【3刷出来！】『情報セキュリティの敗北史』訳者あとがき公開
発売から１か月！ おかげさまで早くも3刷が決まった『情報セキュリティの敗北史』より、訳者の小林啓倫さんによる「訳者あとがき」をお届けします。「いま、本書が多くの人に読まれている理由」がよくわかる解説です。（追記：11/30に4刷が決まりました）
■ ■ ■
訳者あとがき
本書は２０２１年９月に出版された、A Vulnerable System: The History of Information Security in the Computer Age（脆弱なシステム――コンピュータ時代の情報セキュリティ史）の邦訳である。著者のアンドリュー・スチュワートは投資銀行で情報セキュリティの専門家として働く一方、ロンドン大学キングス・カレッジに研究生として在籍中であり、情報セキュリティに関する論文を多数発表している。原著のタイトルにもある通り、本書は「脆弱なシステム」であるコンピュータのセキュリティをめぐる歴史を振り返るとともに、それを通じて「なぜ情報セキュリティは失敗の連続なのか」を明らかにしている。
本書でも繰り返し指摘されているように、いまや情報セキュリティは誰にとっても身近な問題となった。たとえば２０１３年に米ヤフーで発生したデータ漏洩事件では、同社サービスのユーザーアカウント、実に30億人分が流出している。本書によれば、当時の世界人口はおよそ70億人であり、単純計算で全人口の４割以上の人々に影響があったことになる。
また日本でも、２０２２年６月に、兵庫県尼崎市の全住民（約46万人）の個人情報が入ったＵＳＢメモリが紛失するという事件が起きている。同市から業務を委託された業者の社員が、個人情報データをＵＳＢに移し、それをかばんに入れたまま居酒屋で飲酒。この時点で既に大問題だが、この社員はその後路上で寝込んでしまい、起きたときにはかばんごと無くなっていたのである。幸いなことに、その後かばんとＵＳＢは無事発見された。現時点ではＵＳＢからデータが読み取られた形跡はないとのことだが、全住民の情報が悪意を持つ人物の手に渡る恐れがあったこの事件は、誰もが情報セキュリティの問題と無関係ではいられないことを如実に示すものと言えるだろう。
もちろん被害を受けるのは個人だけではない。いまや多くの企業も、否応なく情報セキュリティに取り組まざるを得ない状況となっている。
たとえば本書の第７章でも取り上げられているランサムウェア。マルウェアの一種で、感染したコンピュータをロックしたり、その中に格納されているファイルを暗号化するなどして使えないようにし、それを解除する見返りとして身代金（ランサム）を要求するというものだが、それがいま猛威を振るっている。警察庁が発表した資料 によれば、令和３年（２０２１年）中に警察庁に報告されたものだけで、日本国内におけるランサムウェアの被害件数は１４６件に達している。この中には、感染したシステム等の復旧までに２か月以上要した事例や、調査・復旧に５０００万円以上の費用を要した事例など、甚大な被害をもたらしたものも含まれている。また医療機関において、電子カルテ等のシステムがランサムウェアに感染し、新規の診療受付や救急患者の受け入れが一時停止するなどの「重要インフラ事業者が標的となり、市民生活にまで重大な影響を及ぼす事案」も確認された。同様の事案は海外でも多く確認されており、情報セキュリティは企業の業績や存続にまで深く関わる問題となっている。
なぜコンピュータはこれほど「脆弱なシステム」であり、ハッカーによる攻撃やデータ漏洩といった事件・事故が日々発生しているのか。それを理解するためのひとつのアプローチとして、情報セキュリティをめぐる現在のスナップショットを撮り、問題の直接的な原因を追究するという方法が考えられるだろう。もちろんそれは有効なアプローチであり、多くの技術書やＩＴ系ニュースサイトが採用している。
一方で本書が採用しているのは、過去を振り返って「なぜいまこのような状況になっているのか」を理解し、そこから今後の進むべき道を考えるというアプローチだ。情報セキュリティをめぐっては、コンピュータ開発の黎明期から幾度となく議論が繰り返され、さまざまな方法論の開発・実践が取り組まれてきた。本書はそれらを当時の時代背景と共に振り返り、いくつもの取り組みがどのようにして生まれ、なぜことごとく失敗に終わってきたのかを描き出す。その中では、世界初のスパムメールや世界初のコンピュータウイルス、さらには「悪意のあるコンピュータプログラムを流布した罪」で逮捕され、裁判にかけられた世界初の人物（それが誰か、そしてこの一件がどのような顛末をたどったのかは、ぜひ本書を読んで確認してほしい）といったエピソードも紹介されており、情報セキュリティ史を身近に感じられる読み物としても楽しめるようになっている。
技術の世界は日進月歩なのだから、重要なのは最新の状況だけであり、過去を振り返っても意味がないと思われるだろうか。確かに目の前で起きている情報セキュリティ事故やサイバー攻撃に対処するには、たったいま、どのような脆弱性が世の中で発見され、どのような攻撃手法がトレンドとなっており、それにどう対応するかという専門知識が必要だ。そしてそれは、多くの技術書やニュースサイトが提供してくれている。
しかしそうした脆弱性がなぜ繰り返し発生するのか、そして対症療法ではなく根本的な治療を行うにはどうすれば良いのかを考えるためには、いまという状況がどのようにして生まれてきたのかを考えなければならない。著者はこのことを、「現在は過去の産物であり、今日の情報セキュリティ分野が直面している問題は、過去をより良く理解しない限り乗り越えられない」という表現で訴えている。
