収益化される攻撃が新たな脅威を生む：専門家のセキュリティ対策ステップ

率直な対話で、Independent Security Evaluators（ISE）のエグゼクティブパートナー、テッド・ハリントン氏が、成功したサイバー攻撃が如何に新たな脅威を生み出すか、そしてそれを阻止する具体的なセキュリティ対策を共有します。

脅威モデリング：真のリスクがどこにあるか理解する

ハリントン氏は「最大の脅威」は組織によって異なると説明します。「脅威モデリングは、守るべき資産、直面する敵、彼らが悪用する攻撃サーフェスを特定する演習です」と氏。「ある企業にとってクリティカルなことが、別の企業では些細なことかもしれません。」

Webブラウザでのデータ漏洩：研究からの教訓

最近のISE研究では、金融、医療、保険、ユーティリティの21のハイプロファイルサイトのうち70%が、ブラウザによる機密データのディスクキャッシュを防止できていませんでした。これにより暗号化されていないコンテンツがエンドユーザーマシンに残りました。ハリントン氏は「開発者が善意であっても、攻撃者がシステムをどう破るか理解していなければ、主要な攻撃ベクトルを見逃すことを示しています」と指摘します。

氏は以下を推奨します：

• 経営層教育 — 意思決定者に明確で実行可能なセキュリティインサイトを提供。
• エクスプロイト実証 — 抽象的リスクを具体的脅威に変え、認知バイアスに対抗。
• 共感 — 開発者とUXチームの声に耳を傾け、セキュリティソリューションが実ワークフローに適合するようにする。

Romantik Seehotel攻撃：ホスピタリティ業界を超える教訓

ハッカーがホテルのドアロックを乗っ取り、1,600ドルのビットコインを要求した際、オーナーはゲストの安全のために支払いました。ハリントン氏は3つの重要な教訓を挙げます：

1. 敵は進化する — ランサムウェアの新たな用法——ゲスト体験を混乱させて支払いを強要——は攻撃者が迅速に適応することを示す。
2. 成功は模倣犯を呼ぶ — 利益を生む攻撃は模倣者を招く；ホスピタリティセクターはフォローアップ脅威を予測すべき。
3. セキュリティは多面的 — PCI準拠とPII保護だけではブランド評判、ゲスト安全、体験を守れない。

ISEの業界横断的インパクト

ハリントン氏はHospitality Technology Next Generationのドアロックセキュリティワーキンググループを主導し、RFID、オンライン、モバイルロックシステムの抽象化脅威モデルとベストプラクティスガイドラインを策定。現在はInterelと共にIoTワーキンググループを共同議長として、安全なデバイス採用をガイドしています。

医療：データだけでなく患者の健康を守る

HIPAAがデータセキュリティを推進する一方で、ハリントン氏は病院がより大きな絵——患者の健康——を見逃しがちだと警告します。12病院との2年間研究で、攻撃者が医療機器を侵害することで深刻な危害、あるいは死を引き起こせることが判明。「患者データのみを守るのは不十分です」と氏は言います。

IoTサービスプロバイダーのためのトップ3アクション

ハリントン氏は要件から導入後まで、開発のあらゆる段階にセキュリティを組み込むことを強調します。推奨事項：

• サードパーティセキュリティ評価 — 独立した専門家がチームの見落とし脆弱性を発見。
• 敵対的マインドセットの採用 — 自動スキャンと標準ペネトレーションテストを超え、攻撃者のように考える。

Independent Security Evaluatorsエグゼクティブパートナーのテッド・ハリントン氏が、編集ディレクターのジェレミー・コワン氏のインタビューに答えました。

---