情報セキュリティの敗北史

「サイバー攻撃はなぜ増え続けるのか?」

相次ぐ個人情報の大規模漏洩、米・中・露による国家主導のハッキング、企業・病院を標的にして猛威を振るうランサムウェア…

IT 社会が急速な発展を続ける一方で、私たちの「情報」を取り巻く状況は日に日に悪化している。
数々のセキュリティ対策が打ち出されているにもかかわらず、サイバー攻撃による被害は増え続けている。
今日の情報セキュリティが抱える致命的な〈脆弱性〉は、どこから来たのか?
コンピュータの誕生前夜から現代のハッキング戦争までーー半世紀以上にわたるサイバー空間の攻防を通して脆弱性の起源を探る、情報セキュリティ史の決定版。
本国アメリカで【Cybersecurity Canon Hall of Fame 2022 (サイバーセキュリティ書の殿堂) 】を受賞した話題作、待望の邦訳。

「私たちが今日直面するセキュリティ問題の多くは、何十年も前に下された愚かな決定によってもたらされた。本書は、IT の黎明期から現代のクラウドコンピューティングに至るまで、情報セキュリティの歴史を完全網羅する」
ーーベン・ロスキー (『Computer Security』著者)

「率直に言って、恐ろしい本である。コンピュータネットワークは兵器となり、脆弱な IT インフラは国家の安全保障にとって、致命的な脅威となるのだ」
ーーリチャード・H・イマーマン (アメリカ外交史学会第 40 代会長)
プロローグ 3 つの汚名
1 情報セキュリティの「新次元」
2 初期の研究者たちの期待、成功、失敗
3 インターネットとウェブの誕生、不吉な予兆
4 ドットコム・ブームと魅力的なフィードバック・ループ
5 ソフトウェアセキュリティと「苦痛なハムスターホイール」
6 ユーザブルセキュリティ、経済学、心理学
7 脆弱性の開示、報奨金、市場
8 データ漏洩、国家によるハッキング、認知的閉鎖
9 情報セキュリティの厄介な本質
エピローグ 過去、現在、あり得る未来
謝辞
訳者あとがき
主要参考文献
索引

サイバー攻撃の被害が対策を重ねても減らないのはなぜか、という問いに歴史の側から答えようとする一般向けの読み物です。『情報セキュリティの敗北史』 (アンドリュー・スチュワート 著、小林 啓倫 訳、白揚社、2022 年 10 月刊) は原書 A Vulnerable System の日本語版で、副題は「脆弱性はどこから来たのか」です。紹介文は本書を、コンピューターの誕生前夜から現代のハッキング戦争まで「半世紀以上にわたるサイバー空間の攻防を通して脆弱性の起源を探る」情報セキュリティ史と位置づけ、原書が Cybersecurity Canon Hall of Fame 2022 を受賞したと伝えています。版元ドットコムの著者紹介によると、著者は世界的投資銀行の幹部で、ロンドン大学ロイヤル・ホロウェイ校で情報科学の修士号を取得しています。

プロローグと 9 章、研究の黎明から国家のハッキングまで

目次はプロローグとエピローグに挟まれた 9 章で、時代を追う並びです。1 章で情報セキュリティの新次元を、2 章で初期の研究者たちの期待と成功と失敗を扱うところから始まり、3 章でインターネットとウェブの誕生、4 章でドットコム・ブームへ進みます。5 章はソフトウェアセキュリティ、6 章はユーザブルセキュリティと経済学と心理学、7 章は脆弱性の開示と報奨金と市場を取り上げ、8 章でデータ漏洩と国家によるハッキングに至ります。9 章「情報セキュリティの厄介な本質」で全体を振り返ってからエピローグへ入る構成で、巻末には主要参考文献と索引が付きます。ウェブの登場より前の研究の時代から話を始めている点が、事件の年表を並べる本との違いと読めます。

脆弱性を技術の外側から見る視点

脆弱性 は、設計や実装の誤りとして一つずつ見つけて塞ぐものとして語られることが多い言葉です。ところが、塞いでも次の弱点が見つかり、そのたびに修正と配布を繰り返す状態が長く続いてきました。本書の章題には、5 章の「苦痛なハムスターホイール」のように終わりの見えない循環を思わせる言葉や、経済学と心理学、報奨金と市場といった技術の外側の語が並びます。情報セキュリティ の問題を、使う人の行動や、作る側と守る側の費用の負担のずれ、脆弱性の情報そのものが取引される仕組みまで広げて捉えようとする構成と読めます。目次は時代と論点の並びで、暗号の方式や防御製品の設定手順を章として立てていないため、手を動かして学ぶ実務書とは役割が異なります。

技術者以外にも開かれた読み物として

白揚社の一般向けの単行本で、版元ドットコムの登録には日本経済新聞、朝日新聞、読売新聞の書評掲載が記録されています。専門の技術書よりも広い読者を想定した本と見てよく、セキュリティを担当するエンジニアだけでなく、予算や体制を決める立場の人が、なぜ対策が後手に回り続けるのかを考える材料にもなります。逆に、明日からの設定作業や試験対策に直接使える手順を求めている場合は、セキュリティ本の選び方 を参考に実務書を別に選ぶほうが目的に合います。

脆弱性が個々の失敗ではなく、何十年もの判断の積み重ねから生まれてきたことを、歴史の流れとして一度通して知っておきたい人に向く一冊です。目の前のインシデント対応に追われていて、自分たちの対策が全体のどこに位置づくのかを見直したい人ほど、プロローグから順に読む価値があります。