たとえば本書の中に、ユーザビリティに関する解説がある。著者によれば、情報セキュリティ史の初期、ユーザビリティの重要性はあまり考慮されていなかったそうだ。その理由は、初期のコンピュータは軍事目的で開発されており、したがってそのユーザーも軍人を想定していたためであった。軍人は「命令、規則、手順に忠実に従うよう訓練され、あたかも機械の一部であるかのように行動したから」、彼らが問題行動を取る可能性を考慮しなくてよかったわけである。
その後、コンピュータが社会へと普及するに従い、一般の人々がユーザーになることが当たり前の状況となった。しかしこうしたユーザーの軽視（あるいは過度の信頼と呼べるかもしれない）は、ユーザビリティの領域だけにとどまらず、逆に情報セキュリティに関する取り組み全体へと波及してしまっており、その悪影響が尾を引いている。パスワードをめぐり、人間の心理や行動パターンを無視したアドバイスが行われ、逆にセキュリティの観点からはマイナスの影響をもたらしていること（複雑なパスワードを推奨するあまり、パスワードの使いまわしが起きたり、覚えやすいパスワードを設定することにより推察されやすくなったりするなど）はその最たる例だ。
本書ではこうした、過去の状況が現在の問題をもたらしているという構図を、「経路依存性」という経済学・社会学における専門用語を引用して示している。これは「ある瞬間に取りうる一連の選択肢は、過去に行われた選択によって制限されている」という概念だ。一見すると非合理的な選択（タイプライター時代のＱＷＥＲＴＹキーボードレイアウトがコンピュータ時代になっても引き継がれていることなど）も、経路依存性から説明でき、問題を正しく理解することを促してくれる。本書はまさに、情報セキュリティをめぐる現在の問題の背景にある、さまざまな経路依存性を解説してくれるものと言えるだろう。
さて、前述の通り、本書は２０２１年９月に原著が刊行されている。その後に発生した、世界に衝撃を与えたある事件と、その後の情報セキュリティ界隈の状況は、本書の見通しの正しさを別の角度から証明するものとなっている。それは言うまでもなく、２０２２年２月24日のロシアによるウクライナ侵攻である。
本書は第８章において「国家によるハッキング」を取り上げ、情報セキュリティにおける主要な「３つの汚名」のひとつとして位置づけ、詳しい解説を行っている。２０１０年代ごろから活発に見られるようになり、また被害の件数・規模ともに拡大傾向にあるのが、国家が何らかの目的でハッキング行為に乗り出すという現象だ。本書はこれについて、「国家は、目的を遂行するためにコンピュータ・ハッキングを利用することを止めないだろう」として、今後も増加傾向が続くという予想を示している。
そして実際に、２月のウクライナ侵攻では、その前後からさまざまな企業・組織に対するサイバー攻撃が急増するという状況が見られている。たとえば株式会社サイバーセキュリティクラウドが２０２２年４月に発表したレポート によれば、侵攻直前となる２月16日以降、日本国内ウェブサイトに対するＤＤｏＳ攻撃（ＢＯＴや脆弱性スキャナ などによる不正アクセスの検知）数が、それまでの直近３か月平均と比べて最大25倍も増加していた。また帝国データバンクが３月に発表したアンケート結果（３月11日から14日にかけて行われたもの）では 、回答した企業の28・４パーセントが、「１か月以内にサイバー攻撃を受けた」と答えている。こうした事態を受け、経済産業省は国内企業に対してサイバーセキュリティの強化を呼び掛けているが、それは侵攻が発生した２月24日、ならびに３月１日、３月24日と、１か月間で３度も行われている。まさに本書が危惧していた状況が現実になっているわけだ。
本書はこうした情報セキュリティの根本的課題を解決するために、さまざまな学術分野における知識や経験に学ぶことを推奨している。情報セキュリティ史は、他の学術分野が歩んできた歴史と比べて圧倒的に短い。それだけこの分野はまだまだ手探りの状況であるわけだが、逆に考えれば、他の学術分野から学べることが多いと言えるだろう。たとえば本書は、「経済学の分野からは、外部性の重要性、逆インセンティブを考慮する必要性、そして公共財としてのセキュリティという考え方、農業の分野からはモノカルチャーの概念、保険の分野からはリスクマネジメントの概念と保険数理データの価値など、全体として多くの有益なアイデアが生み出されてきた」と指摘している。一方でこれらの概念は、まだ情報セキュリティ分野において十分に浸透・活用されていないともしており、今後より大きな効果をもたらすことに期待をかけている。
大げさな言い方をすれば、すべての人々や企業にとって重要なテーマとなった情報セキュリティに対しては、あらゆる分野から人々が参加し、英知を結集させてその対応を探る必要があるのだろう。その際に本書は、情報セキュリティ史をめぐる共通認識を提供し、未来を考えるための基盤をつくるという点で、大きな価値を提供するものになると信じている。
■ ■ ■
【目次】
プロローグ ３つの汚名
1 情報セキュリティの「新次元」
2 研究者たちの期待、成功、失敗
3 インターネットとウェブの誕生、不吉な予兆
4 ドットコム・ブームと魅力的なフィードバック・ループ
5 ソフトウェアセキュリティと「苦痛なハムスターホイール」
6 ユーザブルセキュリティ、経済学、心理学
7 脆弱性の開示、報奨金、市場
8 データ漏洩、国家によるハッキング、認知的閉鎖
9 情報セキュリティの厄介な本質
エピローグ 過去、現在、あり得る未来
謝辞／訳者あとがき／註／主要参考文献／索引
最後までお読みいただきありがとうございました。私たちは出版社です。本屋さんで本を買っていただけるとたいへん励みになります。