改定箇所などを基にポイントを解説。セキュリティ対策への然るべき予算確保や障害発生時のサプライチェーンも含めた復旧体制整備など重要な点を要約している。経営者が認識すべき3原則といった基本をはじめ、アクセス制御や認証など三つの要素を基に対策する「ゼロトラストモデル」の図説や「インシデント発生時の報告・通知義務チェックリスト」までを展開。実務に役立つセキュリティ本だ。