セキュリティは「桶」

セキュリティは「桶」だと思う

セキュリティの話をしていると、よく「桶」にたとえられる。

桶には、いくつもの板が組み合わさっている。

どれだけ長くて頑丈な板があっても、一本だけ短い板があれば、そこまでしか水を入れることができない。

セキュリティも、これとよく似ている。

一番弱いところが、全体を決める

たとえば、ある会社がセキュリティ対策にかなり力を入れていたとする。

強固なパスワードポリシーを導入している。

多要素認証も導入している。

端末にはEDRを入れている。

ファイアウォールも設定している。

脆弱性診断も定期的に行っている。

一見すると、かなり堅牢そうに見える。

ところが、管理されていない古いアカウントがひとつ残っていた。

あるいは、誰でもアクセスできる共有フォルダがひとつ存在していた。

あるいは、重要なシステムのバックアップが、実は復元できるか確認されていなかった。

そうなると、そこが弱点になる。

どれだけ他の部分を強くしても、その「一番低い板」から水が漏れる。

これが、セキュリティを「桶」と考えると分かりやすいところだと思う。

セキュリティ対策は、足し算ではなく、

「これを入れました」

「これも導入しました」

という話になりがちだ。

しかし、セキュリティ対策は単純な足し算ではない。

ウイルス対策ソフトを入れたから安心。

多要素認証を入れたから安心。

ファイアウォールがあるから安心。

……とはならない。

すごいんですと自慢している社内SEがいたら、それはまだ経験が浅いとわかる。

なぜなら、攻撃する側は「一番強いところ」を狙う必要がないからだ。

一番弱いところを探せばいい。

家のドアに何重もの鍵をつけていても、窓が開いていれば、わざわざ鍵を壊す必要はない。

セキュリティも同じ。

「強くする」より「弱いところをなくす」

ここが、セキュリティを考えるうえで重要なポイント。

もちろん、重要なシステムを強固にすることは必要だ。

ただ、それと同じくらい、

「今、一番弱いところはどこなのか？」

を見る必要がある。

不要なアカウントは残っていないか。

過剰な権限を持っている人はいないか。

古いシステムが放置されていないか。

バックアップは本当に復元できるのか。

社員は怪しいメールを見分けられるのか。

インシデントが起きたとき、誰が何をするのか決まっているか。

こうした、一見すると地味な部分が重要になる。

セキュリティには「人」という板もある

そして、忘れてはいけないのが「人」。

どれだけ技術的な対策を積み上げても、人が間違えることはある。

フィッシングメールを開いてしまう。

パスワードを使い回してしまう。

間違った相手にファイルを送ってしまう。

権限設定を変更したまま戻すのを忘れてしまう。

だからといって、

「人間が一番弱い」

と考えて終わってしまうのも違うと思う。

人が間違えることを前提に、仕組みを作る。

重要な操作には二人以上の確認を入れる。

不要な権限を自動的に削除する。

怪しいメールを報告しやすくする。

ミスが起きても被害が広がらないようにする。

これも立派なセキュリティ対策。

「完璧な桶」を作る必要はない

もちろん、すべての板を完璧にすることなんてできない。

予算も人手も時間も限られている。

ここが、セキュリティのむずかしいところ。
限られた中でどうするか、時間軸も視野に計画する。

だからこそ、

「どこが一番弱いのか」

を考えることに意味がある。

100万円かけて、すでに十分強い部分をさらに強くするよりも、10万円で大きな弱点をひとつ潰したほうが、全体としてのセキュリティは大きく改善するかもしれないのです。

セキュリティ対策は、派手な製品を導入することだけではない。

むしろ、

一番低い板を少しずつ上げていくこと。

それが、セキュリティの本質のひとつなのではないだろうか。

セキュリティは「桶」

セキュリティを「桶」と考えると、見えるものが変わる。

「何を導入したか」ではなく、

「どこが一番弱いのか」。

「どれだけお金をかけたか」ではなく、

「一番低い板をどこまで上げられたか」。

そんな視点で自分たちの環境を見直してみると、意外なところに弱点が見つかるかもしれない。

セキュリティは、一発で完成するものではないです。

今日見つけた弱点をひとつ直す。

明日は別の弱点を見つける。

そうやって少しずつ、桶の板を揃えていく。

セキュリティとは、強いところを自慢することではなく、弱いところを減らし続けること。